feat: 注册流程强制图形验证码

SSR 注册页与 /api/register 共用 CaptchaService，防刷同时保留换一张无 JS 刷新。

Co-authored-by: Cursor <cursoragent@cursor.com>

docs/rebuild-spec/02-features.md

@@ -30,7 +30,7 @@
 ## B. 认证与个人中心
 
 - [x] 注册（用户名、密码、昵称、邮箱；可选邮箱验证码）— SSR `/register`
-- [ ] 图形验证码接口（注册流程）
+- [x] 图形验证码接口（注册流程）— SSR 注册页强制；`GET /api/captcha` + `POST /api/register` 校验
 - [x] 登录 / 登出（opaque session Cookie `jiang13_session`）— SSR；SameSite=Lax；登出/禁言/改密吊销
 - [x] 忘记密码：邮箱验证码 + 重置 — SSR `/forgot-password`（依赖 SMTP 就绪）
 - [x] 注册配置：邮件就绪时强制验证码；安装后开放注册（不依赖 SMTP）

docs/rebuild-spec/04-api.md

@@ -102,7 +102,7 @@
 
 | 方法 | 路径 | Body | 响应 |
 |------|------|------|------|
-| POST | `/api/register` | Form: username, password, nickname, email, email_code? | 成功后通常种 cookie |
+| POST | `/api/register` | Form/JSON: username, password, nickname, email, captcha_id, captcha, email_code? | 成功后通常种 cookie |
 | POST | `/api/login` | Form: username, password | 种 cookie |
 | POST | `/api/register/email-code` | JSON `{ email }` | `{ message }` |
 | POST | `/api/password-reset/email-code` | JSON `{ email }` | `{ message }` |

docs/rebuild-spec/06-pages-ux.md

@@ -17,7 +17,7 @@
 | 路径 | 说明 | SSR |
 |------|------|-----|
 | `/login` | 登录 / 登出 | 已迁 |
-| `/register` | 注册（邮件就绪时要验证码） | 已迁 |
+| `/register` | 注册（图形验证码；邮件就绪时要邮箱验证码） | 已迁 |
 | `/forgot-password` | 忘记密码 | 已迁 |
 
 ### 1.2 前台

docs/rebuild-spec/08-gitea-ssr-architecture.md

@@ -12,7 +12,7 @@
 |----|------|
 | 公开页渲染 | Go `html/template` **真 SSR** |
 | 浏览器写操作 | `routers/web` HTML 表单 POST + CSRF + PRG |
-| JSON `/api` | **仅机器客户端**（OIDC 等）；不服务已迁页面 UI |
+| JSON `/api` | **仅机器客户端**（OIDC、health、`/api/captcha`、`/api/register` 等）；不服务已迁页面 UI |
 | 渐进增强 | `web_src/` → `public/assets/` → `/ssr-assets/` |
 | 发布 | 单二进制 + `go:embed` |
 | 业务语义 | `01`–`07`；冲突时改代码并回写规格 |