fix(web-api): CORS preflight OPTIONS до CorsMiddleware

[Ibochkarev]

Описание

Браузерный CORS preflight (OPTIONS) к Web API получал 405 Method not allowed: FastRoute отдавал METHOD_NOT_ALLOWED до запуска group middleware, и CorsMiddleware не успевал ответить.

Теперь Router::dispatch() на OPTIONS для известных storefront-путей (/api/v1/*) прогоняет только middleware найденного маршрута. Handler не вызывается — preflight не триггерит POST/GET side effects. CorsMiddleware возвращает Response 200 вместо exit, чтобы Router и PHPUnit могли обработать ответ.

Closes #634

Тип изменений

• Исправление бага (non-breaking change)

Связанные Issues

Closes #634

Как это было протестировано?

cd core/components/minishop3
composer ci:php   # exit 0 — php -l, smoke (89), PHPUnit 260 tests

Добавлены HeadlessStorefrontCorsRouterTest: OPTIONS на /api/v1/health, POST-only /api/v1/cart/add, неизвестный path → 404, handler не вызывается без CorsMiddleware.

• Автоматические тесты (composer ci:php)

Конфигурация тестирования:

• MiniShop3: beta
• PHP: 8.4.17 (локально)

Чеклист

• Код соответствует стилю проекта
• Изменения не ломают существующую функциональность
• Лексиконы (не требуются)
• CHANGELOG (релиз maintainer)

Дополнительные заметки

Кастомные роуты в ms3.routes.d/web без CorsMiddleware по-прежнему получат 405 на OPTIONS (handler не выполняется). Для headless-витрины аддон должен вешать тот же CORS stack, что и web.php.