Upload app.py

app.py

@@ -259,8 +259,11 @@ async def on_shutdown():
     # 这里可以添加其他清理逻辑（如关闭连接池等）
     logger.info("✅ 关闭完成")
 
-# 🛡️ CORS 安全配置：从环境变量读取允许的域名，收紧通配符
-ALLOWED_ORIGINS = os.environ.get("ALLOWED_ORIGINS", "https://zhiwei666-comfyui-ranking-api.hf.space").split(",")
+# 🛡️ CORS 配置：默认通配符（插件前端运行于用户本地 ComfyUI 页面，origin 为
+# 127.0.0.1/localhost/局域网 IP/自定义端口等无法穷举；本 API 通过 Authorization 头
+# 传递 Token 且 allow_credentials=False 不依赖 Cookie，通配风险可控）。
+# 如需收紧可在环境变量 ALLOWED_ORIGINS 中逗号分隔指定域名。
+ALLOWED_ORIGINS = os.environ.get("ALLOWED_ORIGINS", "*").split(",")
 logger.info(f"CORS 允许域名: {ALLOWED_ORIGINS}")
 
 app.add_middleware(