fix(captcha): seal comment fallback and phone-register client loop

Gate preprocess_comment so native wp-comments-post cannot bypass captcha,
require verify+reset on phone register, and align UsersSignin status with
active provider.

inc/core-hooks/part-3.php

@@ -92,12 +92,9 @@ add_action('pre_get_posts', function ($query) {
 // ============================================================
 // 评论提交：单一合同
 // ------------------------------------------------------------
-// 评论提交统一走 WordPress 原生 wp-comments-post.php，由前端
-// main.js initCommentSystem() 以 AJAX 拦截：它负责人机验证、频率
-// 限制、审核管线，并在成功后通过 reloadCommentList() 重新拉取，
-// 列表仍由 aksrt_comment_callback 这一规范渲染器输出。
-// 不再保留并行的 aksrt_submit_comment 动作（避免绕过验证码的第二套提交合同）。
-// 详见 comment-contract.md。
+// 主路径：前端 comments.js → REST /comment/submit（aksrt_require_captcha）。
+// 兜底 / 原生 wp-comments-post.php 经 preprocess_comment 做人机验证，避免绕过。
+// 列表仍由 aksrt_comment_callback 统一渲染。
 // ============================================================
 
 // ============================================================