fix: 统一 CSRF token 获取方式，修复 token 刷新后缓存失效

- utils.js getCSRFToken() 改为从 cookie 优先读取，meta 标签作为后备
- show.html 5处移除 csrfToken 缓存变量，改用 getCSRFToken() 动态获取
- studio/posts.html/drafts.html 移除 {{ .CSRFToken }} 模板硬编码
- studio-editor.js 移除本地 getCsrfToken()，改用共享 getCSRFToken()
- settings/index.html messages/index.html 改用 getCSRFToken()
- admin posts.js/comments.js 移除本地/死代码 CSRF 获取，统一用共享方法

templates/admin/static/js/comments.js

@@ -3,8 +3,6 @@
     var currentPage = 1;
     var currentKeyword = '';
     var totalPages = 1;
-    var csrfMeta = document.querySelector('meta[name="csrf-token"]');
-    var csrfToken = csrfMeta ? csrfMeta.getAttribute('content') : '';
 
     var searchInput = document.getElementById('commentSearch');
     var searchBtn = document.getElementById('commentSearchBtn');

templates/admin/static/js/posts.js

@@ -1,8 +1,5 @@
 (function() {
-    function getCSRFToken() {
-        var meta = document.querySelector('meta[name="csrf-token"]');
-        return meta ? meta.getAttribute('content') : '';
-    }
+    // CSRF token 由 shared/utils.js 的 getCSRFToken() 统一提供
 
     function api(url, method, body) {
         return fetch(url, {