fix: 修复代码块语法高亮丢失 + 语言标签注入 + 安全性增强

- 新增 cdnjs.cloudflare.com CSP 白名单，允许加载 highlight.js
- 消毒策略放行 span 元素，保留 highlight.js 高亮 class
- 详情页和新帖子页引入 highlight.js 库和 GitHub 主题
- 代码块语言选择器默认 text，支持 prev/next 循环切换语言
- 代码块语言标签注入兼容 data-language 和 code class 双来源
- 修复 utils.js defer 导致 common.js 执行时 getCSRFToken 未定义

internal/service/post_service.go

@@ -16,10 +16,11 @@ import (
 // sanitizePolicy Tiptap 输出 HTML 的消毒策略
 // 前端 WYSIWYG 编辑器输出 HTML，由 bluemonday UGC 策略消毒
 // 放行 code/pre 的 class/data-language 属性以保留代码高亮和语言标签
-// 放行 span 的 class 属性以保留 highlight.js 的 hljs-* 高亮
+// 放行 span 元素及其 hljs-* class 以保留 highlight.js 语法高亮
 // 放行 img 的 src/alt/title 属性以保留图片
 var sanitizePolicy = func() *bluemonday.Policy {
 	p := bluemonday.UGCPolicy()
+	p.AllowElements("span")
 	p.AllowAttrs("class", "data-language").OnElements("code", "pre")
 	p.AllowAttrs("class").Matching(regexp.MustCompile("^hljs-")).OnElements("span")
 	p.AllowAttrs("src", "alt", "title").OnElements("img")