Mock 地址安全加固：空间 ID → 16 位随机 mock_token

- 问题：/mock/{自增空间ID} 可枚举且服务绑定所有网卡，局域网可猜他人空间
- workspaces 新增 mock_token（UNIQUE，随机 8 字节 hex；老库自动 ALTER + 回填）
- /mock/{token}/path：解析失败统一 404（不暴露存在性）；限流 key 沿用 token
- /api/me 与发布响应返回 token 形态 base；弹窗 URL 改用 token
- 验证：token URL 正常随机生成；旧数字 ID 与任意伪造 token 均 404

apps/server/internal/api/api.go

@@ -211,7 +211,11 @@ func (a *API) handlePublishMock(c *gin.Context, user *store.User) {
 		c.JSON(http.StatusInternalServerError, gin.H{"error": "发布失败：" + err.Error()})
 		return
 	}
-	c.JSON(http.StatusOK, gin.H{"ok": true, "count": len(req.Endpoints), "base": "/mock/" + strconv.FormatInt(ws.ID, 10)})
+	base := ws.MockToken
+	if base == "" {
+		base = strconv.FormatInt(ws.ID, 10) // 兜底（不应出现）
+	}
+	c.JSON(http.StatusOK, gin.H{"ok": true, "count": len(req.Endpoints), "base": "/mock/" + base})
 }
 
 /* ---------------- 工作区同步 ---------------- */