chore: 去掉未上线前的旧兼容垫片，板块流收口到首页

鉴权只认 cookie、SEO 只走 Next、sort 与推荐对齐；删除 Bearer、Go sitemap、post_type 回填等冗余路径。

Co-authored-by: Cursor <cursoragent@cursor.com>

.cursor/rules/jiang13-bbs-auth-realtime.mdc

@@ -15,6 +15,7 @@ alwaysApply: true
 ## WebSocket（全站一条连接）
 
 - `GET /api/ws`；dev 直连 `ws://hostname:3001/api/ws`（Next rewrite 不透传 Upgrade）
+- Origin **必须存在**；dev 允许 localhost/127.0.0.1 任意端口；生产要求 Origin host == 请求 Host（页面与 `/api/ws` 须同一 Host）
 - 事件：`hello` / `pong` / `settings:changed` / `presence:update` / `chat:*` / `notification:new` / `feed:changed` / `moderation:changed`
 - 消息铁律：**先落库再 WS 广播**；WS 不可靠投递；未读靠 HTTP 对账
 - 角标优先推送：通知落库统一 `OnNotifyNew`；待审变化推 staff `moderation:changed`；**禁止**再恢复 30s 轮询未读/待审

.cursor/rules/jiang13-bbs-core.mdc

@@ -15,6 +15,7 @@ alwaysApply: true
 4. 所有 SEO 关键内容必须在初始 HTML 中，不接受客户端注入
 5. 权限逻辑只在 Go 端，前端不做权限判定
 6. 遇到不确定的 Next.js 16 或 Go 1.27 特性，先查官方文档再生成代码
+7. 用户未明确告知「已正式部署到生产环境」之前：禁止为旧版本/旧契约写兼容冗余（双写双读、fallback、过渡字段、旧 cookie/旧 API 垫片）；直接改到位并删旧代码，保持源码干净规范
 
 ## 技术栈
 

.cursor/rules/jiang13-bbs-engineering.mdc

@@ -7,6 +7,7 @@ alwaysApply: true
 
 ## Hard Constraints
 
+- **未正式上线前禁止旧兼容冗余**：在用户明确告知「已正式部署到生产环境」之前，改 API / cookie / schema / 前端契约时直接改到位并删旧路径；禁止双写、双读、fallback、过渡字段、兼容旧 cookie Path、兼容旧客户端等垫片。源码保持干净、规范；生产上线后再谈兼容。
 - 主评论计楼层，子评论不计；评论深度上限 10
 - 详情页三栏宽度与首页统一：`max-w-[1440px]`、`gap-6` / `xl:gap-7`
 - 禁止操作自己的管理员账号；至少保留一名未封禁管理员；角色白名单