fix(deploy): 跨域来源未配置时默认放行

.env.sample

@@ -137,10 +137,10 @@ CONFIG_OTP_HASH_SECRET=
 CONFIG_AUDIT_HASH_PEPPER=
 CONFIG_AUDIT_INTEGRITY_KEY=
 
-# 允许访问后端的浏览器 Origin，多个值用英文逗号分隔，生产环境禁止使用 *。
-# 启动/升级脚本会从已校验的公开 API 地址补齐缺失值或下方样例值；自定义值会保留并校验。
+# 可选：限制允许访问后端的浏览器 Origin，多个值用英文逗号分隔，生产环境禁止使用 *。
+# 留空时后端默认允许所有来源；启动/升级脚本不会自动补齐，显式配置时才会校验。
 # 域名部署示例：https://yourwebsite.com,https://www.yourwebsite.com
-CONFIG_SECURITY_ORIGIN=http://127.0.0.1,http://localhost
+CONFIG_SECURITY_ORIGIN=
 
 # 可信反向代理 IP/CIDR，多个值用英文逗号分隔；未使用反向代理时保持为空。
 # 仅填写实际 Nginx/负载均衡地址，不要使用 0.0.0.0/0。