app: 整理终点定义, 启用初步的 CORS 支持