fix: 设计原则审查修复 — DIP/ISP, LoD, DRY, OCP, URL, 301缓存

- P0 DIP+ISP: 全链路注入接口，消除零接口紧耦合
- P0 URL: auth 301→302，修复登出后浏览器缓存陷阱
- P1 DRY: JWT 认证逻辑收敛至 TokenService+中间件
- P2 DRY: 前后端角色/状态映射统一为 model 常量
- P2 LoD: 新增 SettingsController，router 不再跨层调 repo
- P2 URL: settings ?tab= → /settings/:tab 伪静态
- P3 OCP: 角色权限 map 化，告别硬编码 switch

templates/shared/static/js/utils.js

@@ -0,0 +1,14 @@
+/* ============================================================
+   MetaLab 共享工具函数 — 前后台公用，消除 DRY 重复
+   ============================================================ */
+'use strict';
+
+/**
+ * 从 <meta name="csrf-token"> 读取 CSRF 令牌
+ * 由服务端 CSRF 中间件注入到页面模板的 <meta> 标签中
+ * @returns {string} CSRF 令牌，未找到时返回空字符串
+ */
+function getCSRFToken() {
+    var meta = document.querySelector('meta[name="csrf-token"]');
+    return meta ? meta.getAttribute('content') : '';
+}