feat(be+admin): 后台看板扩展 + 社区内容安全审核

看板（Recharts）:
- 概览页加 DAU/WAU/MAU、今日/本月新增 KPI，新增趋势/活跃趋势/月活/留存曲线
- GET /admin/analytics 内存计算，活跃口径=当天有记录/发帖/评论，排除 bot

内容安全（微信官方 UGC）:
- 文本 msg_sec_check 同步判、图片 media_check_async 异步查
- 帖子/评论加 pending/rejected 审核态，feed 只放 published
- 图片结果回调 /api/wx/sec-callback，JSON/XML + 明文模式，签名校验
- 检测不了/未发布时一律转待审核，走后台手动审核
- 后台帖子/评论审核页：修好看不到图（补 attachPostImages）、
  加状态筛选 + 通过/打回；新增评论审核状态接口

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

pets-be/internal/service/community.go

@@ -125,19 +125,50 @@ func (s *Service) CreatePost(userID string, in PostInput) (*model.Post, error) {
 			}
 		}
 	}
+	// 取作者 openid（内容安全接口 v2 要求带上），并把图片 file id 解析成可访问 URL
+	var user model.User
+	s.db.Select("id, open_id").First(&user, userID)
+	imgURLs := s.resolveImageURLs(in.ImageFileIDs)
+
+	// 发布前过内容安全：文本同步判、图片提交异步查。检测不了或有图 → 待人工/待回调
+	status, _ := s.moderateInitial(in.Content, user.OpenID, 3, len(imgURLs) > 0)
+
 	p := model.Post{
 		UserID: userID, PetID: in.PetID, AuthorName: authorName, AuthorEmoji: authorEmoji,
 		Identity: in.Identity, Content: in.Content, Tags: in.Tags, Images: in.Images,
-		ImageFileIDs: in.ImageFileIDs, Status: model.PostPublished,
+		ImageFileIDs: in.ImageFileIDs, Status: status,
 	}
 	if err := s.db.Create(&p).Error; err != nil {
 		return nil, err
 	}
+	// 文本已过、但有图 → 逐张提交异步检测，结果回调再决定放出/打回
+	if status == model.PostPending && len(imgURLs) > 0 {
+		s.submitImageChecks("post", p.ID, user.OpenID, imgURLs, 3)
+	}
 	one := []model.Post{p}
 	s.attachPostImages(one)
 	return &one[0], nil
 }
 
+// resolveImageURLs 把 file id 数组（JSON）解析成可访问 URL 列表
+func (s *Service) resolveImageURLs(fileIDs datatypes.JSON) []string {
+	if len(fileIDs) == 0 {
+		return nil
+	}
+	var ids []string
+	if json.Unmarshal(fileIDs, &ids) != nil || len(ids) == 0 {
+		return nil
+	}
+	m := s.fileURLs(ids)
+	urls := make([]string, 0, len(ids))
+	for _, id := range ids {
+		if u := m[id]; u != "" {
+			urls = append(urls, u)
+		}
+	}
+	return urls
+}
+
 // LikePost 点赞（幂等：已赞则不重复计数）
 func (s *Service) LikePost(userID, postID string) (int, error) {
 	if _, err := s.GetPost(postID); err != nil {
@@ -275,9 +306,12 @@ func (s *Service) CreateComment(userID, postID string, content string, images []
 		}
 	}
 
+	// 评论也过内容安全（scene=2 评论）。图片这里已经是可访问 URL
+	status, _ := s.moderateInitial(content, user.OpenID, 2, len(images) > 0)
+
 	comment := model.Comment{
 		PostID: postID, UserID: userID, AuthorName: name, Content: content,
-		Status: "published", ParentID: parentID, ReplyToName: replyTo,
+		Status: status, ParentID: parentID, ReplyToName: replyTo,
 	}
 	// 配图存 JSON 数组。空数组也要显式写，否则前端拿到 null 还要额外判空
 	if b, err := json.Marshal(images); err == nil && len(images) > 0 {
@@ -287,11 +321,19 @@ func (s *Service) CreateComment(userID, postID string, content string, images []
 		if err := tx.Create(&comment).Error; err != nil {
 			return err
 		}
-		return tx.Model(&model.Post{}).Where("id = ?", postID).
-			UpdateColumn("comment_count", gorm.Expr("comment_count + 1")).Error
+		// 待审核/打回的评论先不计入楼主的评论数，过审后再补
+		if status == model.PostPublished {
+			return tx.Model(&model.Post{}).Where("id = ?", postID).
+				UpdateColumn("comment_count", gorm.Expr("comment_count + 1")).Error
+		}
+		return nil
 	}); err != nil {
 		return nil, err
 	}
+	// 文本已过、有图 → 异步查图
+	if status == model.PostPending && len(images) > 0 {
+		s.submitImageChecks("comment", comment.ID, user.OpenID, images, 2)
+	}
 	return &comment, nil
 }