feat: 帖子分级置顶（板块/全站）与板块管理员置顶权限、消息管理权限调整

backend/config/config.go

@@ -24,6 +24,7 @@ type Config struct {
 	DevMode           bool
 	SiteURL           string   // 对外站点 origin，如 https://bbs.example.com；生产 CORS 用
 	CORSOrigins       []string // 额外允许的 CORS origin（逗号分隔环境变量）
+	ForceHTTPS        bool     // 强制启用 HTTPS 安全 cookie / HSTS / __Host- 前缀；反代 TLS 但后端只看到 HTTP 时设 true
 }
 
 // appIniKey 描述 app.ini 中应由启动补全的键（已有值不改写）。
@@ -43,7 +44,8 @@ var appIniSchema = []appIniKey{
 	{section: "paths", key: "DATA", value: "data"},
 	{section: "app", key: "DEV_MODE", value: "true"},
 	{section: "app", key: "SITE_URL", value: "", comment: "对外正式 origin，无尾斜杠。账号邮件链接与 Next 的 SITE_URL 必须一致。\n本地可填 http://localhost:3000；生产填 https://bbs.example.com。环境变量 SITE_URL 优先。"},
-	{section: "app", key: "CORS_ORIGINS", value: "", comment: "额外 CORS origin，逗号分隔。环境变量 CORS_ORIGINS 优先。同源反代通常可留空。"},
+	{section: "app", key: "CORS_ORIGINS", value: "", comment: "额外 CORS origin，逗号分隔。环境变量 CORS_ORIGINS 优先。"},
+	{section: "app", key: "FORCE_HTTPS", value: "false", comment: "强制启用 HTTPS 安全 cookie / HSTS / __Host- 前缀。反代 TLS 但后端只看到 HTTP 时设 true。\n默认自动根据 SITE_URL scheme 判断。环境变量 FORCE_HTTPS 优先。"},
 }
 
 // Parse 解析配置：环境变量 > app.ini > 默认值。
@@ -98,6 +100,9 @@ func Parse() (*Config, error) {
 	if v := strings.TrimSpace(os.Getenv("CORS_ORIGINS")); v != "" {
 		cfg.CORSOrigins = splitCSVOrigins(v)
 	}
+	if v := strings.TrimSpace(os.Getenv("FORCE_HTTPS")); v != "" {
+		cfg.ForceHTTPS = strings.EqualFold(v, "true") || v == "1"
+	}
 	if v := strings.TrimSpace(os.Getenv("DATA_DIR")); v != "" {
 		abs, err := filepath.Abs(v)
 		if err != nil {
@@ -179,6 +184,9 @@ func applyIni(cfg *Config, f *ini.File) {
 			cfg.CORSOrigins = splitCSVOrigins(v)
 		}
 	}
+	if s := f.Section("app"); s.HasKey("FORCE_HTTPS") {
+		cfg.ForceHTTPS = s.Key("FORCE_HTTPS").MustBool(false)
+	}
 }
 
 // loadAndEnsureAppIni 加载 app.ini；不存在则按 schema 新建；已存在则只补缺失键。
@@ -227,6 +235,19 @@ func loadAndEnsureAppIni(path string) (*ini.File, error) {
 	return f, nil
 }
 
+// IsSecureOrigin 判断对外站点是否走 HTTPS，用于控制 cookie Secure 标志、HSTS 头、__Host- cookie 前缀。
+// 优先级：FORCE_HTTPS 显式设置 > SITE_URL scheme 推断。
+// 本地 dev 未填 SITE_URL 时按 http 处理，不会误开安全策略。
+func (c *Config) IsSecureOrigin() bool {
+	if c.ForceHTTPS {
+		return true
+	}
+	if c.SiteURL == "" {
+		return false
+	}
+	return strings.HasPrefix(c.SiteURL, "https://")
+}
+
 // AllowOrigin 供 CORS 中间件判断浏览器 Origin。
 // 开发态只放行 localhost / 127.0.0.1 的 3000 端口（与 next dev 一致）；
 // 生产态放行 SITE_URL 与 CORS_ORIGINS。同源反代下浏览器不依赖 CORS，此列表作兜底。