fix: 审计问题全量修复 + RateLimiter 原子化重构 + CDN 本地化收紧

- 安全：移除 CSP 中 esm.sh/cdnjs.cloudflare.com，highlight.js 主题已本地化 73 个文件
- 安全：StatusBanned 分支补 dummy hash 防时序攻击
- 安全：手写 constantTimeEq 替换为 crypto/subtle.ConstantTimeCompare
- Bug：锁定操作消息已删除→已锁定
- YAGNI：删除 12 个空预留模板目录
- KISS：删除 common.CheckPassword 薄封装，统一用 bcrypt 调用
- KISS：删除 tokenCtrl 别名字段，api.go 统一用 authCtrl
- RateLimiter：check()+recordFail 闭包模式重构为 try() 原子操作，消除竞态
- RateLimiter：新增 ClearIP() 方法，注册成功时清除 IP 计数
- 文档：修正 audit_service.go 注释编号跳跃(3→5→4)
- 文档：修正 deps_core.go 过清理→过期清理

internal/middleware/ratelimit.go

@@ -21,12 +21,14 @@ func NewRateLimiter() *RateLimiter {
 	return rl
 }
 
-// AllowAccount 检查账户维度是否允许登录尝试
-func (rl *RateLimiter) AllowAccount(email string) (RateLimitResult, func()) {
-	return rl.check(rl.accountFailures, email, accountWindow, accountBlockDur, accountMaxFails, true)
+// AllowAccount 原子检查+递增帐户维度。未被封禁则递增失败计数并返回允许。
+// 调用方在操作成功（如登录成功）时应调用 Clear 清除计数。
+func (rl *RateLimiter) AllowAccount(email string) RateLimitResult {
+	return rl.try(rl.accountFailures, email, accountWindow, accountBlockDur, accountMaxFails, true)
 }
 
-// AllowIP 检查 IP 维度是否允许登录尝试
-func (rl *RateLimiter) AllowIP(ip string) (RateLimitResult, func()) {
-	return rl.check(rl.ipFailures, ip, ipWindow, ipBlockDur, ipMaxFails, false)
+// AllowIP 原子检查+递增 IP 维度。未被封禁则递增失败计数并返回允许。
+// 调用方在操作成功时应调用 Clear 清除计数。
+func (rl *RateLimiter) AllowIP(ip string) RateLimitResult {
+	return rl.try(rl.ipFailures, ip, ipWindow, ipBlockDur, ipMaxFails, false)
 }