HTTP 层与单二进制入口：路由 handler、会话/CSRF/限流防线、SPA 嵌入与 meta 注入

- internal/httpapi：§7.1 全部路由（公开浏览 / 管理端 / 认证 / feed），
  服务端统一可见性过滤（含回收站仅 admin 出口）、图片魔数校验与
  immutable/no-store 缓存头分流、统一 404 防枚举、slug 自解冲突与
  409 字段级错误、fail-only 登录限流（429 + Retry-After）、
  设置白名单（永不序列化口令哈希）
- internal/webui：go:embed dist + SPA fallback（资产指纹长缓存、
  深链回退 index.html）+ html/template 元信息注入（仅可见笔记）
- cmd/pure-note：serve/init/backup/gc/version 子命令，优雅停机与
  每小时会话清理
- 含全部 §13 测试组：表驱动可见性矩阵、迁移守卫、认证会话、CSRF、
  上传、回收站/gc、slug 策略、设置白名单、webui MapFS 单测

internal/httpapi/helpers.go

@@ -0,0 +1,9 @@
+package httpapi
+
+import (
+	"pure-note/internal/auth"
+)
+
+func newToken() (string, error) { return auth.NewToken() }
+
+func hashToken(token string) string { return auth.HashToken(token) }