评论阶段二：GitHub OAuth 登录 + 评论表/用户表 + 先审后显开关 + 禁言 + 后台评论管理页

- auth 包：读者会话（one_reader，与后台令牌互斥）+ GitHub OAuth 客户端；Verify 校验 HMAC 与 reader: 前缀
- 公开 API：auth 五端点、评论列表（顶层可见+自己待审、回复内嵌）、发表（登录/禁言/开关/500 字校验）、10 分钟编辑窗、软删墓碑
- 管理端：评论列表（待审/已通过/全部）、通过、软删、读者列表、禁言切换
- 前台：登录卡/禁言卡；后台：评论管理页 + 设置页审核开关

backend/main.go

@@ -18,6 +18,7 @@ import (
 
 	"oneblog/internal/admin"
 	"oneblog/internal/api"
+	"oneblog/internal/auth"
 	"oneblog/internal/config"
 	"oneblog/internal/db"
 	"oneblog/internal/storage"
@@ -60,9 +61,19 @@ func main() {
 		blobs = storage.NewLocal(filepath.Join(cfg.DataDir, "uploads"))
 	}
 
-	public := &api.API{Store: st, Cfg: cfg, Blobs: blobs}
+	// 评论区的读者会话（cookie one_reader），30 天有效
+	readerSessions := auth.NewReaderSessions(cfg.SessionSec, 30*24*time.Hour)
+
+	public := &api.API{
+		Store:          st,
+		Cfg:            cfg,
+		Blobs:          blobs,
+		ReaderSessions: readerSessions,
+		GH:             auth.GitHub{ClientID: cfg.GitHubClientID, ClientSecret: cfg.GitHubClientSecret},
+	}
 	adminAPI := admin.NewAPI(st, cfg, admin.NewSessions(cfg.SessionSec, 7*24*time.Hour))
 	adminAPI.Blobs = blobs
+	adminAPI.Blobs = blobs
 
 	root := http.NewServeMux()
 	root.Handle("/api/admin/", adminAPI.Routes())