fix: handle OPTIONS preflight requests

[SsuJojo]

Summary

• Add a global OPTIONS handler for browser/client preflight requests
• Return CORS preflight headers before normal route middleware, covering GET endpoints like /v1/models

Test plan

• Not run per request

[icebear0828]

Review notes:

这个改动整体低风险，我没有看到 blocker。两个小建议可以考虑顺手补：

1. Vary 建议包含 Access-Control-Request-Method；preflight 响应也会受 request method 影响。
2. 当前 app.options("*") 放在 requestId/logger 等全局 middleware 前，所以 preflight 不会进入统一 request id / logging。如果项目希望所有请求都有日志，可以调整顺序；如果是刻意让 preflight 更轻量，也可以保持现状。

这两个都不是阻塞问题。