kevin 38cd09f723 fix: 安全加固，修复 P0/P1 安全漏洞 ...

P0（高危）:
- 新增全局 CSRF 中间件（同步器令牌），覆盖全部 30 个表单与 AJAX 请求
- 修复附件上传/列表/删除越权（IDOR），增加 admin/上传者/文章作者所有权校验
- 登录/注册成功后会话轮换，修复会话固定
- 会话密钥改用 crypto/rand 生成，配置缺失 secret 时拒绝启动

P1（中危）:
- session 与 comment_uid cookie 增加 Secure/SameSite 标志
- 新增安全响应头：CSP、X-Content-Type-Options、X-Frame-Options、HSTS 等
- 新增 web.trusted_proxies 配置，修复 X-Forwarded-For 伪造
- 修复浏览量记录 goroutine 访问已回收 gin.Context 的数据竞争

补充 17 个安全回归测试（middleware/handlers），go test -race 全绿

2026-08-19 12:33:09 +08:00

..

admin_analytics.go

feat: implement comprehensive reading analytics system with bot detection

2026-06-22 19:57:12 +08:00

admin_comment.go

feat: add article comment system with moderation

2026-06-22 17:21:54 +08:00

admin_user.go

feat: add admin user management with role-based access and self-protection

2026-06-22 18:11:39 +08:00

admin.go

feat: add admin user management with role-based access and self-protection

2026-06-22 18:11:39 +08:00

article.go

feat: implement tag management and search functionality

2026-06-22 20:59:32 +08:00

attachment.go

fix: 安全加固，修复 P0/P1 安全漏洞

2026-08-19 12:33:09 +08:00

auth.go

fix: 安全加固，修复 P0/P1 安全漏洞

2026-08-19 12:33:09 +08:00

comment.go

fix: 安全加固，修复 P0/P1 安全漏洞

2026-08-19 12:33:09 +08:00

helpers.go

fix: 安全加固，修复 P0/P1 安全漏洞

2026-08-19 12:33:09 +08:00

home.go

fix: 安全加固，修复 P0/P1 安全漏洞

2026-08-19 12:33:09 +08:00

my_articles.go

feat: add custom publish time and last updated time display

2026-06-22 20:20:19 +08:00

profile.go

fix: allow clearing display name in profile settings

2026-06-22 19:02:59 +08:00

rss.go

feat: implement waterfall layout with smart image positioning and infinite scroll

2026-06-22 19:31:18 +08:00

security_test.go

fix: 安全加固，修复 P0/P1 安全漏洞

2026-08-19 12:33:09 +08:00

settings.go

feat: add navigation links management and user registration

2026-06-22 21:01:38 +08:00

upload_validator.go

feat: add platform configuration tables and admin settings

2026-06-21 20:32:28 +08:00