feat: 帖子分级置顶（板块/全站）与板块管理员置顶权限、消息管理权限调整

backend/router/router.go

@@ -65,8 +65,8 @@ func Setup(cfg *config.Config) (*gin.Engine, error) {
 	r.Use(gin.Recovery())
 	r.Use(gin.Logger())
 
-	// 全局安全响应头
-	r.Use(middleware.SecurityHeaders())
+	// 全局安全响应头（HSTS 仅 HTTPS origin 下发）
+	r.Use(middleware.SecurityHeaders(cfg.IsSecureOrigin()))
 
 	// CORS：开发放行 localhost:3000；生产用 SITE_URL / CORS_ORIGINS（同源反代时浏览器不走跨域）
 	r.Use(cors.New(cors.Config{
@@ -159,7 +159,7 @@ func Setup(cfg *config.Config) (*gin.Engine, error) {
 		Chat:           chatSvc,
 		Visit:          visitSvc,
 		Analytics:      analyticsSvc,
-		HidePwd:        service.NewHidePasswordCookie(cfg.JWTSecret, !cfg.DevMode),
+		HidePwd:        service.NewHidePasswordCookie(cfg.JWTSecret, cfg.IsSecureOrigin()),
 		Ads:            adSvc,
 		Sidebar:        service.NewSidebarService(model.DB),
 		FriendLink:     service.NewFriendLinkService(model.DB),
@@ -203,7 +203,7 @@ func Setup(cfg *config.Config) (*gin.Engine, error) {
 	r.GET("/api/ws", h.RealtimeWS)
 
 	// 公开 API（可选登录）；EnsureCSRF 让游客也能拿到双提交 token（密码解锁等）
-	pubAPI := r.Group("/api", authMW.OptionalAuth(), middleware.EnsureCSRFCookie(!cfg.DevMode))
+	pubAPI := r.Group("/api", authMW.OptionalAuth(), middleware.EnsureCSRFCookie(cfg.IsSecureOrigin()))
 	{
 		pubAPI.GET("/me", h.Me)
 		pubAPI.GET("/boards", h.Boards)
@@ -380,6 +380,10 @@ func Setup(cfg *config.Config) (*gin.Engine, error) {
 		staffAPI.PUT("/content/comments/:id/restore", h.AdminRestoreComment)
 		staffAPI.DELETE("/content/comments/:id/purge", h.AdminPurgeComment)
 
+		// 置顶帖顺序配置（板块置顶：板管限授权板块；全站置顶：管理员及以上）
+		staffAPI.GET("/pinned-posts", h.AdminListPinnedPosts)
+		staffAPI.PUT("/pinned-posts/order", h.AdminSavePinOrder)
+
 		// 积分与类型帖概览（管理员及以上）
 		staffAPI.GET("/economy", authMW.RequirePerm(service.PermAnnouncements), h.AdminPointsStats)