Authorization Bypass｜两层中间件授权判定与资源路径脱钩：/api/ann* 通配转发 + ../ 路径遍历绕过 403 直达内部资源

# 两层中间件授权判定与资源路径脱钩（/api/ann* + ../ 绕过）

## 业务与架构推断
前端 → openresty