feat: 消息通知中心 + 账号安全体系 + Bug修复

## 新增功能

### 消息通知中心 (全新模块)
- 新增 MessageController / NotificationService / NotificationRepo
- SSR 消息页面 (/messages)：左侧边栏 + 右侧卡片列表，noindex 元标签
- 通知能力：列表分页、单条标为已读、一键全部标为已读
- 未读数角标 (1/66/99+)：侧边栏 + 导航栏铃铛图标
- 导航栏轮询 /api/messages/unread 每 60 秒刷新未读数
- 审核通过/驳回时自动 fire-and-forget 推送通知

### 密码修改
- ChangePassword：验证当前密码 → 新密码强度校验(8位+字母+数字) → 哈希更新
- 修改后递增 token_version 强制所有设备退登

### 账号自助注销
- DeleteAccount：验证密码 → 设置 deleted 状态 → 记录原因 → 吊销 JWT
- 注销后登录二次确认：Login 检测 deleted → 返回 confirm_restore
- ConfirmRestore 恢复账号，重新签发 token
- 注销页文案："账号将在 7 天后正式注销，期间可随时重新登录恢复"

### IP 审计记录
- 注册时记录 RegIP，登录时记录 LastLoginIP + LastLoginAt
- clientIP() 支持 X-Forwarded-For / X-Real-IP 反向代理

### 安全加固
- Login 防时序攻击：用户不存在时仍执行完整 bcrypt 比对
- FindByEmail 改用 Unscoped() 覆盖软删除用户
- 站长 (owner) 不允许自主注销，避免权限体系死锁

## Bug 修复

1. 注销按钮不触发：JS IIFE 中 profile 代码 return 阻塞了 account 标签页处理器注册
   → 拆分为两层 IIFE，profile 放在内层
2. label 缺少 for 属性导致控制台警告 → 全部补充 for 属性
3. 注销后未自动退登：DeleteAccount 只设状态未吊销 JWT → 末尾加 InvalidateSessions
4. 退登后重定向 500 panic：authenticateToken 中 err||versionMismatch 合并判断
   在 err=nil 但版本不匹配时返回 (nil,nil) → 拆为两个独立判断
   injectUserContext 增加 claims==nil / 类型断言空安全守卫
5. 注销后登录直接提示"登录成功"：FindByEmail 默认 scope 排除软删除记录
   → 改用 Unscoped()

## 文件变更
- 新建 17 个文件 (消息/审核/站点设置完整模块)
- 修改 25 个文件 (认证/设置/中间件/前端)
- 统计：+3229 / -161，42 files changed

internal/repository/audit_repo.go

@@ -0,0 +1,103 @@
+package repository
+
+import (
+	"metazone.cc/metalab/internal/model"
+
+	"gorm.io/gorm"
+)
+
+// AuditRepo 审核记录数据访问
+type AuditRepo struct {
+	db *gorm.DB
+}
+
+// NewAuditRepo 构造函数
+func NewAuditRepo(db *gorm.DB) *AuditRepo {
+	return &AuditRepo{db: db}
+}
+
+// AutoMigrate 自动迁移审核表
+func (r *AuditRepo) AutoMigrate() error {
+	return r.db.AutoMigrate(&model.AuditSubmission{})
+}
+
+// Create 创建审核提交
+func (r *AuditRepo) Create(audit *model.AuditSubmission) error {
+	return r.db.Create(audit).Error
+}
+
+// FindByID 按 ID 查找审核记录
+func (r *AuditRepo) FindByID(id uint) (*model.AuditSubmission, error) {
+	var audit model.AuditSubmission
+	err := r.db.First(&audit, id).Error
+	if err != nil {
+		return nil, err
+	}
+	return &audit, nil
+}
+
+// FindPendingByUserAndType 查找用户某类型的待审记录（用于连续提交覆盖）
+func (r *AuditRepo) FindPendingByUserAndType(userID uint, auditType string) (*model.AuditSubmission, error) {
+	var audit model.AuditSubmission
+	err := r.db.
+		Where("user_id = ? AND audit_type = ? AND status = ?", userID, auditType, model.AuditStatusPending).
+		First(&audit).Error
+	if err != nil {
+		return nil, err
+	}
+	return &audit, nil
+}
+
+// Update 全量更新审核记录
+func (r *AuditRepo) Update(audit *model.AuditSubmission) error {
+	return r.db.Save(audit).Error
+}
+
+// findAudits 构建审核列表查询
+func (r *AuditRepo) findAudits(auditType, status string) *gorm.DB {
+	q := r.db.Model(&model.AuditSubmission{})
+	if auditType != "" {
+		q = q.Where("audit_type = ?", auditType)
+	}
+	if status != "" {
+		q = q.Where("status = ?", status)
+	}
+	return q
+}
+
+// ListAudits 分页查询审核列表
+func (r *AuditRepo) ListAudits(auditType, status string, offset, limit int) ([]model.AuditSubmission, error) {
+	var audits []model.AuditSubmission
+	err := r.findAudits(auditType, status).
+		Order("created_at DESC").
+		Offset(offset).Limit(limit).
+		Find(&audits).Error
+	return audits, err
+}
+
+// CountAudits 统计审核记录总数
+func (r *AuditRepo) CountAudits(auditType, status string) (int64, error) {
+	var count int64
+	err := r.findAudits(auditType, status).Count(&count).Error
+	return count, err
+}
+
+// FindPendingByUserID 查找用户所有待审记录（用于个人中心提示）
+func (r *AuditRepo) FindPendingByUserID(userID uint) ([]model.AuditSubmission, error) {
+	var audits []model.AuditSubmission
+	err := r.db.
+		Where("user_id = ? AND status = ?", userID, model.AuditStatusPending).
+		Find(&audits).Error
+	return audits, err
+}
+
+// ExistsPendingByTypeAndValue 检查是否有同类型同值的待审记录（用于防重名提交）
+// 排除指定 userID 的记录（允许同一用户覆盖自己的提交）
+func (r *AuditRepo) ExistsPendingByTypeAndValue(auditType, newValue string, excludeUserID uint) (bool, error) {
+	var count int64
+	err := r.db.Model(&model.AuditSubmission{}).
+		Where("audit_type = ? AND new_value = ? AND status = ? AND user_id != ?",
+			auditType, newValue, model.AuditStatusPending, excludeUserID).
+		Count(&count).Error
+	return count > 0, err
+}

internal/repository/notification_repo.go

@@ -0,0 +1,67 @@
+package repository
+
+import (
+	"metazone.cc/metalab/internal/model"
+
+	"gorm.io/gorm"
+)
+
+// NotificationRepo 消息/通知数据访问
+type NotificationRepo struct {
+	db *gorm.DB
+}
+
+// NewNotificationRepo 构造函数
+func NewNotificationRepo(db *gorm.DB) *NotificationRepo {
+	return &NotificationRepo{db: db}
+}
+
+// AutoMigrate 自动迁移消息表
+func (r *NotificationRepo) AutoMigrate() error {
+	return r.db.AutoMigrate(&model.Notification{})
+}
+
+// Create 创建消息
+func (r *NotificationRepo) Create(n *model.Notification) error {
+	return r.db.Create(n).Error
+}
+
+// ListByUser 分页查询用户消息
+func (r *NotificationRepo) ListByUser(userID uint, offset, limit int) ([]model.Notification, error) {
+	var list []model.Notification
+	err := r.db.Where("user_id = ?", userID).
+		Order("created_at DESC").
+		Offset(offset).Limit(limit).
+		Find(&list).Error
+	return list, err
+}
+
+// CountByUser 统计用户消息总数
+func (r *NotificationRepo) CountByUser(userID uint) (int64, error) {
+	var count int64
+	err := r.db.Model(&model.Notification{}).Where("user_id = ?", userID).Count(&count).Error
+	return count, err
+}
+
+// CountUnread 统计用户未读消息数
+func (r *NotificationRepo) CountUnread(userID uint) (int64, error) {
+	var count int64
+	err := r.db.Model(&model.Notification{}).
+		Where("user_id = ? AND is_read = false", userID).
+		Count(&count).Error
+	return count, err
+}
+
+// MarkRead 标记单条消息为已读
+func (r *NotificationRepo) MarkRead(id, userID uint) error {
+	return r.db.Model(&model.Notification{}).
+		Where("id = ? AND user_id = ?", id, userID).
+		Update("is_read", true).Error
+}
+
+// MarkAllRead 将用户所有未读消息标记为已读
+func (r *NotificationRepo) MarkAllRead(userID uint) error {
+	return r.db.Model(&model.Notification{}).
+		Where("user_id = ? AND is_read = false", userID).
+		Update("is_read", true).Error
+}

internal/repository/site_setting_repo.go

@@ -0,0 +1,34 @@
+package repository
+
+import (
+	"metazone.cc/metalab/internal/model"
+
+	"gorm.io/gorm"
+)
+
+// SiteSettingRepo 站点设置数据访问
+type SiteSettingRepo struct {
+	db *gorm.DB
+}
+
+// NewSiteSettingRepo 构造函数
+func NewSiteSettingRepo(db *gorm.DB) *SiteSettingRepo {
+	return &SiteSettingRepo{db: db}
+}
+
+// AutoMigrate 自动迁移站点设置表
+func (r *SiteSettingRepo) AutoMigrate() error {
+	return r.db.AutoMigrate(&model.SiteSetting{})
+}
+
+// Upsert 创建或更新站点设置
+func (r *SiteSettingRepo) Upsert(key, value string) error {
+	return r.db.Save(&model.SiteSetting{Key: key, Value: value}).Error
+}
+
+// GetAll 获取所有站点设置
+func (r *SiteSettingRepo) GetAll() ([]model.SiteSetting, error) {
+	var settings []model.SiteSetting
+	err := r.db.Find(&settings).Error
+	return settings, err
+}

internal/repository/user_repo.go

@@ -21,10 +21,10 @@ func (r *UserRepo) Create(user *model.User) error {
 	return r.db.Create(user).Error
 }
 
-// FindByEmail 按邮箱查找用户
+// FindByEmail 按邮箱查找用户（含软删除，用于登录等需要找到已注销用户的场景）
 func (r *UserRepo) FindByEmail(email string) (*model.User, error) {
 	var user model.User
-	err := r.db.Where("email = ?", email).First(&user).Error
+	err := r.db.Unscoped().Where("email = ?", email).First(&user).Error
 	if err != nil {
 		return nil, err
 	}