fix: 回应审查保留意见 — 测试钉住跨站分支、删死接口、修正注释措辞

- tests/trusted-hosts.spec.ts：用例 4 改为受信 origin + cross-site marker
  以隔离拒绝分支（原同时踩 marker 与 origin 两条路径，删除 marker 检查
  测试依旧通过——变异验证现仅该用例失败）；接受侧断言从 not.toBe(403)
  收紧为 toBe(200)，请求体补 sessionId（session.cwd 的真实契约）
- src/context-types.ts：删除已无引用的 SidebarLoader/SidebarLoaderEntry
  死接口（loader 成员移除后残留）
- src/index.ts：修正 "same list / 无需重启" 过承诺注释，改为与 /api 网关
  同源的准确表述（boot 采样快照 + --trusted-host 权威，读 live 服务值）

src/context-types.ts

@@ -92,16 +92,6 @@ export interface SidebarSessionStore {
   } | undefined
 }
 
-/** One loader entry's options slice (the connection row's resolved config). */
-export interface SidebarLoaderEntry {
-  options: { name: string; config?: unknown }
-}
-
-/** The loader face used to read the connection row's trustedHosts config. */
-export interface SidebarLoader {
-  entries(): Iterable<SidebarLoaderEntry>
-}
-
 /**
  * The web runtime service face (mirror of @deepseek-ai/dsh-web-app's
  * WebRuntimeValues): the bind-derived trust list the /api gateway's fence