用 curl 伪造 Host 头读走本地 AI 会话记录，作者复盘插件路由鉴权缺失与修复

作者在给 DeepSeek Harness 写任务账本插件时，用 curl 伪造 Host、Origin 和 Sec-Fetch-Site 请求本机 127.0.0.1:49539 的插件路由，均返回 200，拿到 8 个活跃会话标题、耗时和最近 20 条完成记录。