fix: 前端同源代理 /api → 后端（任意 IP 访问不再 NetworkError）+ SQLite 写锁等待

- 根因①：页面硬编码 http://127.0.0.1:8000/api，从 192.168.1.160:3000 访问时浏览器请求自身/跨域失败
- 根因②（500）：全市场数据同步（长写事务）持有 SQLite 锁导致读接口 database is locked
- 前端：next.config.ts rewrites /api/* → http://127.0.0.1:8000/api（BACKEND_API_URL 可覆盖）；
  lib/api.ts 默认相对 /api 同源（NEXT_PUBLIC_API_BASE 保留为直连覆盖项）；.env.local.example 说明两种方式
- 后端：CORS 开发期 allow_origins=["*"]（无凭据，上线前收紧）；SQLite engine busy_timeout=30s
- USAGE FAQ 同步；验证：192.168.1.160:3000/api/health 与 /api/factors 经代理 200，CORS 头 access-control-allow-origin: *

backend/app/main.py

@@ -19,10 +19,12 @@ app = FastAPI(
     description="A股个人量化研究平台 API（研究引擎 / Tushare 数据源）",
 )
 
-# 开发期允许本地前端跨域（Phase 3 前端 dev server；上线收紧为白名单）
+# 开发期 CORS：允许任意来源（个人本地平台，无 Cookie 凭据，allow_credentials=False）。
+# 前端默认走 Next 同源代理（见 frontend/web/next.config.ts rewrites），直连 API 也放行；
+# 上线部署前请收紧为明确白名单。
 app.add_middleware(
     CORSMiddleware,
-    allow_origins=["http://localhost:3000", "http://127.0.0.1:3000"],
+    allow_origins=["*"],
     allow_credentials=False,
     allow_methods=["*"],
     allow_headers=["*"],