路由只注册了 POST(token 不能进 URL),所以 GET 会落到 NotFound 返回 404, handler 里的 405 分支实际走不到。留着是为了将来路由若改成 f.Any 时仍然安全, 加上说明避免被当成死代码删掉。