fix: 修复 CSRF 缺失 + 重写编辑器为三模式（所见即所得/源码/分屏）

CSRF 修复：
- /posts/new 和 /posts/:id/edit 原在独立 postPages group 中，仅含 Required 中间件，缺少 CSRF 下发
- 移动到 pages group（含 CSRF 中间件），用 per-route d.authMdw.Required() 弥补登录校验
- 同时消除 /posts/:id 与 /posts/new 潜在的路由冲突

编辑器重写：
- 添加三种编辑模式切换标签：所见即所得 / 源码 / 分屏预览
- 所见即所得（默认）：contenteditable 编辑区 + 工具条（execCommand）
  支持加粗、斜体、H2/H3、链接、图片、引用、代码、列表、分割线
- 源码：纯 textarea，textarea 作为数据源始终保存 markdown 原文
- 分屏：左 textarea 编辑 + 右实时渲染预览（API 渲染）
- 模式切换时自动同步：WYSIWYG → HTML → Markdown → textarea
- 工具条在 WYSIWYG 模式用 execCommand，源码模式用文本包裹语法

实现细节：
- contenteditable ← textarea 双向同步（WYSIWYG 模式）
- 基本 HTML→Markdown 转换器（strong/em/h1-h6/a/pre/code/li/blockquote/img）
- 分屏布局用 JS toggled .split-mode class（非 :has()，兼容 Firefox）
- 编辑器初始时自动进 WYSIWYG 模式渲染已有内容

internal/router/frontend.go

@@ -36,15 +36,9 @@ func setupFrontendRoutes(r *gin.Engine, cfg *config.Config, d *dependencies) {
 
 		// 帖子页面
 		pages.GET("/posts", d.postCtrl.ListPage)
+		pages.GET("/posts/new", d.authMdw.Required(), d.postCtrl.NewPage)
 		pages.GET("/posts/:id", d.postCtrl.ShowPage)
-	}
-
-	// 帖子页面（需登录）
-	postPages := r.Group("/posts")
-	postPages.Use(d.authMdw.Required())
-	{
-		postPages.GET("/new", d.postCtrl.NewPage)
-		postPages.GET("/:id/edit", d.postCtrl.EditPage)
+		pages.GET("/posts/:id/edit", d.authMdw.Required(), d.postCtrl.EditPage)
 	}
 
 	// 认证页面（已登录自动跳走）