P0：修复局域网 Web 控制台无法通过 API 鉴权

[CubePlus1]

问题

EchoLog 监听 0.0.0.0 后，局域网设备可以加载 Web 静态资源，但前端对同源 /api/* 的请求没有携带 server.apiKey，因此全部收到 401 Unauthorized，页面无法显示数据。

已验证现象

• 局域网请求 /、/styles.css、/app.js 返回 200
• 同一设备请求 /api/records、/api/summary/today 等返回 401
• 本机 loopback 请求仍因豁免正常工作

验收标准

• 局域网用户可通过明确的认证流程打开 Web 控制台并加载数据
• API Key 不长期保留在浏览器地址栏或页面可读存储中
• 未认证的非本机 /api/* 请求继续返回 401
• 本机 loopback 使用和 CLI 行为保持兼容
• 覆盖认证成功、失败及 Web 页面访问的自动化测试
• README 与 API 文档说明局域网 Web 的访问方式