fix: 统一 CSRF token 获取方式，修复 token 刷新后缓存失效

- utils.js getCSRFToken() 改为从 cookie 优先读取，meta 标签作为后备
- show.html 5处移除 csrfToken 缓存变量，改用 getCSRFToken() 动态获取
- studio/posts.html/drafts.html 移除 {{ .CSRFToken }} 模板硬编码
- studio-editor.js 移除本地 getCsrfToken()，改用共享 getCSRFToken()
- settings/index.html messages/index.html 改用 getCSRFToken()
- admin posts.js/comments.js 移除本地/死代码 CSRF 获取，统一用共享方法

templates/MetaLab-2026/html/studio/posts.html

@@ -86,7 +86,7 @@ function deletePost(id) {
         method: 'DELETE',
         headers: {
             'Content-Type': 'application/json',
-            'X-CSRF-Token': '{{.CSRFToken}}'
+            'X-CSRF-Token': getCSRFToken()
         }
     })
     .then(r => r.json())