fix(security): 修复安全审计的 P1/P2/P3 项，含全局复查新发现的两处越权与外跳

P1：
- 外链图片：markdown 渲染层只放行站内与自有 CDN 图片。配置里的
  image_bucket_cdn_host 常写成 host/path，统一归一化后再比对，避免把自家图一起剥掉
- 密码：页面/提问密码最小 6 位；密码比对挪到验证码之后；页面密码失败锁定 5 次/10 分钟
- 客户端 IP：CF-Connecting-IP / EO-Client-IP 只在 TCP 对端可信（回环或 trusted_proxies）
  时采信，公网对端带来的权威头一律忽略

P2/P3：
- 跳转参数收敛到 shared.SafeRedirectTarget：拒反斜杠与控制字符（url.Parse 会把 %0d%0a
  解成 CRLF，伪造 Location），最后再用 path.Clean 验一次前缀
- 注册不再暴露「邮箱已注册 / 已停用」：与全新注册共用同一个成功出口，只在日志留痕
- CSP：默认 enforce，白名单由配置派生，覆盖 umami（运行时注入）、Turnstile 与
  按 sentry_dsn 条件放行的 Sentry CDN
- /user 与 /_ 下发 no-store；补 X-XSS-Protection、Permissions-Policy，并把安全头前移到
  静态资源中间件之前（原先静态文件拿不到 nosniff/HSTS）
- 封禁事实落库 ban_records；429 统一带 Retry-After 与本地化文案
- token 比较改常量时间；探索页页码上限；JSON 响应显式 Content-Type

全局复查补的两处：
- 私聊 SendMessage 的 POST 缺 conv.OwnerID 校验，被拉黑者可换 domain 继续发消息
- 页面密码 next 与登录 to 同源的反斜杠外跳

验收：verify_p1_fixes 4/4、verify_round2 19/19、verify_page_next 6/6、
verify_chat_owner 3/3（含变异对照）；单测与 go build ./... 全通过。

internal/conf/static.go

@@ -57,11 +57,15 @@ var (
 		// TrustProxy 为 true 时信任 CDN 权威客户端头 CF-Connecting-IP / EO-Client-IP
 		// （以及受信代理设置的 X-Real-IP / X-Forwarded-For）；否则一律用 RemoteAddr，
 		// 防止伪造 header 绕过速率限制与 IP 黑名单。
+		// ⚠️ 权威头只在 TCP 对端可信（回环，或命中 TrustedProxies）时才会被采信 ——
+		// 见 shared.ResolveClientIP：公网对端带来的权威头一律忽略（P1-3 修复）。
 		TrustProxy bool `ini:"trust_proxy"`
 		// TrustedProxies 逗号分隔的 IP / CIDR，仅限自己的反向代理 / LB。仅当 TCP 对端
-		// 落在该清单内才解析 X-Forwarded-For / X-Real-IP；留空则这两个头永不被信任
-		// （CDN 权威头仍会采用，前提是源站已由 Cloudflare Tunnel / 回源网段锁定，
-		// 从而免于维护上游 CDN 的庞大 CIDR 清单）。
+		// 落在该清单内才解析 X-Forwarded-For / X-Real-IP；留空则这两个头永不被信任。
+		// 回环地址（127.0.0.1 / ::1）无需登记即视为可信对端：cloudflared / 本机 nginx
+		// 回源的连接必然由本机进程发起，外部无法伪造。
+		// CDN 直连回源（非 Tunnel）的部署形态下，必须把该 CDN 的回源网段登记到这里，
+		// 否则它的权威头会被忽略、客户端 IP 退化为 CDN 边缘 IP。
 		TrustedProxies string `ini:"trusted_proxies"`
 		EnableAutoBan  bool   `ini:"enable_auto_ban"` // fail2ban 风格：检测到扫描特征后临时封禁来源 IP
 		// BanTrackNotFound 是否把未注册路径的 404 计入封禁统计。默认 false：仅命中后台
@@ -135,6 +139,19 @@ var (
 		// 否则等于把配置文件当响应体吐给每一个被封的攻击者。
 		BanImagePath       string `ini:"ban_image_path"`
 		SecurityAlertEmail string `ini:"security_alert_email"` // 触发封禁时告警收件人（留空不发送）
+
+		// CSP 内容安全策略的生效模式：enforce / report / off，缺省 enforce。
+		//
+		// enforce 下发 Content-Security-Policy（真正拦截）；report 只下发 Report-Only
+		// （照常加载、只记违规），用于临时观察。默认拦截而不是观察，原因是：
+		// 没人会盯着 console，且不给 csp_report_uri 时 Report-Only 等于什么都没做，
+		// 留个不生效的开关反而制造「已防护」的错觉。默认值的安全前提是白名单已经
+		// 用真浏览器逐页巡检过（csp_sweep.py：20 个页面零违规）。
+		// 上线后发现误伤，把 csp 改成 report 或 off 再重启即可恢复，不用改代码。
+		CSP string `ini:"csp"`
+		// CSPReportURI 违规上报地址（可选）。留空时浏览器只把违规打到 console 不上报；
+		// 用 report 模式观察时应当配上，否则「观察一周」就只是空谈。
+		CSPReportURI string `ini:"csp_report_uri"`
 	}
 
 	Server struct {