AI／CLI 認証フォームを復旧
no-referrer により Allow 送信の Origin が null となり拒否される問題を修正しました。認証・トークン管理フォームを復旧し、厳密な同一オリジン、セッション、CSRF 検査は維持します。
# AI／CLI 認証フォームを復旧
ブラウザーのデバイス認証を復旧しました。これまでは認証 HTML が継承した `no-referrer` により、Allow フォームの POST が `Origin: null` となっていました。そのため、サーバーの厳密な同一オリジン検査によって正しく拒否されていました。
## 変更内容
- デバイス認証とトークン管理の HTML だけを `strict-origin` に変更し、フォーム送信に必要な正確なサイトオリジンを保持します。
- ブラウザーが送るのは `https://lusu575.com` のようなオリジンのみで、`user_code` を含むパスやクエリーは漏れません。
- JSON エンドポイントは引き続き `no-referrer` を使用します。
- `/tokens/manage` の取り消しフォームも同時に復旧しました。
## 安全境界は維持
POST には、厳密な `Origin`、ログインセッション、CSRF 検査が引き続き必要です。Origin の欠落、`Origin: null`、認証ページと異なるオリジン、攻撃者のオリジンは今後も拒否されます。CLI、Codex、外部リンクから開くトップレベルの認証 GET は許可し、iframe やその他のサブリソース読み込みは引き続き拒否します。
Quick Transfer はバージョン 1.0.5 となり、転送プロトコルに変更はありません。独立リモート MCP Worker は引き続き未展開です。
