fix(HEL-564): 数据中枢入口固定内网 IP，不再按主机名推导

- 主站桌面端/移动端「数据中枢」入口固定 http://192.168.200.11:8766/admin/
  （XIAOBAI_DATAHUB_URL 仍可覆盖）：域名只反代 8765，推导出的 <域名>:8766 打不开，
  同时避免数据中枢被外网摸到
- 中枢 _review_url 不再从 Host 头推导，统一取 REVIEW_PUBLIC_URL，
  默认 http://192.168.200.11:8765；compose 与 .env.example 示例值同步
- 补回归测试：Host 为域名且未配 REVIEW_PUBLIC_URL 时登录链接仍为固定内网地址
- 文档写明 Cookie 按门牌区分的边界与部署说明

Co-authored-by: multica-agent <github@multica.ai>

xiaobai-datahub/README.md

@@ -48,7 +48,7 @@ cp .env.example .env
 
 控制台**没有自己的账号体系**，也不再有独立登录页和改密页：
 
-- 登录状态取自主站 `xiaobai_session` cookie。主站与中枢同主机不同端口，浏览器会自动带上该 cookie，因此在主站登录后直接打开 8766 即可进入；未登录会看到门禁面板并给出主站登录入口。
+- 登录状态取自主站 `xiaobai_session` cookie。cookie 按"门牌"（域名 / IP）区分，只有用 `http://192.168.200.11:8765` 登录主站，浏览器才会把它带到 `192.168.200.11:8766`，此时打开 8766 免登录直通；用域名登录主站再进 8766 会看到门禁面板，按提示登录一次即可。
 - 仅管理员可进。每个页面与每个 `/admin/api/*` 接口都在服务端校验会话与 `role=admin`，非管理员一律 403，前端隐藏与否不作为权限依据。
 - 校验方式是服务间桥接：中枢把 cookie 交给主站 `/api/hub-admin/session` 换回用户身份，结果缓存数秒。桥接凭 `HUB_ADMIN_TOKEN`（与主站 `.env` 同名变量必须一致），主站在任何处理器之前先校验它。
 - CSRF 令牌由会话派生（HMAC），随 `GET /admin/api/session` 下发，写操作必须带 `X-CSRF-Token`。
@@ -61,14 +61,14 @@ cp .env.example .env
 |---|---|---|
 | `HUB_ADMIN_TOKEN` | 主站 + 中枢 | 服务间桥接令牌，两侧必须一致，缺失则控制台无法校验会话 |
 | `REVIEW_BASE_URL` | 中枢 | 中枢访问主站的地址（容器内一般是服务名，如 `http://xiaobai-review:8765`） |
-| `REVIEW_PUBLIC_URL` | 中枢 | 浏览器可达的主站地址，用于门禁的登录跳转；留空则按当前主机名推导 |
+| `REVIEW_PUBLIC_URL` | 中枢 | 浏览器可达的主站地址，用于门禁的登录跳转；留空则用固定内网地址 `http://192.168.200.11:8765` |
 
 ## 从主站迁入的两块配置
 
 - **模型池**：按供应商组织（同一 API 地址下可挂多个模型），填好地址与 Key 后可自动拉取 `/models` 勾选纳入；供应商不支持或拉取失败时用卡内「手动录入」兜底。主 / 辅模型分工在「调用编排」里指定。密钥加密存于主站，界面只回显后四位。
 - **会员与邀请码**：会员开通 / 续期 / 停用、每日调用额度，以及一次性邀请码的生成、复制、作废。注册必须提交有效邀请码，每个码只能成功注册一次（并发提交也只有一个成功）。列表只显示掩码，完整码仅在生成瞬间与「复制」动作中可得。
 
-数据仍归主站所有（同一个 `review.db`），中枢只是唯一的管理入口；主站页面上原本的模型池与会员管理分区已移除，「数据中枢」按钮指向 8766。
+数据仍归主站所有（同一个 `review.db`），中枢只是唯一的管理入口；主站页面上原本的模型池与会员管理分区已移除，「数据中枢」按钮固定指向 `http://192.168.200.11:8766/admin/`（HEL-564，不按主机名推导）。
 
 ## Docker（独立 compose，不改现网 review 服务）