feat: 新增管理员用户管理功能与账号封禁体系

此提交完成了全站管理员后台核心功能开发：
1.  新增AdminUserService与管理接口，支持用户列表查询、角色变更与封禁解封
2.  重构认证链路，统一账号封禁错误码与处理逻辑
3.  新增全局强制下线机制，账号被封禁时自动弹出告知弹窗并清理登录态
4.  重构管理员后台路由与布局，统一权限校验逻辑
5.  优化通知轮询逻辑，页面切回前台时立即刷新未读计数
6.  合并原公告、外观管理页到统一后台面板

backend/handler/auth.go

@@ -1,6 +1,7 @@
 package handler
 
 import (
+	"errors"
 	"net/http"
 	"time"
 
@@ -146,6 +147,11 @@ func (h *Handlers) Login(c *gin.Context) {
 	}
 	accessToken, refreshToken, user, err := h.Auth.Login(req.Username, req.Password)
 	if err != nil {
+		// 封禁与凭据错误区分：前端可据此展示针对性提示
+		if errors.Is(err, service.ErrAccountBanned) {
+			c.JSON(http.StatusForbidden, gin.H{"error": err.Error(), "code": "account_banned"})
+			return
+		}
 		c.JSON(http.StatusUnauthorized, gin.H{"error": err.Error()})
 		return
 	}
@@ -172,6 +178,11 @@ func (h *Handlers) Refresh(c *gin.Context) {
 	accessToken, newRefresh, user, err := h.Auth.RotateRefreshToken(refreshToken)
 	if err != nil {
 		clearAuthCookies(c, !h.Cfg.DevMode)
+		if errors.Is(err, service.ErrAccountBanned) {
+			// 账号已封禁：清 cookie 的同时给出可识别 code，前端弹封禁告知并强制下线
+			c.JSON(http.StatusForbidden, gin.H{"error": "账号已被封禁", "code": "account_banned"})
+			return
+		}
 		c.JSON(http.StatusUnauthorized, gin.H{"error": "登录已过期，请重新登录"})
 		return
 	}
@@ -238,7 +249,14 @@ func meUserBody(user *model.User) gin.H {
 func (h *Handlers) Me(c *gin.Context) {
 	claims := middleware.CurrentUser(c)
 	if claims == nil {
-		c.JSON(http.StatusOK, gin.H{"user": nil, "unread_count": 0})
+		resp := gin.H{"user": nil, "unread_count": 0}
+		// OptionalAuth 识别到封禁：HTTP 仍为 200（/me 不阻断页面），
+		// 但带 banned/code，客户端静默校正时据此强制下线并弹告知
+		if c.GetBool(middleware.AccountBannedKey) {
+			resp["banned"] = true
+			resp["code"] = "account_banned"
+		}
+		c.JSON(http.StatusOK, resp)
 		return
 	}
 	user, err := h.Auth.GetUserByID(claims.ID)