chore: 去掉未上线前的旧兼容垫片，板块流收口到首页

鉴权只认 cookie、SEO 只走 Next、sort 与推荐对齐；删除 Bearer、Go sitemap、post_type 回填等冗余路径。

Co-authored-by: Cursor <cursoragent@cursor.com>

frontend/app/layout.tsx

@@ -11,7 +11,7 @@ import ThemeSync from "@/components/ThemeSync";
 import RealtimeProvider from "@/components/RealtimeProvider";
 import type { User } from "@/lib/api";
 import { getMeCached, getPublicSettingsCached } from "@/lib/serverData";
-import { TOKEN_COOKIE, REFRESH_COOKIE, authCookieHeader } from "@/lib/cookies";
+import { TOKEN_COOKIE, authCookieHeader } from "@/lib/cookies";
 import { accentStyleCSS } from "@/lib/theme";
 
 // 构建期下载并自托管字体：同源加载 + 自动 preload + fallback 度量校正，
@@ -59,11 +59,9 @@ export default async function RootLayout({
   // 浅色优先的设计系统，仅在显式选择暗色时挂 .dark
   const theme = cookieStore.get("j13-theme")?.value === "dark" ? "dark" : "light";
 
-  // SSR 直出登录态（access 过期时 middleware 已先行轮转，见 middleware.ts），
+  // SSR 直出登录态（access 过期时 middleware 已先行轮转并注入请求头，见 middleware.ts），
   // 保证 F5 初始 HTML 中的右上角就是正确的用户区，而非先闪"登录/注册"。
-  // 旧版 refresh cookie 可能是 Path=/api/auth（页面请求不带），因此只要
-  // token 或 refresh 任一存在就向后端确认一次，避免半登录态（列表点赞态与
-  // Header 游客态不一致），并兼容 access 15 分钟内的自然窗口。
+  // 无 access cookie 即按游客渲染；客户端 Header 在 CSRF 可读时再静默校正一次。
   // 站点主题色（公开设置）：派生浅/暗两套 accent CSS 变量后随首屏 HTML 内联，
   // 覆盖 globals.css 默认令牌——无主题闪动（FOUC），后端不可用时降级为默认靛蓝
   const { accent } = await getPublicSettingsCached();
@@ -72,8 +70,7 @@ export default async function RootLayout({
   let user: User | null = null;
   let unread = 0;
   let chatUnread = 0;
-  const hasAuthCookie =
-    !!cookieStore.get(TOKEN_COOKIE)?.value || !!cookieStore.get(REFRESH_COOKIE)?.value;
+  const hasAuthCookie = !!cookieStore.get(TOKEN_COOKIE)?.value;
   if (hasAuthCookie) {
     // 用户信息与未读数合并为一次请求；只转发最小化的 access cookie
     const me = await getMeCached(authCookieHeader(cookieStore) || undefined);