家庭私厨

修复

• 点菜提交失败提示「响应不是合法 JSON」
  前台默认改为请求 /apis/plugins/dishes/public，避开 Halo 对 /plugins/** 的 CSRF 校验；兼容旧 /plugins 路径时会自动刷新 CSRF 并重试。错误提示也会区分 CSRF / 403 / 网关问题，便于排查。

• 企业微信通知卡片跳转到服务器私网地址
  通知链接优先使用设置中的「公网访问地址」，其次使用浏览器 Origin、X-Forwarded-*，并尽量跳过 127.0.0.1 / 内网 IP。默认 Logo 资源路径同步修正。

新增

• 通知设置新增 公网访问地址（如 https://你的域名），用于企微卡片跳转与封面图；反代 / Docker 场景建议填写。

安全

• 未配置域名白名单时，拒绝跨站写请求（Origin 与 Host 不一致），降低走 /apis 后的跨站提交风险。

升级说明

1. 升级插件至 1.0.4 后，建议硬刷新前台页面。
2. 若使用企业微信通知，请到 家庭私厨 → 插件设置 → 通知设置 填写公网访问地址。
3. 前台独立域名部署时，请配置域名白名单，并确保反代可访问 /apis/plugins/dishes/public。