fix(security): webui.json 增补 allowOrigins 默认配置

- 与 WebUiConfigSchema 新增的 allowOrigins 字段对齐（CORS 白名单来源）
- token 保持 'random'（启动时随机生成），配置文件本身不落弱口令

packages/snowcat-webui-backend/webui.json

@@ -7,5 +7,6 @@
   "accessControlMode": "none",
   "ipWhitelist": [],
   "ipBlacklist": [],
-  "enableXForwardedFor": false
+  "enableXForwardedFor": false,
+  "allowOrigins": []
 }