评论阶段二：GitHub OAuth 登录 + 评论表/用户表 + 先审后显开关 + 禁言 + 后台评论管理页

- auth 包：读者会话（one_reader，与后台令牌互斥）+ GitHub OAuth 客户端；Verify 校验 HMAC 与 reader: 前缀
- 公开 API：auth 五端点、评论列表（顶层可见+自己待审、回复内嵌）、发表（登录/禁言/开关/500 字校验）、10 分钟编辑窗、软删墓碑
- 管理端：评论列表（待审/已通过/全部）、通过、软删、读者列表、禁言切换
- 前台：登录卡/禁言卡；后台：评论管理页 + 设置页审核开关

backend/internal/model/model.go

@@ -29,6 +29,9 @@ type Post struct {
 	// ContentLen 是正文字符数：列表接口不返回全文，但后台列表要显示字数。
 	ContentLen int64    `json:"content_len"`
 	Tags       []string `json:"tags"`
+	// Images 是短文配图（快发盒上传，≤4 张，Twitter 式网格展示），
+	// 以 JSON 数组存在 posts.images 列里，正文 content_md 不含它们。
+	Images []string `json:"images"`
 }
 
 type PostInput struct {
@@ -42,6 +45,8 @@ type PostInput struct {
 	PublishedAt    string   `json:"published_at"`
 	Tags           []string `json:"tags"`
 	ReadingMinutes *int     `json:"reading_minutes"`
+	// Images 是短文配图 URL（快发盒上传），nil = 不修改、空数组 = 清空
+	Images []string `json:"images"`
 }
 
 type Tag struct {
@@ -123,6 +128,14 @@ type FilePage struct {
 	Size  int    `json:"size"`
 }
 
+// CommentPage 是后台评论管理的分页容器（含文章标题与发表者）。
+type CommentPage struct {
+	Items []Comment `json:"items"`
+	Total int       `json:"total"`
+	Page  int       `json:"page"`
+	Size  int       `json:"size"`
+}
+
 // Dashboard is the snapshot rendered on /admin (homepage).
 type Dashboard struct {
 	TotalPosts       int           `json:"total_posts"`
@@ -161,6 +174,10 @@ type Settings struct {
 	// SocialLinks 以 JSON 数组形式存在 settings KV 里（key: social_links），
 	// 解析失败/为空时前台拿到空数组，区块自动隐藏。
 	SocialLinks []SocialLink `json:"social_links"`
+	// 评论开关（comments_enabled）：关着时前台整个评论区不渲染。
+	CommentsEnabled bool `json:"comments_enabled"`
+	// 审核开关（comments_review）：开着时新评论先进「待审」，站主通过后才公开。
+	CommentsReview bool `json:"comments_review"`
 	// LightSkinID is the front-end skin used when the client (or system)
 	// prefers light. Valid values: paper / sage / rose.
 	// Dark side is fixed to ink for now — kept implicit so we can add
@@ -186,3 +203,38 @@ type Settings struct {
 	// sanitizing it would only break the snippet.
 	CustomJS string `json:"custom_js"`
 }
+
+// Reader 是评论区的登录用户（GitHub OAuth）。Banned = 禁言中。
+type Reader struct {
+	ID        int64  `json:"id"`
+	Provider  string `json:"provider"`
+	Handle    string `json:"handle"`
+	Name      string `json:"name"`
+	AvatarURL string `json:"avatar_url"`
+	URL       string `json:"url"`
+	Banned    bool   `json:"banned"`
+	// CommentCount 是累计评论数（后台用户列表展示用）
+	CommentCount int64  `json:"comment_count"`
+	CreatedAt    string `json:"created_at"`
+}
+
+// Comment 是一条评论。回复扁平存储（parent_id/root_id），渲染时挂到 replies。
+// User 是发表者快照；is_deleted = 软删（留壳显示「已删除」，保住楼层上下文）。
+type Comment struct {
+	ID         int64     `json:"id"`
+	PostID     int64     `json:"post_id"`
+	ParentID   int64     `json:"parent_id"`
+	RootID     int64     `json:"root_id"`
+	User       *Reader   `json:"user"`
+	UserID     int64     `json:"user_id"`
+	BodyMd     string    `json:"body_md"`
+	BodyHTML   string    `json:"body_html"`
+	Status     string    `json:"status"`
+	IsDeleted  bool      `json:"is_deleted"`
+	CreatedAt  string    `json:"created_at"`
+	EditedAt   string    `json:"edited_at"`
+	Replies    []Comment `json:"replies"`
+	ReplyCount int       `json:"reply_count"`
+	// PostTitle 是文章标题（后台评论列表联表带出，仅管理接口填充）
+	PostTitle string `json:"post_title"`
+}