- 前端 /api/capture 请求头去掉 X-Caller: '游客'(中文在 HTTP 头非法,浏览器 fetch 直接抛错) - 保留 X-From: web(ASCII 安全),调用者缺省由服务端默认 游客,行为不变