fix(web-api): hardening rate-limit, CORS wildcards, query tokens

[Ibochkarev]

Описание

Закрывает три находки security-аудита Web API (#576):

1. RateLimitMiddleware — ключ только REMOTE_ADDR (без client-controlled HTTP_MS3TOKEN).
2. CORS — wildcard через preg_quote + * → [^.]+ (одна DNS-метка), без «голых» точек в regex.
3. TokenMiddleware — session token только Bearer / MS3TOKEN / cookie / session; query ms3_token снимается и не является credential.

Тип изменений

• Исправление бага (non-breaking change)
• Breaking change (частично: query ?ms3_token= больше не авторизует)

Связанные Issues

Closes #576

Как это было протестировано?

cd core/components/minishop3
composer ci:php   # exit 0
composer stan     # exit 0
./vendor/bin/phpunit tests/Unit/Middleware/RateLimitMiddlewareTest.php
php tests/CorsConfigNormalizeTest.php
php tests/TokenMiddlewareQueryTokenTest.php

• Автоматические тесты
• Ручное тестирование против live MODX

Конфигурация тестирования:

• MiniShop3: fix/issue-576-web-api-security-hardening
• PHP: 8.4

Чеклист

• Код соответствует стилю проекта
• PHPStan без новых ошибок
• Лексиконы не требовались
• CHANGELOG.md — на релизе

Дополнительные заметки

• Login/register/forgot processor RateLimiter не менялся.
• Email verify ?token= на маршруте без TokenMiddleware — без регрессии.
• X-Forwarded-For / CF-Connecting-IP намеренно не берутся (нет trusted proxy policy).
• Store fail-open (Redis/Memcached) — preexisting, вне scope.
• Docs Nuxt ([Feature] Docs: полный справочник Web API для Nuxt/TypeScript (сверка с web.php) #573) — отдельно.