[#53 follow-up] MJPEG 预览流的 CSP 加固

PR2 的 MJPEG 回环传输(#64)目前依赖 tauri.conf.json 的 security.csp = null(无 CSP)让前端 <img src=http://127.0.0.1:<port>/stream> 正常加载。功能 OK,服务端已绑 loopback + Origin 守卫。

但 csp = null 是项目既有的待加固项(非本功能引入)。加固时把 CSP 从 null 改为显式策略,并枚举现有全部源(asset:/tauri:/data:/blob:/dev ws://localhost:1420/inline 样式)+ img-src/connect-src http://127.0.0.1:*,否则白屏。

⚠️ 高风险(易白屏),必须真机逐项验证(资产缩略图/composite PNG/MJPEG/字体/inline style 都不破)。建议独立 PR + 可快速回退 null 的开关。