Function fetch_site_is_same_origin 

fn fetch_site_is_same_origin(headers: &HeaderMap) -> Option<bool>

从 Fetch Metadata 判断请求是否由本站页面发起。

浏览器的顶级 GET 导航（window.open、<a href>）不带 Origin，只能靠 Sec-Fetch-Site：仅 same-origin 可信；same-site 包含兄弟子域，cross-site 是跨站，none 是地址栏/书签直开，本站 UI 不会产生，一律拒绝。 返回 None 表示请求不带该头（旧浏览器或非浏览器客户端）。