feat: 消息通知中心 + 账号安全体系 + Bug修复

## 新增功能

### 消息通知中心 (全新模块)
- 新增 MessageController / NotificationService / NotificationRepo
- SSR 消息页面 (/messages)：左侧边栏 + 右侧卡片列表，noindex 元标签
- 通知能力：列表分页、单条标为已读、一键全部标为已读
- 未读数角标 (1/66/99+)：侧边栏 + 导航栏铃铛图标
- 导航栏轮询 /api/messages/unread 每 60 秒刷新未读数
- 审核通过/驳回时自动 fire-and-forget 推送通知

### 密码修改
- ChangePassword：验证当前密码 → 新密码强度校验(8位+字母+数字) → 哈希更新
- 修改后递增 token_version 强制所有设备退登

### 账号自助注销
- DeleteAccount：验证密码 → 设置 deleted 状态 → 记录原因 → 吊销 JWT
- 注销后登录二次确认：Login 检测 deleted → 返回 confirm_restore
- ConfirmRestore 恢复账号，重新签发 token
- 注销页文案："账号将在 7 天后正式注销，期间可随时重新登录恢复"

### IP 审计记录
- 注册时记录 RegIP，登录时记录 LastLoginIP + LastLoginAt
- clientIP() 支持 X-Forwarded-For / X-Real-IP 反向代理

### 安全加固
- Login 防时序攻击：用户不存在时仍执行完整 bcrypt 比对
- FindByEmail 改用 Unscoped() 覆盖软删除用户
- 站长 (owner) 不允许自主注销，避免权限体系死锁

## Bug 修复

1. 注销按钮不触发：JS IIFE 中 profile 代码 return 阻塞了 account 标签页处理器注册
   → 拆分为两层 IIFE，profile 放在内层
2. label 缺少 for 属性导致控制台警告 → 全部补充 for 属性
3. 注销后未自动退登：DeleteAccount 只设状态未吊销 JWT → 末尾加 InvalidateSessions
4. 退登后重定向 500 panic：authenticateToken 中 err||versionMismatch 合并判断
   在 err=nil 但版本不匹配时返回 (nil,nil) → 拆为两个独立判断
   injectUserContext 增加 claims==nil / 类型断言空安全守卫
5. 注销后登录直接提示"登录成功"：FindByEmail 默认 scope 排除软删除记录
   → 改用 Unscoped()

## 文件变更
- 新建 17 个文件 (消息/审核/站点设置完整模块)
- 修改 25 个文件 (认证/设置/中间件/前端)
- 统计：+3229 / -161，42 files changed

internal/config/config.go

@@ -16,6 +16,15 @@ type Config struct {
 	JWT      JWTConfig      `mapstructure:"jwt"`
 	Bcrypt   BcryptConfig   `mapstructure:"bcrypt"`
 	Roles    RolesConfig    `mapstructure:"roles"`
+	Audit    AuditConfig    `mapstructure:"audit"`
+}
+
+// AuditConfig 审核系统配置（config.yaml 提供默认值，站点设置可运行时覆盖）
+type AuditConfig struct {
+	Enabled        bool `mapstructure:"enabled"`
+	UsernameAudit  bool `mapstructure:"username_audit"`
+	AvatarAudit    bool `mapstructure:"avatar_audit"`
+	BioAudit       bool `mapstructure:"bio_audit"`
 }
 
 type ServerConfig struct {

internal/config/site_settings.go

@@ -0,0 +1,109 @@
+package config
+
+import (
+	"strconv"
+	"sync"
+
+	"metazone.cc/metalab/internal/model"
+
+	"gorm.io/gorm"
+)
+
+// SiteSettings 站点设置管理器（DB 持久化 + 内存缓存，不重启生效）
+// 启动时从 DB 加载全量到内存，运行时读内存不查 DB，写入同步写 DB 和内存
+type SiteSettings struct {
+	mu   sync.RWMutex
+	data map[string]string
+	db   *gorm.DB
+}
+
+// NewSiteSettings 创建站点设置管理器并加载 DB 中已有配置
+func NewSiteSettings(db *gorm.DB) (*SiteSettings, error) {
+	ss := &SiteSettings{
+		data: make(map[string]string),
+		db:   db,
+	}
+	if err := ss.reload(); err != nil {
+		return nil, err
+	}
+	return ss, nil
+}
+
+// reload 从 DB 加载全量设置到内存
+func (s *SiteSettings) reload() error {
+	var rows []model.SiteSetting
+	if err := s.db.Find(&rows).Error; err != nil {
+		return err
+	}
+	s.mu.Lock()
+	defer s.mu.Unlock()
+	for _, row := range rows {
+		s.data[row.Key] = row.Value
+	}
+	return nil
+}
+
+// Get 读取一个字符串值，不存在返回默认值
+func (s *SiteSettings) Get(key, defaultVal string) string {
+	s.mu.RLock()
+	defer s.mu.RUnlock()
+	val, ok := s.data[key]
+	if !ok {
+		return defaultVal
+	}
+	return val
+}
+
+// GetBool 读取布尔值，不存在返回默认值（仅 "true" 字符串视为 true）
+func (s *SiteSettings) GetBool(key string, defaultVal bool) bool {
+	s.mu.RLock()
+	defer s.mu.RUnlock()
+	val, ok := s.data[key]
+	if !ok {
+		return defaultVal
+	}
+	b, err := strconv.ParseBool(val)
+	if err != nil {
+		return defaultVal
+	}
+	return b
+}
+
+// Set 写入设置（同步写 DB + 更新内存）
+func (s *SiteSettings) Set(key, value string) error {
+	entry := model.SiteSetting{Key: key, Value: value}
+	if err := s.db.Save(&entry).Error; err != nil {
+		return err
+	}
+	s.mu.Lock()
+	s.data[key] = value
+	s.mu.Unlock()
+	return nil
+}
+
+// SetBool 写入布尔设置
+func (s *SiteSettings) SetBool(key string, value bool) error {
+	return s.Set(key, strconv.FormatBool(value))
+}
+
+// All 返回所有设置的快照（用于前端展示）
+func (s *SiteSettings) All() map[string]string {
+	s.mu.RLock()
+	defer s.mu.RUnlock()
+	cp := make(map[string]string, len(s.data))
+	for k, v := range s.data {
+		cp[k] = v
+	}
+	return cp
+}
+
+// IsAuditEnabled 审核总开关是否开启
+// 优先查站点设置 DB，若无则取 config.yaml 默认值
+func (s *SiteSettings) IsAuditEnabled() bool {
+	return s.GetBool("audit.enabled", App.Audit.Enabled)
+}
+
+// IsAuditTypeEnabled 某类型审核是否开启
+func (s *SiteSettings) IsAuditTypeEnabled(auditType string, defaultVal bool) bool {
+	return s.GetBool("audit."+auditType, defaultVal)
+}