系统设置迁入后台：站点地址 / OAuth 凭据 / R2 存储 / 管理员账号，保存即生效无需重启

- 生效规则统一为「后台填了用后台的，没填回落环境变量」，老部署不改 env 照常跑
- config.Resolver：短缓存解析有效配置，存储后端按配置签名热重建；后台保存主动失效
- 秘密项（client secret / bot token / R2 密钥 / 管理员密码）接口永不回显明文，
  只报「是否已配置、来自哪里」；留空保存 = 保持现值
- 管理员密码 bcrypt 入库，DB 哈希优先、显式设置的 env 密码作解锁后路；
  后台改过密码后 admin/admin 开发模式立即失效
- 设置页新增「登录与存储」标签，基础信息加站点地址；秘密项带来源提示
- 监听地址 / 数据库 / 目录 / ONE_SECRET / Passkey 仍留环境变量（启动期依赖）

backend/internal/api/thumb.go

@@ -81,7 +81,7 @@ func (a *API) thumb(w http.ResponseWriter, r *http.Request) {
 		return
 	}
 
-	rc, _, err := a.Blobs.Open(r.Context(), f.Key)
+	rc, _, err := a.blobs().Open(r.Context(), f.Key)
 	if err != nil {
 		a.Thumbs.MarkFailed(f.SHA256)
 		a.thumbFallback(w, r, f)
@@ -111,7 +111,7 @@ func (a *API) thumb(w http.ResponseWriter, r *http.Request) {
 
 // thumbFallback 回原图：R2 + 公开域名是 302 直链，本地/未配域名回 /uploads/ 路由。
 func (a *API) thumbFallback(w http.ResponseWriter, r *http.Request, f model.File) {
-	http.Redirect(w, r, storage.FileURL(f.Store, f.Key, a.Cfg.UploadsPublicBase), http.StatusFound)
+	http.Redirect(w, r, storage.FileURL(f.Store, f.Key, a.cfg().UploadsPublicBase), http.StatusFound)
 }
 
 // serveThumbFile 用 ServeContent 供缓存文件：自带 Range/Last-Modified/304。