fix: 统一 CSRF token 获取方式，修复 token 刷新后缓存失效

- utils.js getCSRFToken() 改为从 cookie 优先读取，meta 标签作为后备
- show.html 5处移除 csrfToken 缓存变量，改用 getCSRFToken() 动态获取
- studio/posts.html/drafts.html 移除 {{ .CSRFToken }} 模板硬编码
- studio-editor.js 移除本地 getCsrfToken()，改用共享 getCSRFToken()
- settings/index.html messages/index.html 改用 getCSRFToken()
- admin posts.js/comments.js 移除本地/死代码 CSRF 获取，统一用共享方法

templates/MetaLab-2026/html/messages/index.html

@@ -133,12 +133,10 @@
                 if (link) {
                     // 有链接的通知：使用 fetch keepalive 确保页面跳转前标记已读不会丢失
                     e.preventDefault();
-                    var csrfMeta = document.querySelector('meta[name="csrf-token"]');
-                    var csrfToken = csrfMeta ? csrfMeta.getAttribute('content') : '';
                     fetch('/api/messages/' + id + '/read', {
                         method: 'POST',
                         keepalive: true,
-                        headers: { 'X-CSRF-Token': csrfToken }
+                        headers: { 'X-CSRF-Token': getCSRFToken() }
                     });
                     card.classList.remove('unread');
                     var badge = card.querySelector('.msg-badge');