系统设置迁入后台：站点地址 / OAuth 凭据 / R2 存储 / 管理员账号，保存即生效无需重启

- 生效规则统一为「后台填了用后台的，没填回落环境变量」，老部署不改 env 照常跑
- config.Resolver：短缓存解析有效配置，存储后端按配置签名热重建；后台保存主动失效
- 秘密项（client secret / bot token / R2 密钥 / 管理员密码）接口永不回显明文，
  只报「是否已配置、来自哪里」；留空保存 = 保持现值
- 管理员密码 bcrypt 入库，DB 哈希优先、显式设置的 env 密码作解锁后路；
  后台改过密码后 admin/admin 开发模式立即失效
- 设置页新增「登录与存储」标签，基础信息加站点地址；秘密项带来源提示
- 监听地址 / 数据库 / 目录 / ONE_SECRET / Passkey 仍留环境变量（启动期依赖）

backend/internal/api/comments.go

@@ -72,7 +72,7 @@ func (a *API) ownerReader() (model.Reader, error) {
 		name = st.AuthorName
 	}
 	return a.Store.UpsertReader(model.Reader{
-		Provider: "admin", Handle: a.Cfg.AdminUser, Name: name,
+		Provider: "admin", Handle: a.cfg().AdminUser, Name: name,
 	})
 }
 
@@ -96,18 +96,18 @@ func (a *API) authLogout(w http.ResponseWriter, r *http.Request) {
 // githubLogin 跳转 GitHub 授权页。state / 回跳地址的处理抽到 startOAuth，
 // 与「绑定」入口共用同一套跳转（bind 只是多打一个一次性 cookie）。
 func (a *API) githubLogin(w http.ResponseWriter, r *http.Request) {
-	if !a.GH.Enabled() {
+	if !a.gh().Enabled() {
 		httpx.NotFound(w)
 		return
 	}
 	a.startOAuth(w, r, func(state string) string {
-		return a.GH.LoginURL(a.Cfg.SiteURL+"/api/auth/callback/github", state)
+		return a.gh().LoginURL(a.siteURL()+"/api/auth/callback/github", state)
 	})
 }
 
 // githubCallback 用 code 换身份，交给统一分流（绑定 / 已绑账号 / 新读者）。
 func (a *API) githubCallback(w http.ResponseWriter, r *http.Request) {
-	if !a.GH.Enabled() {
+	if !a.gh().Enabled() {
 		httpx.NotFound(w)
 		return
 	}
@@ -122,13 +122,13 @@ func (a *API) githubCallback(w http.ResponseWriter, r *http.Request) {
 		httpx.BadRequest(w, "state 不匹配，请重新登录")
 		return
 	}
-	gh, err := a.GH.Exchange(r.Context(), r.FormValue("code"), a.Cfg.SiteURL+"/api/auth/callback/github")
+	gh, err := a.gh().Exchange(r.Context(), r.FormValue("code"), a.siteURL()+"/api/auth/callback/github")
 	if err != nil {
 		a.authFails.Add(ip)
 		httpx.ServerError(w, err)
 		return
 	}
-	u, err := a.GH.FetchUser(r.Context(), gh)
+	u, err := a.gh().FetchUser(r.Context(), gh)
 	if err != nil {
 		a.authFails.Add(ip)
 		httpx.ServerError(w, err)