chore: 去掉未上线前的旧兼容垫片，板块流收口到首页

鉴权只认 cookie、SEO 只走 Next、sort 与推荐对齐；删除 Bearer、Go sitemap、post_type 回填等冗余路径。

Co-authored-by: Cursor <cursoragent@cursor.com>

README.md

@@ -40,7 +40,7 @@
 ### 通知
 
 - 站内通知：评论你的帖子、回复你的评论、点赞你的帖子
-- 未读红点 SSR 直出 + 30s 轮询校正
+- 未读红点 SSR 直出，实时靠 WebSocket 推送，回前台时 HTTP 校准
 - 单条标记已读 / 全部已读
 
 ### 管理后台
@@ -52,7 +52,7 @@
 
 - 全站 SSR/ISR，SEO 关键内容在初始 HTML 中
 - 帖子详情页输出 `DiscussionForumPosting` 类型 JSON-LD
-- 动态 `sitemap.ts` + `robots.ts`
+- 动态 `sitemap.ts` + `robots.ts`（由 Next.js 对外提供，后端不重复挂 `/sitemap.xml` / `/robots.txt`）
 
 ### 安全
 
@@ -191,6 +191,8 @@ NEXT_PUBLIC_API_URL=http://localhost:3001
 
 生产 HTTPS 下 cookie 名自动启用 `__Host-` 前缀。
 
+若本机曾跑过早期构建，浏览器里可能还留着 `Path=/api/auth` 的 `j13_refresh`（HttpOnly，页面脚本删不掉）。打开开发者工具 → Application → Cookies，删掉该条，或对该源执行「清除站点数据」。之后只应存在 `Path=/` 的三枚 cookie。
+
 ---
 
 ## 部署
@@ -201,6 +203,25 @@ NEXT_PUBLIC_API_URL=http://localhost:3001
 2. **前端：** 设置 `BACKEND_URL` 为后端 HTTPS 地址，`npm run build` 后部署。Cloudflare Workers 部署需保持 `middleware.ts` 文件名不变（OpenNext 不识别 `proxy.ts`）。
 3. **数据库：** 修改默认密码，启用 SSL 连接。
 4. **CORS：** 生产环境修改 `router.go` 中的 `AllowOrigins` 为实际域名。
+5. **WebSocket：** 必须与页面同一 Host（见下节），不要把 API 单独放到另一个子域。
+
+### WebSocket（开发 vs 生产）
+
+浏览器发起 WebSocket 握手**一定会带 `Origin`**。后端拒绝空 Origin，这只挡住 curl / 脚本探测，**不影响 `npm run dev`，也不影响生产浏览器**。
+
+**开发环境（`DEV_MODE=true`）**
+
+- 页面在 `http://localhost:3000`，WS 直连 `ws://localhost:3001/api/ws`（Next.js rewrite 不透传 `Upgrade`）。
+- 二者端口不同，不是浏览器意义上的同源。后端因此放行 Origin 主机为 `localhost` / `127.0.0.1` 的**任意端口**。
+- Cookie 不按端口隔离，`:3000` 上的 `j13_token` 会随握手带到 `:3001`。不要把 `DEV_MODE` 改成 `false` 再跑这对端口，否则 Origin `localhost:3000` 对不上 Host `localhost:3001`，握手会被拒。
+
+**生产环境（`DEV_MODE=false`）**
+
+- Origin 的 host（含端口）必须与请求 `Host` **完全一致**。请用 Nginx/Caddy 把前端与 `/api/`、`/api/ws` 挂到同一域名，例如 `https://bbs.example.com`。
+- 反向代理需透传 `Upgrade`、`Connection`，并保留原始 `Host` / `Origin`。
+- 生产 cookie 使用 `__Host-` 前缀，要求 `Secure`、`Path=/`、**不能设 Domain**。因此 API **不能**放到 `api.example.com` 这类另一子域，否则登录 cookie 与 WS 都会失效。
+- Cloudflare Workers / OpenNext **不能**透传任意 WebSocket。若前端部署在 Workers，实时通道必须由同源反代（Nginx 等）承接 `/api/ws`，而不是指望 Workers 升级连接。
+- 可用 `NEXT_PUBLIC_WS_URL` 覆盖前端连线地址；一旦覆盖，Origin 仍须与后端看到的 Host 一致。
 
 ---