评论阶段二：GitHub OAuth 登录 + 评论表/用户表 + 先审后显开关 + 禁言 + 后台评论管理页

- auth 包：读者会话（one_reader，与后台令牌互斥）+ GitHub OAuth 客户端；Verify 校验 HMAC 与 reader: 前缀
- 公开 API：auth 五端点、评论列表（顶层可见+自己待审、回复内嵌）、发表（登录/禁言/开关/500 字校验）、10 分钟编辑窗、软删墓碑
- 管理端：评论列表（待审/已通过/全部）、通过、软删、读者列表、禁言切换
- 前台：登录卡/禁言卡；后台：评论管理页 + 设置页审核开关

backend/internal/config/config.go

@@ -21,6 +21,10 @@ type Config struct {
 	SiteURL     string
 	InsecureDev bool
 
+	// 评论区 GitHub 登录（OAuth App 凭据，站主在 GitHub 上创建后填入）
+	GitHubClientID     string
+	GitHubClientSecret string
+
 	// 对象存储（文件上传）。变量名与站主 .env 里的写法一致（站主已整理）：
 	//   S3Api     = R2 的 S3 API 端点（https://<账户ID>.r2.cloudflarestorage.com，
 	//               控制台 R2 概览可复制），上传走它 —— 公开域名收不了上传请求
@@ -28,12 +32,12 @@ type Config struct {
 	//   AccessKey / SecretAccessKey / Bucket = R2 凭据与桶名
 	// 五项齐全 → 上传走 R2、直链走 PublicURL；缺任一项回落本地磁盘
 	// （DataDir/uploads），并在启动日志提示一句。
-	StorageDriver      string // r2 | local
-	S3Endpoint         string // env: S3Api
-	R2Bucket           string
-	R2AccessKey        string
-	R2SecretKey        string
-	UploadsPublicBase  string // env: PublicURL
+	StorageDriver     string // r2 | local
+	S3Endpoint        string // env: S3Api
+	R2Bucket          string
+	R2AccessKey       string
+	R2SecretKey       string
+	UploadsPublicBase string // env: PublicURL
 }
 
 func getenv(k, def string) string {
@@ -122,6 +126,10 @@ func Load() (*Config, error) {
 		}
 	}
 
+	// 评论区 GitHub 登录（OAuth App 凭据，站主在 GitHub 上创建后填入）
+	c.GitHubClientID = getenv("ONE_GITHUB_CLIENT_ID", "")
+	c.GitHubClientSecret = getenv("ONE_GITHUB_CLIENT_SECRET", "")
+
 	return c, nil
 }