fix: 处理 Copilot 二轮 review 的 10 条评论

- BrowserView: 即使 host 在白名单，GUI 自身 origin 永不给 allow-same-origin（裸 host 条目覆盖所有端口时可提权）
- intercept: revealInExplorer 相对路径经 resolveSidebarPath 解析后再 revealPaths（交付物路径是相对的）
- intercept: ctx.betterSidebar 改为 ctx.get（#357 纤维链读取约定）
- FileTree/EditorHost/TreePanel/tabs: 把 revealed 贯通到树行渲染 + 高亮类 + scrollIntoView（此前高亮永不渲染）
- state.revealPaths: 重建祖先目录时保留前导分隔符（POSIX/UNC 此前目录永远折叠）
- state.schedulePersist: 仅活动会话写入全局宽度（targeted open 不再用非活动会话的过期宽度覆盖拖拽值）
- browser.probe: GET 回退显式取消 body（否则流式/大响应挂住 socket）
- terminal-font: leading generic 前只放 symbols-only 字体；fully-patched 放 generic 后（避免 hijack 度量字体）
- sidebar.module.css: 恢复拖拽反馈（#130 的 silent resize 与 PR 描述冲突，取 HEAD）
- Sidebar: 剩余 4 处 ctx.betterSidebar 改 ctx.get
- tests: 补 revealPaths/iframeSandboxFor/terminal-font 回归测试 + EditorHost/FileTree 测试补 revealed prop

src/index.ts

@@ -554,6 +554,11 @@ function buildApi(
         const csp = response.headers.get('content-security-policy')
         const frameAncestors = extractFrameAncestors(csp)
         const xFrameOptions = response.headers.get('x-frame-options')
+        // The GET fallbacks stream a real body that nothing reads; "body
+        // discarded" is not automatic with fetch, so cancel it explicitly to
+        // release the socket (a large/streaming response would otherwise stay
+        // pinned after the timer clears).
+        void response.body?.cancel()
         return {
           reachable: true,
           url: response.url,