fix: CSP 策略移除 unsafe-inline，改用 nonce 机制

- SecurityHeaders 中间件生成随机 nonce，注入 context
- BuildPageData/BuildAdminPageData 将 CSPNonce 传递给模板
- 所有 19 个模板文件 <script> 标签添加 nonce 属性
- 移除所有内联事件处理（onclick/onerror），改用事件监听
- 移除所有 javascript:void(0) 链接，改用 # 号 + preventDefault
- utils.js 添加全局 avatar 图片加载失败回退处理
- common.js 登出按钮添加 preventDefault
- audit.js 关闭弹窗按钮改用事件监听

templates/admin/html/layout/footer.html

@@ -1,9 +1,9 @@
     </main>
 </div>
-<script src="/shared/static/js/utils.js?v={{assetV "/shared/static/js/utils.js"}}"></script>
-<script src="/admin/static/js/common.js?v={{assetV "/admin/static/js/common.js"}}"></script>
+<script src="/shared/static/js/utils.js?v={{assetV "/shared/static/js/utils.js"}}" nonce="{{.CSPNonce}}"></script>
+<script src="/admin/static/js/common.js?v={{assetV "/admin/static/js/common.js"}}" nonce="{{.CSPNonce}}"></script>
 {{if .ExtraJS}}
-<script src="{{.ExtraJS}}"></script>
+<script src="{{.ExtraJS}}" nonce="{{.CSPNonce}}"></script>
 {{end}}
 </body>
 </html>