chore: 去掉未上线前的旧兼容垫片，板块流收口到首页

鉴权只认 cookie、SEO 只走 Next、sort 与推荐对齐；删除 Bearer、Go sitemap、post_type 回填等冗余路径。

Co-authored-by: Cursor <cursoragent@cursor.com>

backend/handler/realtime.go

@@ -25,18 +25,13 @@ func parseWSChatRoom(room string) (uint, bool) {
 
 // 实时总线 WebSocket 入口：GET /api/ws
 //
-// 鉴权：与 REST 一致，优先读 HttpOnly 的 j13_token cookie（浏览器握手自动携带），
-// 回退 Authorization 头；ParseToken + ValidateClaims 实时校验 token_version 与封禁。
+// 鉴权：与 REST 一致，读 HttpOnly 的 j13_token cookie（浏览器握手自动携带）；
+// ParseToken + ValidateClaims 实时校验 token_version 与封禁。
 // WebSocket 握手是 GET 请求，天然不受 CSRF 约束，但必须严格校验 Origin，
 // 防止跨站页面在用户浏览器中发起握手。
 func (h *Handlers) RealtimeWS(c *gin.Context) {
 	tokenStr, err := c.Cookie(service.CookieName)
 	if err != nil || tokenStr == "" {
-		if auth := c.GetHeader("Authorization"); strings.HasPrefix(auth, "Bearer ") {
-			tokenStr = strings.TrimPrefix(auth, "Bearer ")
-		}
-	}
-	if tokenStr == "" {
 		c.AbortWithStatusJSON(http.StatusUnauthorized, gin.H{"error": "未登录"})
 		return
 	}
@@ -105,17 +100,17 @@ func (h *Handlers) RealtimeWS(c *gin.Context) {
 	})
 }
 
-// checkWSOrigin 校验握手 Origin：
-// - 无 Origin（非浏览器/native 客户端）放行
-// - dev：允许 localhost / 127.0.0.1 任意端口（前端 :3000 直连后端 :3001）
-// - 生产：Origin 主机必须与请求 Host 同源
+// checkWSOrigin 校验握手 Origin（仅服务浏览器前端）：
+// - 必须带 Origin（浏览器 WS 握手总会带；拒绝空 Origin 的脚本/非浏览器探测）
+// - dev：允许 localhost / 127.0.0.1 任意端口（页面 :3000 直连后端 :3001，端口不同但 cookie 仍会带上）
+// - 生产：Origin 的 host 必须与请求 Host 完全一致（需反向代理把页面与 /api/ws 挂到同一 Host）
 func (h *Handlers) checkWSOrigin(r *http.Request) bool {
 	origin := r.Header.Get("Origin")
 	if origin == "" {
-		return true
+		return false
 	}
 	u, err := url.Parse(origin)
-	if err != nil || u.Scheme != "http" && u.Scheme != "https" {
+	if err != nil || (u.Scheme != "http" && u.Scheme != "https") {
 		return false
 	}
 	if h.Cfg.DevMode {