fix: 修正令牌鉴权拦下静态资源、全量地图数据每 20 秒重传两个问题

- 静态资源改到鉴权中间件之前：浏览器加载 index.html 时带的 ?token= 不会附加到
  style.css / app.js 的子请求上，原先一并拦截会导致页面缺样式缺脚本
- 全量地图数据（实测 11.5 万区块约 1MB JSON）改为按需拉取：
  勾选「显示全部邦国」、手动刷新地图或超过 5 分钟时才拉全量，
  定时刷新只拉己方领土（约 4KB）并复用上一次的全量数据
- 配置热更新时直接替换控制器配置对象，去掉多余的一层浅合并

测试：新增静态资源可加载的回归用例，154 个用例全绿。

README.md

@@ -165,7 +165,7 @@ npm start
 | `MC_AUTH` | `offline`（离线服）或 `microsoft`（正版） |
 | `MC_PASSWORD` | 服务器登录 / 注册密码，供 `{password}` 占位符使用 |
 | `WEB_HOST` / `WEB_PORT` | 控制台监听地址与端口 |
-| `WEB_TOKEN` | 控制台访问令牌；非本机访问**必须**设置 |
+| `WEB_TOKEN` | 控制台访问令牌；非本机访问**必须**设置（页面静态资源不校验，`/api` 与 WebSocket 握手校验） |
 | `DYNMAP_BASE` / `DYNMAP_WORLD` | 地图数据源根地址与世界目录名 |
 | `SIMP_API_KEY` | SimpCore 开放 API Key（可选） |