docs/chore: Phase 1 doc/code hygiene (code-review.md § Phase 1)

Removes ~30 stale "Phase N" / historical-staging comment references from
code and shell scripts now that v1.0 is done; fixes a stale dashboard
comment claiming applications/send-log were unimplemented; adds a CSRF ADR
to security.md documenting the Origin-check-over-tokens decision; resolves
docs/logo in roadmap.md (directory doesn't exist, criterion already met);
adds a gofmt -l check to CI so unformatted Go fails the build.

The known-limitations write-up for the log-tailer offset gap (the other
Phase 1 item) was already present in architecture.md § Log tailer, so no
change was needed there.

gofmt/go vet/go test clean on both Go modules (main + test/e2e), verified
on the dev server.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

docs/roadmap.md

@@ -31,9 +31,6 @@ Codeberg (`codeberg.org/mix/selfpost/raw/branch/main/deploy/...`).
 `vX.Y.Z` — не раньше. Сейчас может отставать от целевой версии релиза;
 несовпадение мешает только до первого выката по тегу.
 
-**Каталог `docs/logo`.** Пустой; либо наполнить (если нужен отдельный asset для
-внешних ссылок), либо удалить каталог, чтобы не создавать ложное ожидание.
-
 **Убрать `implementation-plan.md` — в релизном коммите.** Документ закрыт:
 уникального содержания в нём нет, § D (предрелизная ревизия безопасности)
 продублирован в [progress.md](progress.md), [security.md](security.md) и
@@ -57,9 +54,11 @@ CHANGELOG `[Unreleased]/Security`, а разделы B.1–B.3 и C.4 вырез
    он выполнен.
 
 **Готово, когда:** Quick start указывает на Codeberg; тег образа в compose
-совпадает с релизом; `docs/logo` либо содержит файлы, либо отсутствует;
-`implementation-plan.md` в `docs/archive/`, ссылок на него в активных документах
-и в коде/CI не осталось.
+совпадает с релизом; `implementation-plan.md` в `docs/archive/`, ссылок на него
+в активных документах и в коде/CI не осталось.
+
+(`docs/logo` уже отсутствует как каталог — критерию «либо содержит файлы, либо
+отсутствует» удовлетворяет; отдельного действия не требуется.)
 
 **Send-log vs `mail.log` (опционально).** После рестарта панели или пересоздания
 контейнера строки send-log могут навсегда остаться `queued` — log-tailer не