✨ feat(server): 新增每 IP 请求限流

- 新增 RateLimit 中间件：golang.org/x/time/rate 令牌桶，超出返回 429
- server.rate_limit_qps 配置（默认 0 不限制，突发 10），公网部署建议开启
- 业务路由统一接入 限流 → 鉴权 中间件链；/healthz 与静态资源不限流
- X-Forwarded-For 优先取真实客户端 IP（反代场景），visitor 表定时清理防泄漏
- config.yaml 补齐 protect_all 与 rate_limit_qps 配置项（此前仅存在于代码）

internal/config/config.go

@@ -19,10 +19,11 @@ type Config struct {
 
 // ServerConfig 服务器配置
 type ServerConfig struct {
-	Port       string `mapstructure:"port"`
-	Host       string `mapstructure:"host"`
-	AccessKey  string `mapstructure:"access_key"`
-	ProtectAll bool   `mapstructure:"protect_all"` // 业务接口也要求访问密钥（公网部署建议开启）
+	Port         string  `mapstructure:"port"`
+	Host         string  `mapstructure:"host"`
+	AccessKey    string  `mapstructure:"access_key"`
+	ProtectAll   bool    `mapstructure:"protect_all"`   // 业务接口也要求访问密钥（公网部署建议开启）
+	RateLimitQPS float64 `mapstructure:"rate_limit_qps"` // 每 IP 每秒请求上限，0=不限制
 }
 
 // FanqieConfig 番茄小说配置