refactor(setting): 集中管理环境配置并新增启动日志汇总

1.  将所有环境变量读取逻辑迁移至setting包统一管理，移除各模块直接os.Getenv调用
2.  新增全局配置结构体统一管理服务端口、鉴权、跨域等配置
3.  添加启动期配置汇总日志，方便运维核对环境配置生效情况
4.  重构鉴权和CORS中间件，改为读取全局配置而非直接读取环境变量
5.  优化health端点的环境变量检查逻辑，使用已加载的全局配置而非重复读取环境

middleware/cors.go

@@ -3,50 +3,20 @@ package middleware
 import (
 	"log"
 	"net/http"
-	"os"
 	"strings"
+
+	"github.com/volcano-tts/tts-api/setting"
 )
 
 var (
-	allowedOrigins   []string
-	allowAllOrigins  bool
 	corsMaxAgeHeader = "86400"
 )
 
-func normalizeOrigin(origin string) string {
-	origin = strings.TrimSpace(origin)
-	origin = strings.TrimRight(origin, "/")
-	return strings.ToLower(origin)
-}
-
+// InitCORSConfig 已在 setting.InitCORSConfig 中完成,这里保留为 no-op 以维持现有调用顺序。
+// 实际 CORS 匹配逻辑直接读 setting.CORS.Origins / setting.CORS.AllowAll。
 func InitCORSConfig() {
-	origins := os.Getenv("ALLOWED_ORIGINS")
-	if origins == "" {
-		log.Println("警告: ALLOWED_ORIGINS 环境变量未设置")
-		log.Println("出于安全考虑，跨域请求将被拒绝。如需开放跨域请配置 ALLOWED_ORIGINS")
-		log.Println("开发环境可设置 ALLOWED_ORIGINS=* 允许所有来源（不可与凭据共用）")
-		return
-	}
-
-	parts := strings.Split(origins, ",")
-	for _, p := range parts {
-		o := strings.TrimSpace(p)
-		if o == "" {
-			continue
-		}
-		if o == "*" {
-			allowAllOrigins = true
-			continue
-		}
-		allowedOrigins = append(allowedOrigins, normalizeOrigin(o))
-	}
-
-	if allowAllOrigins {
-		log.Println("警告: ALLOWED_ORIGINS=*，将允许所有来源跨域请求（不携带凭据）")
-	}
-	if len(allowedOrigins) > 0 {
-		log.Printf("已配置 %d 个允许的跨域来源白名单", len(allowedOrigins))
-	}
+	// 配置由 setting 包统一加载,日志也由 setting.LogStartupSummary 输出。
+	_ = setting.CORS
 }
 
 func isValidOrigin(origin string) bool {
@@ -64,11 +34,11 @@ func matchOrigin(origin string) (string, bool) {
 	if !isValidOrigin(origin) {
 		return "", false
 	}
-	if allowAllOrigins {
+	if setting.CORS.AllowAll {
 		return "*", true
 	}
-	normalized := normalizeOrigin(origin)
-	for _, allowed := range allowedOrigins {
+	normalized := strings.ToLower(strings.TrimRight(strings.TrimSpace(origin), "/"))
+	for _, allowed := range setting.CORS.Origins {
 		if allowed == normalized {
 			return origin, true
 		}
@@ -80,13 +50,13 @@ func CORS(next http.Handler) http.Handler {
 	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
 		origin := r.Header.Get("Origin")
 
-		// 无 Origin 头：非跨域请求，跳过 CORS 处理
+		// 无 Origin 头:非跨域请求,跳过 CORS 处理
 		if origin == "" {
 			next.ServeHTTP(w, r)
 			return
 		}
 
-		// 有 Origin 头时，响应必须携带 Vary: Origin 防止 CDN 缓存污染
+		// 有 Origin 头时,响应必须携带 Vary: Origin 防止 CDN 缓存污染
 		vary := w.Header().Get("Vary")
 		if vary == "" {
 			w.Header().Set("Vary", "Origin")
@@ -98,7 +68,7 @@ func CORS(next http.Handler) http.Handler {
 
 		allowOrigin, matched := matchOrigin(origin)
 		if !matched {
-			// Origin 不在白名单：拒绝请求（预检和非预检均拒绝），
+			// Origin 不在白名单:拒绝请求(预检和非预检均拒绝),
 			// 防止不匹配的请求穿透到后端浪费 TTS 资源
 			log.Printf("CORS拦截: 来源=%q 路径=%s 方法=%s 客户端=%s",
 				origin, r.URL.Path, r.Method, GetClientIP(r))
@@ -106,7 +76,7 @@ func CORS(next http.Handler) http.Handler {
 			return
 		}
 
-		// Origin 匹配：设置 CORS 响应头
+		// Origin 匹配:设置 CORS 响应头
 		w.Header().Set("Access-Control-Allow-Origin", allowOrigin)
 		w.Header().Set("Access-Control-Allow-Methods", "GET, POST, OPTIONS")
 		w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization")
@@ -116,7 +86,7 @@ func CORS(next http.Handler) http.Handler {
 			w.Header().Set("Access-Control-Allow-Credentials", "true")
 		}
 
-		// 预检请求：直接返回 204，不进入内层中间件链，
+		// 预检请求:直接返回 204,不进入内层中间件链,
 		// 避免消耗速率限制配额和并发槽位
 		if isPreflight {
 			w.WriteHeader(http.StatusNoContent)