refactor: 完成前后端认证体系重构与安全增强

本提交重构了全栈的认证与安全体系，包含以下核心变更：
1. **后端安全增强**：
   - 使用常量时间比较修复CSRF校验时序漏洞
   - 重构refresh token存储为哈希+密文，支持轮转宽限期与盗用检测
   - 新增cookie前缀自动配置，支持__Host-前缀强化生产环境安全
   - 优化登出逻辑为单设备登出，合并用户信息与未读通知接口
   - 增加数据库迁移脚本，兼容旧版refresh token数据升级
   - 新增定时清理过期refresh token任务

2. **前端安全与体验优化**：
   - 新增cookie工具库，统一管理认证cookie名与转发逻辑
   - 修复开放重定向漏洞，实现安全跳转校验
   - 重构SSR请求逻辑，仅转发必要的access token cookie
   - 优化middleware轮转逻辑，修复并发请求去重与边缘部署兼容性
   - 修复登录态静默校正逻辑，兼容旧版cookie路径与名称
   - 新增环境变量示例配置文件

3. **工程化改进**：
   修复Next.js类型文件导入路径，统一前后端配置与命名规范

frontend/app/page.tsx

@@ -3,6 +3,7 @@ import type { Metadata } from "next";
 import { cookies } from "next/headers";
 import { PenSquare, SearchX, MessagesSquare, Check, ArrowRight } from "lucide-react";
 import { fetchPosts, fetchBoards } from "@/lib/api";
+import { authCookieHeader } from "@/lib/cookies";
 import Pagination from "@/components/Pagination";
 import PostRow from "@/components/PostRow";
 import PinnedPosts from "@/components/PinnedPosts";
@@ -20,7 +21,8 @@ export default async function HomePage({ searchParams }: HomePageProps) {
   const { q, page: pageStr } = await searchParams;
   const keyword = q?.trim() || "";
   const page = Math.max(1, parseInt(pageStr || "1", 10) || 1);
-  const cookie = (await cookies()).toString();
+  // 仅转发最小化的 access cookie 供后端填充 liked 状态（不携带 refresh 等）
+  const cookie = authCookieHeader(await cookies());
   const [postsData, boardsData] = await Promise.all([
     fetchPosts(page, 20, undefined, "latest", keyword, cookie),
     fetchBoards(),