fix: 审计问题全量修复 + RateLimiter 原子化重构 + CDN 本地化收紧

- 安全：移除 CSP 中 esm.sh/cdnjs.cloudflare.com，highlight.js 主题已本地化 73 个文件
- 安全：StatusBanned 分支补 dummy hash 防时序攻击
- 安全：手写 constantTimeEq 替换为 crypto/subtle.ConstantTimeCompare
- Bug：锁定操作消息已删除→已锁定
- YAGNI：删除 12 个空预留模板目录
- KISS：删除 common.CheckPassword 薄封装，统一用 bcrypt 调用
- KISS：删除 tokenCtrl 别名字段，api.go 统一用 authCtrl
- RateLimiter：check()+recordFail 闭包模式重构为 try() 原子操作，消除竞态
- RateLimiter：新增 ClearIP() 方法，注册成功时清除 IP 计数
- 文档：修正 audit_service.go 注释编号跳跃(3→5→4)
- 文档：修正 deps_core.go 过清理→过期清理

internal/router/api.go

@@ -40,12 +40,12 @@ func setupAPIRoutes(r *gin.Engine, cfg *config.Config, d *dependencies) {
 	api := r.Group("/api")
 	api.Use(middleware.CSRF(cfg))
 	{
-		api.POST("/auth/check-email", d.tokenCtrl.CheckEmail)
-		api.POST("/auth/register", d.tokenCtrl.Register)
-		api.POST("/auth/login", d.tokenCtrl.Login)
-		api.POST("/auth/confirm-restore", d.tokenCtrl.ConfirmRestore)
-		api.POST("/auth/logout", d.tokenCtrl.Logout)
-		api.POST("/auth/refresh", d.tokenCtrl.RefreshToken)
+		api.POST("/auth/check-email", d.authCtrl.CheckEmail)
+		api.POST("/auth/register", d.authCtrl.Register)
+		api.POST("/auth/login", d.authCtrl.Login)
+		api.POST("/auth/confirm-restore", d.authCtrl.ConfirmRestore)
+		api.POST("/auth/logout", d.authCtrl.Logout)
+		api.POST("/auth/refresh", d.authCtrl.RefreshToken)
 
 		// 帖子公开 API（无需登录）
 		api.GET("/posts", d.postCtrl.ListAPI)

internal/router/deps_core.go

@@ -27,7 +27,6 @@ type dependencies struct {
 	adminCtrl       *adminCtrl.AdminController
 	auditCtrl       *adminCtrl.AuditController
 	siteSettingCtrl *adminCtrl.SiteSettingController
-	tokenCtrl       *controller.AuthController
 }
 
 func buildDepsCore(db *gorm.DB, cfg *config.Config, siteSettings *config.SiteSettings) (
@@ -42,7 +41,7 @@ func buildDepsCore(db *gorm.DB, cfg *config.Config, siteSettings *config.SiteSet
 		time.Duration(cfg.Session.IdleTimeout)*time.Minute,
 		time.Duration(cfg.Session.RememberTimeout)*time.Minute,
 	)
-	// 启动后台过清理 goroutine
+	// 启动后台过期清理 goroutine
 	sessionStore.StartCleanup(time.Duration(cfg.Session.CleanupInterval) * time.Second)
 
 	sessionMgr := session.NewManager(sessionStore, userRepo, cfg)

internal/router/deps_extra.go

@@ -51,6 +51,6 @@ func buildDeps(db *gorm.DB, cfg *config.Config, siteSettings *config.SiteSetting
 		studioCtrl: studioCtrl,
 		adminPostCtrl: adminPostCtrl,
 		adminCtrl: adminController, auditCtrl: auditController,
-		siteSettingCtrl: siteSettingController, tokenCtrl: authCtrl,
+		siteSettingCtrl: siteSettingController,
 	}
 }