fix: 统一 CSRF token 获取方式，修复 token 刷新后缓存失效

- utils.js getCSRFToken() 改为从 cookie 优先读取，meta 标签作为后备
- show.html 5处移除 csrfToken 缓存变量，改用 getCSRFToken() 动态获取
- studio/posts.html/drafts.html 移除 {{ .CSRFToken }} 模板硬编码
- studio-editor.js 移除本地 getCsrfToken()，改用共享 getCSRFToken()
- settings/index.html messages/index.html 改用 getCSRFToken()
- admin posts.js/comments.js 移除本地/死代码 CSRF 获取，统一用共享方法

templates/MetaLab-2026/html/settings/index.html

@@ -1032,9 +1032,6 @@
         var createBtn = document.getElementById('createFolderBtn');
         if (!listEl) return;
 
-        var csrfMeta = document.querySelector('meta[name="csrf-token"]');
-        var csrfToken = csrfMeta ? csrfMeta.getAttribute('content') : '';
-
         function esc(s) {
             var d = document.createElement('div');
             d.textContent = s || '';
@@ -1043,7 +1040,8 @@
 
         function api(method, url, data) {
             var opts = { method: method, headers: { 'Content-Type': 'application/json' } };
-            if (csrfToken) opts.headers['X-CSRF-Token'] = csrfToken;
+            var token = getCSRFToken();
+            if (token) opts.headers['X-CSRF-Token'] = token;
             if (data) opts.body = JSON.stringify(data);
             return fetch(url, opts).then(function (r) { return r.json(); });
         }