fix: 审计问题全量修复 + RateLimiter 原子化重构 + CDN 本地化收紧

- 安全：移除 CSP 中 esm.sh/cdnjs.cloudflare.com，highlight.js 主题已本地化 73 个文件
- 安全：StatusBanned 分支补 dummy hash 防时序攻击
- 安全：手写 constantTimeEq 替换为 crypto/subtle.ConstantTimeCompare
- Bug：锁定操作消息已删除→已锁定
- YAGNI：删除 12 个空预留模板目录
- KISS：删除 common.CheckPassword 薄封装，统一用 bcrypt 调用
- KISS：删除 tokenCtrl 别名字段，api.go 统一用 authCtrl
- RateLimiter：check()+recordFail 闭包模式重构为 try() 原子操作，消除竞态
- RateLimiter：新增 ClearIP() 方法，注册成功时清除 IP 计数
- 文档：修正 audit_service.go 注释编号跳跃(3→5→4)
- 文档：修正 deps_core.go 过清理→过期清理

internal/service/shortcode_service.go

@@ -124,14 +124,18 @@ func renderPlaceholder(sc model.Shortcode) string {
 		)
 
 	case model.ShortcodePoll:
-		// [zone:poll:投票ID] ※预留
+		// [zone:poll:投票ID]
+		// 前端根据投票ID获取标题、选项、截止时间等信息
+		// ※后端 API 开发中
 		return fmt.Sprintf(
-			`<div class="zone-card" data-zone-type="poll" data-zone-id="%s"><span class="zone-card-loading">投票组件加载中...</span></div>`,
+			`<div class="zone-card" data-zone-type="poll" data-zone-id="%s"><span class="zone-card-loading">投票卡片加载中...</span></div>`,
 			html.EscapeString(sc.Params),
 		)
 
 	case model.ShortcodeResource:
-		// [zone:resource:资源ID] ※预留
+		// [zone:resource:资源ID]
+		// 前端根据资源ID获取名称、描述、下载链接等信息
+		// ※后端 API 开发中
 		return fmt.Sprintf(
 			`<div class="zone-card" data-zone-type="resource" data-zone-id="%s"><span class="zone-card-loading">资源卡片加载中...</span></div>`,
 			html.EscapeString(sc.Params),