缩略图懒生成 + 评论登录限流：时间线不再拉原图

- 新增 /uploads/thumb/{key}?w=：首访从存储端读一次原图，标准库盒均值缩放后
  落盘 data/.thumbnail_cache（按内容哈希命名，天然失效）；失败写 .failed 冷却
  一小时，非图片/超大一律 302 回原图，前端无感。原图路由改用 ServeContent，
  补上视频拖动进度条所需的 Range 支持
- 前端 thumbURL/thumbifyHtml 接入两套 UI 的时间线配图、长文封面与短文正文，
  并补 loading=lazy；详情页与灯箱仍用原图。/api/site 改为
  {settings, uploads_public_base}，让前端识别哪些直链属于自家存储
- 后台登录的滑动窗口限速器抽成 internal/ratelimit 共享包（调用面不变），
  新增：读者登录失败按 IP 20 次/10 分钟、评论写入按读者 5 条/分钟
  （站主豁免，且只计成功写入）

backend/main.go

@@ -23,6 +23,7 @@ import (
 	"oneblog/internal/db"
 	"oneblog/internal/storage"
 	"oneblog/internal/store"
+	"oneblog/internal/thumbs"
 )
 
 func main() {
@@ -65,11 +66,14 @@ func main() {
 	readerSessions := auth.NewReaderSessions(cfg.SessionSec, 30*24*time.Hour)
 	// 后台管理员会话（cookie one_session），前台评论也用它识别站主身份
 	adminSessions := admin.NewSessions(cfg.SessionSec, 7*24*time.Hour)
+	// 缩略图懒生成 + 磁盘缓存（首次请求生成一次，之后直接供缓存）
+	thumbCache := thumbs.NewStore(filepath.Join(cfg.DataDir, ".thumbnail_cache"))
 
 	public := &api.API{
 		Store:          st,
 		Cfg:            cfg,
 		Blobs:          blobs,
+		Thumbs:         thumbCache,
 		ReaderSessions: readerSessions,
 		GH:             auth.GitHub{ClientID: cfg.GitHubClientID, ClientSecret: cfg.GitHubClientSecret},
 		GG:             auth.Google{ClientID: cfg.GoogleClientID, ClientSecret: cfg.GoogleClientSecret},
@@ -78,11 +82,12 @@ func main() {
 	}
 	adminAPI := admin.NewAPI(st, cfg, adminSessions)
 	adminAPI.Blobs = blobs
-	adminAPI.Blobs = blobs
 
 	root := http.NewServeMux()
 	root.Handle("/api/admin/", adminAPI.Routes())
 	public.Mount(root)
+	// 更长的前缀优先匹配：/uploads/thumb/ 走缩略图，其余 /uploads/ 走原图流式
+	root.Handle("/uploads/thumb/", public.ThumbHandler())
 	root.Handle("/uploads/", public.UploadsHandler())
 	root.Handle("/", spaHandler(cfg.WebDist))