refactor: CSP nonce替代unsafe-inline, HSTS始终启用, router/api拆分, 管理后台+用户设置页拆分, DB健康降级, 时区配置, UID统一解析, CI接入

审计修复:
- CSP: unsafe-inline移除, nonce替代; unsafe-eval保留供Vditor使用
- HSTS: 始终启用(不再依赖release模式)
- Controller Exp: common.GetGinExp包装, 不再直接读context
- UID解析: common.ParseUIDParam统一, follow/admin controller改用

重构:
- router/api.go(198行)拆为7个域文件: auth/settings/posts/comments/reactions/social/studio
- 管理后台站点设置: 单页拆为4个子页(brand/security/registration/content)+子菜单
- 前台用户设置页: 1201行拆为6个独立模板+6个独立JS文件

新增:
- DB健康检测中间件(middleware/db_health.go): 5s ping+降级页面
- 时区配置: config.yaml server.timezone→time.Local初始化
- .gitea/workflows/ci.yml: strict模式CI流水线

cmd/server/main.go

@@ -6,6 +6,7 @@ import (
 
 	"metazone.cc/mce/internal/common"
 	"metazone.cc/mce/internal/config"
+	"metazone.cc/mce/internal/middleware"
 	"metazone.cc/mce/internal/model"
 	"metazone.cc/mce/internal/repository"
 	"metazone.cc/mce/internal/router"
@@ -22,6 +23,16 @@ func main() {
 	// 配置
 	cfg := config.Load("config.yaml")
 
+	// 设置时区
+	if cfg.Server.Timezone != "" {
+		loc, err := time.LoadLocation(cfg.Server.Timezone)
+		if err != nil {
+			log.Printf("警告：时区 %s 无效，使用系统时区: %v", cfg.Server.Timezone, err)
+		} else {
+			time.Local = loc
+		}
+	}
+
 	// 从配置初始化角色系统（OCP：新增角色无需修改源代码）
 	model.InitRoles(cfg.Roles.Levels, cfg.Roles.Names, cfg.Roles.Permissions.OperableRoles)
 
@@ -98,6 +109,9 @@ func main() {
 		log.Fatalf("初始化站点设置失败: %v", err)
 	}
 
+	// 启动数据库健康检测（每 5s ping，失败自动降级）
+	middleware.StartDBHealthCheck(db)
+
 	// 路由注册
 	router.Setup(r, db, cfg, siteSettings, redisClient)