fix: CSP 策略移除 unsafe-inline，改用 nonce 机制

- SecurityHeaders 中间件生成随机 nonce，注入 context
- BuildPageData/BuildAdminPageData 将 CSPNonce 传递给模板
- 所有 19 个模板文件 <script> 标签添加 nonce 属性
- 移除所有内联事件处理（onclick/onerror），改用事件监听
- 移除所有 javascript:void(0) 链接，改用 # 号 + preventDefault
- utils.js 添加全局 avatar 图片加载失败回退处理
- common.js 登出按钮添加 preventDefault
- audit.js 关闭弹窗按钮改用事件监听

internal/common/helper.go

@@ -82,6 +82,10 @@ func BuildPageData(c *gin.Context, extra gin.H) gin.H {
 	for k, v := range extra {
 		data[k] = v
 	}
+	// 注入 CSP nonce（由 SecurityHeaders 中间件生成）
+	if nonce, exists := c.Get("csp_nonce"); exists {
+		data["CSPNonce"] = nonce
+	}
 	if username, exists := c.Get("username"); exists {
 		data["IsLoggedIn"] = true
 		data["Username"] = username