Function trusted_source 

async fn trusted_source(headers: &HeaderMap) -> Option<TrustedSource>

计算本站来源：优先「站点配置 → 安全」面板的 APP_BASE_URL（即时生效）， 否则取请求 Host 头。

返回 None 表示无法确定本站来源；写请求在这种情况下会被拒绝， 避免在来源头缺失时把 cookie-auth 请求当作可信请求。