系统设置迁入后台：站点地址 / OAuth 凭据 / R2 存储 / 管理员账号，保存即生效无需重启

- 生效规则统一为「后台填了用后台的，没填回落环境变量」，老部署不改 env 照常跑
- config.Resolver：短缓存解析有效配置，存储后端按配置签名热重建；后台保存主动失效
- 秘密项（client secret / bot token / R2 密钥 / 管理员密码）接口永不回显明文，
  只报「是否已配置、来自哪里」；留空保存 = 保持现值
- 管理员密码 bcrypt 入库，DB 哈希优先、显式设置的 env 密码作解锁后路；
  后台改过密码后 admin/admin 开发模式立即失效
- 设置页新增「登录与存储」标签，基础信息加站点地址；秘密项带来源提示
- 监听地址 / 数据库 / 目录 / ONE_SECRET / Passkey 仍留环境变量（启动期依赖）

backend/internal/api/providers.go

@@ -22,19 +22,19 @@ import (
 // 前端内联官方脚本，需要 bot 用户名。
 func (a *API) authProviders(w http.ResponseWriter, r *http.Request) {
 	providers := []map[string]any{}
-	if a.GH.Enabled() {
+	if a.gh().Enabled() {
 		providers = append(providers, map[string]any{
 			"id": "github", "label": "GitHub", "kind": "redirect",
 		})
 	}
-	if a.GG.Enabled() {
+	if a.gg().Enabled() {
 		providers = append(providers, map[string]any{
 			"id": "google", "label": "Google", "kind": "redirect",
 		})
 	}
-	if a.TG.Enabled() {
+	if a.tg().Enabled() {
 		providers = append(providers, map[string]any{
-			"id": "telegram", "label": "Telegram", "kind": "widget", "login": a.TG.Bot,
+			"id": "telegram", "label": "Telegram", "kind": "widget", "login": a.tg().Bot,
 		})
 	}
 	httpx.OK(w, map[string]any{"providers": providers})
@@ -42,18 +42,18 @@ func (a *API) authProviders(w http.ResponseWriter, r *http.Request) {
 
 // googleLogin 跳 Google 授权页（state 防 CSRF 同 GitHub）
 func (a *API) googleLogin(w http.ResponseWriter, r *http.Request) {
-	if !a.GG.Enabled() {
+	if !a.gg().Enabled() {
 		httpx.NotFound(w)
 		return
 	}
 	a.startOAuth(w, r, func(state string) string {
-		return a.GG.LoginURL(a.Cfg.SiteURL+"/api/auth/callback/google", state)
+		return a.gg().LoginURL(a.siteURL()+"/api/auth/callback/google", state)
 	})
 }
 
 // googleCallback 用 code 换身份，交给统一分流（绑定 / 已绑账号 / 新读者）。
 func (a *API) googleCallback(w http.ResponseWriter, r *http.Request) {
-	if !a.GG.Enabled() {
+	if !a.gg().Enabled() {
 		httpx.NotFound(w)
 		return
 	}
@@ -68,13 +68,13 @@ func (a *API) googleCallback(w http.ResponseWriter, r *http.Request) {
 		httpx.BadRequest(w, "state 不匹配，请重新登录")
 		return
 	}
-	accessToken, err := a.GG.Exchange(r.Context(), r.FormValue("code"), a.Cfg.SiteURL+"/api/auth/callback/google")
+	accessToken, err := a.gg().Exchange(r.Context(), r.FormValue("code"), a.siteURL()+"/api/auth/callback/google")
 	if err != nil {
 		a.authFails.Add(ip)
 		httpx.ServerError(w, err)
 		return
 	}
-	u, err := a.GG.FetchUser(r.Context(), accessToken)
+	u, err := a.gg().FetchUser(r.Context(), accessToken)
 	if err != nil {
 		a.authFails.Add(ip)
 		httpx.ServerError(w, err)
@@ -100,7 +100,7 @@ func (a *API) googleCallback(w http.ResponseWriter, r *http.Request) {
 // telegramAuth 校验 Login Widget 回传的签名资料并登录。
 // 前端把 widget 的 user 对象原样 POST 过来（见 reader.js 的 oneTelegramAuth）。
 func (a *API) telegramAuth(w http.ResponseWriter, r *http.Request) {
-	if !a.TG.Enabled() {
+	if !a.tg().Enabled() {
 		httpx.NotFound(w)
 		return
 	}
@@ -123,7 +123,7 @@ func (a *API) telegramAuth(w http.ResponseWriter, r *http.Request) {
 		httpx.BadRequest(w, "invalid body")
 		return
 	}
-	if err := a.TG.VerifyMap(fields); err != nil {
+	if err := a.tg().VerifyMap(fields); err != nil {
 		a.authFails.Add(ip)
 		httpx.Error(w, http.StatusForbidden, "Telegram 登录校验失败，请重试")
 		return
@@ -148,7 +148,7 @@ func (a *API) telegramAuth(w http.ResponseWriter, r *http.Request) {
 			httpx.Unauthorized(w)
 			return
 		}
-		owner, err := a.Store.EnsureOwner(a.Cfg.AdminUser)
+		owner, err := a.Store.EnsureOwner(a.cfg().AdminUser)
 		if err != nil {
 			clearBindCookie(w)
 			httpx.ServerError(w, err)