重构：拆出 auth / blocking / runtimesettings / help / mqttforward 包

第二批：把根目录中纯逻辑领域文件（cache、service、admin route）按业务边界
迁到 internal/ 下的子包。各子包暴露 RegisterRoutes 给 web 包调用，根目录
只留下一行 bridge 文件保留旧名字别名。

新增包
- internal/auth/        SessionClaims / Manager / RequireAdmin / HashPassword /
                        VerifyPassword / AdminUserResponse 等。原 auth.go 中
                        被两个 admin route 依赖的 sessionClaims 现在以 auth.
                        SessionClaims 形式被它们 import；不再被锁在 main 包。
- internal/blocking/    Cache + RegisterRoutes，以前散在 blocking_cache.go
                        和 admin_blocking_routes.go 里。
- internal/runtimesettings/  Cache + RegisterRoutes。
- internal/help/        RenderMarkdown / RegisterPublicRoutes /
                        RegisterAdminRoutes（拆分原来的 registerHelpRoutes
                        和 registerAdminHelpRoutes 两条入口）。
- internal/mqttforward/ Manager / Reloader / Stats / RegisterRoutes。
                        forwarder runner、循环抑制 cache 等运行时逻辑随之迁入。
- internal/webutil/     ParseListOptions / WriteListResponse[WithTotal] /
                        ParseMapReportListOptions / ParseMapReportViewportOptions
                        以及 PtrString/PtrInt64/... 等指针解引用 helper。
                        以前散在 web.go 中，现在被各 admin route 子包共享，
                        避免 internal/blocking → internal/web → internal/blocking
                        的循环依赖。
- internal/store/testutil/  OpenStore(t) helper，让其它包测试零样板拿到 store。

根目录新增 bridge 文件
- blocking_bridge.go / runtime_settings_bridge.go / help_bridge.go /
  mqttforward_bridge.go：用 type alias + thin wrapper 把上述子包的导出
  名映射到旧的小写名（blockingCache、registerAdminBlockingRoutes 等），
  让 main.go / web.go 等仍未迁出的文件无须改动。

修改
- auth.go 改为对 internal/auth 的 bridge；web.go 中 sessions.newCookie /
  clearCookie 改为 NewCookie / ClearCookie。
- main_test.go 中 BlockingViolationForRecord* 测试不再直接构造未导出字段，
  改成走 store.CreateNodeBlocking → newBlockingCache 的真实路径。
- internal/mqttforward 把以前 *_store.go 中没有方法依赖的运行时类型
  （forwarder runner、loop cache）和 admin route 一并归位；mqtt_status.go
  暂时仍留在根目录（依赖 main 中的 mqttClientInfoFromClient）。

go build ./... / go test ./... 全部通过；测试数量未变。

Co-Authored-By: Claude <noreply@anthropic.com>

internal/runtimesettings/runtime_settings_cache.go

@@ -0,0 +1,55 @@
+package runtimesettings
+
+import (
+	"fmt"
+	"sync"
+
+	storepkg "meshtastic_mqtt_server/internal/store"
+)
+
+// Cache 把 runtime_settings 表中常用的开关缓存到内存中，避免每次拦截热路径
+// 都查 DB。AdminRoute 修改后通过 Reload 重新加载。
+type Cache struct {
+	mu       sync.RWMutex
+	settings storepkg.RuntimeSettingsSnapshot
+}
+
+// New 从 store 中加载初始快照并返回缓存。
+func New(s *storepkg.Store) (*Cache, error) {
+	cache := &Cache{}
+	if err := cache.Reload(s); err != nil {
+		return nil, err
+	}
+	return cache, nil
+}
+
+// Reload 重新读取数据库快照覆盖当前值。
+func (c *Cache) Reload(s *storepkg.Store) error {
+	if s == nil {
+		return fmt.Errorf("store is required")
+	}
+	settings, err := s.GetRuntimeSettings()
+	if err != nil {
+		return err
+	}
+
+	c.mu.Lock()
+	c.settings = settings
+	c.mu.Unlock()
+	return nil
+}
+
+// Snapshot 返回当前快照的副本（结构体拷贝，调用方可以安全持有）。
+func (c *Cache) Snapshot() storepkg.RuntimeSettingsSnapshot {
+	if c == nil {
+		return storepkg.RuntimeSettingsSnapshot{}
+	}
+	c.mu.RLock()
+	defer c.mu.RUnlock()
+	return c.settings
+}
+
+// AllowEncryptedForwarding 是 mqtt 转发热路径上常被检查的标志位的快捷读法。
+func (c *Cache) AllowEncryptedForwarding() bool {
+	return c.Snapshot().AllowEncryptedForwarding
+}