fix(saas): 修复安全审查发现的 Critical/High/Medium 问题

- Critical: 移除注册接口的 role 字段，固定为 "user" 防止权限提升
- High: 生产环境未配置 cors_origins 时拒绝启动而非默认全开放
- Medium: 增强 SSRF 防护 — 阻止 IPv6 映射地址、私有 IP 网段、十进制 IP 格式

crates/zclaw-saas/src/main.rs

@@ -37,11 +37,19 @@ fn build_router(state: AppState) -> axum::Router {
     use axum::http::HeaderValue;
     let cors = {
         let config = state.config.blocking_read();
+        let is_dev = std::env::var("ZCLAW_SAAS_DEV")
+            .map(|v| v == "true" || v == "1")
+            .unwrap_or(false);
         if config.server.cors_origins.is_empty() {
-            CorsLayer::new()
-                .allow_origin(Any)
-                .allow_methods(Any)
-                .allow_headers(Any)
+            if is_dev {
+                CorsLayer::new()
+                    .allow_origin(Any)
+                    .allow_methods(Any)
+                    .allow_headers(Any)
+            } else {
+                tracing::error!("生产环境必须配置 server.cors_origins，不能使用 allow_origin(Any)");
+                panic!("生产环境必须配置 server.cors_origins 白名单。开发环境可设置 ZCLAW_SAAS_DEV=true 绕过。");
+            }
         } else {
             let origins: Vec<HeaderValue> = config.server.cors_origins.iter()
                 .filter_map(|o: &String| o.parse::<HeaderValue>().ok())