fix: cors

docs/2026-04-13_summary.md

@@ -37,6 +37,7 @@
 - 已新增前端对接文档 `docs/frontend_api.md`。
 - 已补充上游 timeout 配置和 504 错误映射，避免外部超时被混淆为普通 500。
 - 已修正 `stops` 非空校验，并更新前端文档中 `deep_links` 与 `summary` 的语义边界说明。
+- 已为 FastAPI 增加可配置 CORS 中间件，默认允许本地 `localhost/127.0.0.1` 任意端口联调。
 
 ## 下一步建议
 

docs/frontend_api.md

@@ -17,6 +17,15 @@
 http://127.0.0.1:8000
 ```
 
+### 2.1 CORS
+
+当前服务已启用 CORS。
+
+- 默认允许本地开发来源：`localhost` 和 `127.0.0.1` 的任意端口
+- 当前默认允许的方法：`GET`、`POST`、`OPTIONS`
+- 当前默认允许所有请求头
+- 如果前端部署到其他域名，需要后端调整 `.env` 中的 CORS 配置
+
 ## 3. 健康检查
 
 ### 3.1 请求