fix: 安全加固，修复 P0/P1 安全漏洞

P0（高危）:
- 新增全局 CSRF 中间件（同步器令牌），覆盖全部 30 个表单与 AJAX 请求
- 修复附件上传/列表/删除越权（IDOR），增加 admin/上传者/文章作者所有权校验
- 登录/注册成功后会话轮换，修复会话固定
- 会话密钥改用 crypto/rand 生成，配置缺失 secret 时拒绝启动

P1（中危）:
- session 与 comment_uid cookie 增加 Secure/SameSite 标志
- 新增安全响应头：CSP、X-Content-Type-Options、X-Frame-Options、HSTS 等
- 新增 web.trusted_proxies 配置，修复 X-Forwarded-For 伪造
- 修复浏览量记录 goroutine 访问已回收 gin.Context 的数据竞争

补充 17 个安全回归测试（middleware/handlers），go test -race 全绿

templates/admin/comment_list.html

@@ -58,16 +58,19 @@
             <div class="flex justify-end gap-3 mt-3 text-sm">
                 {{if eq .Status 0}}
                 <form action="/admin/comments/{{.ID}}/approve" method="post" class="inline">
+                    <input type="hidden" name="_csrf" value="{{$.CSRFToken}}">
                     <button type="submit" class="text-green-600 hover:text-green-800 font-medium cursor-pointer bg-transparent border-none">{{index $.Tr "comment_approve"}}</button>
                 </form>
                 {{end}}
                 {{if ne .Status 2}}
                 <form action="/admin/comments/{{.ID}}/reject" method="post" class="inline">
+                    <input type="hidden" name="_csrf" value="{{$.CSRFToken}}">
                     <button type="submit" class="text-orange-600 hover:text-orange-800 font-medium cursor-pointer bg-transparent border-none">{{index $.Tr "comment_reject"}}</button>
                 </form>
                 {{end}}
                 <form action="/admin/comments/{{.ID}}/delete" method="post" class="inline"
                     onsubmit="return confirm('{{index $.Tr "comment_delete_confirm"}}');">
+                    <input type="hidden" name="_csrf" value="{{$.CSRFToken}}">
                     <button type="submit" class="text-red-600 hover:text-red-800 font-medium cursor-pointer bg-transparent border-none">{{index $.Tr "comment_delete"}}</button>
                 </form>
             </div>