fix(saas): 安全修复 — IDOR防护、SSRF防护、JWT密钥强制、错误信息脱敏、CORS配置化

- account: admin 权限守卫 (list_accounts/get_account/update_status/list_logs)
- relay: SSRF 防护 (禁止内网地址、限制 http scheme、30s 超时)
- config: 生产环境强制 ZCLAW_SAAS_JWT_SECRET 环境变量
- error: 500 错误不再泄露内部细节给客户端
- main: CORS 支持配置白名单 origins
- 全部 21 个测试通过 (7 unit + 14 integration)

crates/zclaw-saas/src/state.rs

@@ -17,12 +17,12 @@ pub struct AppState {
 }
 
 impl AppState {
-    pub fn new(db: SqlitePool, config: SaaSConfig) -> Self {
-        let jwt_secret = config.jwt_secret();
-        Self {
+    pub fn new(db: SqlitePool, config: SaaSConfig) -> anyhow::Result<Self> {
+        let jwt_secret = config.jwt_secret()?;
+        Ok(Self {
             db,
             config: Arc::new(RwLock::new(config)),
             jwt_secret,
-        }
+        })
     }
 }