feat: 新增管理员用户管理功能与账号封禁体系

此提交完成了全站管理员后台核心功能开发：
1.  新增AdminUserService与管理接口，支持用户列表查询、角色变更与封禁解封
2.  重构认证链路，统一账号封禁错误码与处理逻辑
3.  新增全局强制下线机制，账号被封禁时自动弹出告知弹窗并清理登录态
4.  重构管理员后台路由与布局，统一权限校验逻辑
5.  优化通知轮询逻辑，页面切回前台时立即刷新未读计数
6.  合并原公告、外观管理页到统一后台面板

backend/router/router.go

@@ -49,6 +49,7 @@ func Setup(cfg *config.Config) (*gin.Engine, error) {
 	announcementSvc := service.NewAnnouncementService(model.DB)
 	uploadSvc := service.NewUploadService(model.DB, filepath.Join(cfg.DataDir, "uploads"))
 	settingSvc := service.NewSettingService(model.DB)
+	adminUserSvc := service.NewAdminUserService(model.DB)
 	if err := uploadSvc.EnsureDir(); err != nil {
 		return nil, err
 	}
@@ -67,6 +68,7 @@ func Setup(cfg *config.Config) (*gin.Engine, error) {
 		Announcement: announcementSvc,
 		Upload:       uploadSvc,
 		Setting:      settingSvc,
+		AdminUser:    adminUserSvc,
 	}
 
 	authMW := middleware.NewAuthMiddleware(authSvc)
@@ -97,12 +99,13 @@ func Setup(cfg *config.Config) (*gin.Engine, error) {
 		pubAPI.POST("/login", middleware.RateLimitMiddleware(limiter, service.RateLogin), h.Login)
 		// refresh token 端点：access 过期后用 refresh 换新 token（需 CSRF 防护）
 		pubAPI.POST("/auth/refresh", middleware.CSRFMiddleware(), h.Refresh)
+		// 登出不依赖有效登录态：封禁/登录态失效后前端仍需凭它清除 cookie（CSRF 仍校验）
+		pubAPI.POST("/logout", middleware.CSRFMiddleware(), h.Logout)
 	}
 
 	// 需登录 API（先鉴权，再 CSRF 防护）
 	api := r.Group("/api", authMW.RequireAuth(), middleware.CSRFMiddleware())
 	{
-		api.POST("/logout", h.Logout)
 		api.POST("/change-password", h.ChangePassword)
 		api.PUT("/profile", h.UpdateProfile)
 		api.POST("/posts", middleware.RateLimitMiddleware(limiter, service.RatePost), h.CreatePost)
@@ -141,6 +144,10 @@ func Setup(cfg *config.Config) (*gin.Engine, error) {
 		adminAPI.DELETE("/announcements/:id", h.AdminDeleteAnnouncement)
 		// 站点外观设置（主题色）
 		adminAPI.PUT("/settings", h.UpdateSettings)
+		// 用户管理：列表（搜索/筛选/汇总）、角色变更、封禁解封
+		adminAPI.GET("/users", h.AdminListUsers)
+		adminAPI.PUT("/users/:id/role", h.AdminUpdateUserRole)
+		adminAPI.PUT("/users/:id/ban", h.AdminSetUserBan)
 	}
 
 	r.NoRoute(func(c *gin.Context) {