feat(extension): 浏览器插件 P1 MVP

新建 BillNote_extension/ 工作空间（基于 vitesse-webext 骨架，Vue 3 + Vite + UnoCSS + MV3）。

P1 MVP 范围：
- popup：自动读当前 tab URL，识别 Bilibili / YouTube / 抖音 / 快手；提交 /generate_note 后轮询 /task_status；展示 markdown，复制 + 下载 .md
- options：后端地址输入与连通性测试；从 /get_all_providers + /get_models_by_provider 拉供应商/模型列表；默认画质、截图/跳转、笔记风格
- chrome.storage.local 持久化设置与最近 30 个任务，popup 重开恢复进行中任务
- markdown 里的 /static/screenshots 路径在渲染前重写为绝对地址

后端：CORS 改用 regex，新增允许 chrome-extension:// 与 moz-extension:// 源（同时保留 localhost / 127.0.0.1 / tauri.localhost）。无新增 backend endpoint。

P2-P4（content script 悬浮按钮、cookie 直通、side panel、思维导图、RAG 问答）保留 stub 文件，不在本次范围。

去掉 vitesse-webext 自带的 simple-git-hooks postinstall 配置——它会在仓库根装 pre-commit 钩子去跑 pnpm lint-staged，但仓库根没有 package.json，会破坏所有提交流。

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

backend/main.py

@@ -49,15 +49,19 @@ async def lifespan(app: FastAPI):
     yield
 
 app = create_app(lifespan=lifespan)
-origins = [
-    "http://localhost",
-    "http://127.0.0.1",
-    "http://tauri.localhost",
-]
+
+# 允许的源：本地 web 端 + Tauri 桌面端 + 浏览器扩展（chrome/edge/firefox）
+# 用 regex 是因为 chrome-extension://<id> 的 id 在每次开发版加载时不固定
+CORS_ORIGIN_REGEX = (
+    r"^chrome-extension://[a-z]+$"
+    r"|^moz-extension://.+$"
+    r"|^http://(localhost|127\.0\.0\.1)(:\d+)?$"
+    r"|^http://tauri\.localhost$"
+)
 
 app.add_middleware(
     CORSMiddleware,
-    allow_origins=origins,  #  加上 Tauri 的 origin
+    allow_origin_regex=CORS_ORIGIN_REGEX,
     allow_credentials=True,
     allow_methods=["*"],
     allow_headers=["*"],