feat(scratch-vm): 甲子園 実ゲームサーバー通信モード（RemoteClient）

[takaokouji]

Epic: #738 / Phase P3

ゴール

ブラウザの scratch-vm 拡張(JS)が実ゲームサーバーに直接 HTTP 通信し、接続していれば本当に
ゲームを進行できるようにする。未接続なら #A の MockClient（固定値）にフォールバックする。
→ 「サーバーにつながなくても AI を作れて、つなげば実戦できる」状態。

方針: RemoteClient（ai_lib.rb の JS 移植）

KoshienClient の実装として RemoteClient を追加。tmp/smalruby-koshien/src/lib/ai_lib.rb の
HTTP プロトコルを JS（fetch）で再現する。#B のゴールデン契約テストで挙動一致を担保する。

実装するプロトコル（詳細は notes/koshien/protocol.md）:

• POST /api/manage/connectGame（body: name/uuid/side/code）→ 初期 api_info
• POST /api/manage/turnOver?uuid= → 次ターン状態（status: completed/timeout/timeup で終了）
• POST /api/move/to|setDynamite|setBomb（query: x,y,uuid）
• POST /api/move/setMessage（query: msg,uuid）
• GET /api/search/getMapArea?x=&y=&uuid= → 5×5 + other_player + enemy
• クライアント状態管理: my_map マージ、x/y/goal/other_player_pos/enemy_pos、行動数/movable、ターン
• calc_route/locate_objects は client 側ロジック（重み付きダイクストラ等）を JS で再現

接続判定とフォールバック

• 接続モード判定: サーバー疎通 + connectGame 成功なら RemoteClient、失敗/未設定なら MockClient。
• ブロックメソッドは KoshienClient インターフェース越しなので、両モードで同一コード。

CORS / ホスティング（要対処）

• 現状サーバーは 127.0.0.1:3000 固定・CORS 未対応。ブラウザから直接叩くには:
  • サーバー側 CORS 許可、またはプロキシ（既存 smalruby-api の cors-proxy 等の活用検討）
  • エンドポイント URL の設定方法（env / URL パラメータ / UI 設定）
  • 認証/対戦相手のマッチング（2人接続前提）の扱い
• これらは設計時に詰める（別途サブタスク化の可能性）。

Definition of Done

• RemoteClient が connectGame〜turnOver の1ゲームを実サーバー相手に完走できる
• 接続時=実進行 / 未接続時=MockClient フォールバックが切り替わる
• #B の契約テストで RemoteClient の挙動がゴールデンと一致
• CORS/エンドポイント設定の方式が決まり、編集機から実ゲームを進められる（Playwright か手動で確認）
• lint / CI green

依存

• #A（KoshienClient 抽象 + MockClient）と #B（契約テスト基盤）の完了が前提。

[takaokouji]

📎 ゲームサーバー CORS 対応パッチ（ブラウザ直接通信用）

ブラウザの甲子園拡張機能（RemoteClient, この Issue）がゲームサーバーへ直接 fetch できるよう、game_server に CORS を追加するパッチです。許可オリジン: localhost / 127.0.0.1（任意ポート）と *.smalruby.app / *.smalruby.jp。

• lib/api/base.rb に CORS ヘッダ付与 + OPTIONS（プリフライト）応答を追加。
• 既存の API 応答（GET/POST）にも許可オリジン一致時のみ CORS ヘッダを付与。
• 認証情報（cookie）は使わない前提（Allow-Origin は Origin を反射、credentials なし）。
• spec への影響なし（spec は API オブジェクトを直接叩くため CORS 経路を通らない。ruby -c + 既存 spec で確認済み）。

実ホスティング時にこのパッチを当てると、https://smalruby.app / https://smalruby.jp（およびローカル開発の localhost）からブラウザ拡張が直接ゲームサーバーへ通信できます。

diff --git a/game_server/lib/api/base.rb b/game_server/lib/api/base.rb
index 35d77a8..34313db 100644
--- a/game_server/lib/api/base.rb
+++ b/game_server/lib/api/base.rb
@@ -5,6 +5,11 @@ module Api
   class Base < WEBrick::HTTPServlet::AbstractServlet
     API_CALL_LIMIT = 2
 
+    # ブラウザ (スモウルビー拡張機能) から直接通信できるよう CORS を許可するオリジン。
+    # localhost / 127.0.0.1 (任意ポート) と *.smalruby.app / *.smalruby.jp。
+    ALLOWED_ORIGIN_RE =
+      %r{\Ahttps?://(localhost(:\d+)?|127\.0\.0\.1(:\d+)?|([a-z0-9-]+\.)*smalruby\.(app|jp))\z}i
+
     # WEBrick用エントリポイント
     def do_POST(request, response)
       process_request(:post, request, response)
@@ -14,10 +19,29 @@ module Api
       process_request(:get, request, response)
     end
 
+    # CORS プリフライト (ブラウザからの POST 等で送られる)
+    def do_OPTIONS(request, response)
+      apply_cors(request, response)
+      response.status = WEBrick::HTTPStatus::RC_OK
+      response.body = ""
+    end
+
     private
 
+    # 許可オリジンなら CORS ヘッダを付与する
+    def apply_cors(request, response)
+      origin = request["Origin"]
+      return unless origin && origin =~ ALLOWED_ORIGIN_RE
+
+      response["Access-Control-Allow-Origin"] = origin
+      response["Access-Control-Allow-Methods"] = "GET, POST, OPTIONS"
+      response["Access-Control-Allow-Headers"] = "Content-Type"
+      response["Access-Control-Max-Age"] = "86400"
+    end
+
     # リクエスト受付時の処理
     def process_request(method, request, response)
+      apply_cors(request, response)
       # アクセスログ
       # かなり情報量が増えるのでコメントアウトしている
       # 必要に応じて有効化する