feat: 实现完整的板块级RBAC内容审核系统

- 新增站长/超级管理员/管理员/板块管理员四级角色体系
- 实现实时权限快照加载与细粒度权限校验
- 新增内容审核队列与前后端页面
- 重构用户权限管理与站点管理逻辑
- 新增评论/帖子审核状态与通知推送
- 优化前端权限控制与角色徽章展示
- 修正数据库迁移与默认值问题

backend/middleware/auth.go

@@ -5,6 +5,7 @@ import (
 	"net/http"
 	"strings"
 
+	"github.com/freefire/jiang13-bbs/model"
 	"github.com/freefire/jiang13-bbs/service"
 	"github.com/gin-gonic/gin"
 )
@@ -59,7 +60,7 @@ func (m *AuthMiddleware) RequireAuth() gin.HandlerFunc {
 	}
 }
 
-// RequireAdmin 必须管理员
+// RequireAdmin 必须管理员（保留兼容；等价于"管理员及以上"，不含纯板块管理员）
 func (m *AuthMiddleware) RequireAdmin() gin.HandlerFunc {
 	return func(c *gin.Context) {
 		user, ok := m.parseToken(c)
@@ -71,7 +72,7 @@ func (m *AuthMiddleware) RequireAdmin() gin.HandlerFunc {
 			c.AbortWithStatusJSON(http.StatusUnauthorized, gin.H{"error": "未登录"})
 			return
 		}
-		if user.Role != service.RoleAdmin {
+		if model.RoleLevel(model.Role(user.Role)) < model.RoleLevel(model.RoleAdmin) {
 			c.AbortWithStatusJSON(http.StatusForbidden, gin.H{"error": "需要管理员权限"})
 			return
 		}
@@ -80,6 +81,45 @@ func (m *AuthMiddleware) RequireAdmin() gin.HandlerFunc {
 	}
 }
 
+// ActorKey 实时权限快照在 gin.Context 中的键
+const ActorKey = "actor"
+
+// RequireStaff 必须是管理团队成员（板块管理员及以上），
+// 并把实时 Actor（角色+板块授权）写入 context 供 RequirePerm/handler 使用
+func (m *AuthMiddleware) RequireStaff() gin.HandlerFunc {
+	return func(c *gin.Context) {
+		claims, ok := m.parseToken(c)
+		if !ok {
+			if c.GetBool(AccountBannedKey) {
+				bannedJSON(c)
+				return
+			}
+			c.AbortWithStatusJSON(http.StatusUnauthorized, gin.H{"error": "未登录"})
+			return
+		}
+		actor, err := m.auth.LoadActor(claims.ID)
+		if err != nil || !actor.IsStaff() {
+			c.AbortWithStatusJSON(http.StatusForbidden, gin.H{"error": "需要管理员权限"})
+			return
+		}
+		c.Set("user", claims)
+		c.Set(ActorKey, actor)
+		c.Next()
+	}
+}
+
+// RequirePerm 功能点鉴权，必须接在 RequireStaff 之后
+func (m *AuthMiddleware) RequirePerm(perm string) gin.HandlerFunc {
+	return func(c *gin.Context) {
+		actor := CurrentActor(c)
+		if !actor.HasPerm(perm) {
+			c.AbortWithStatusJSON(http.StatusForbidden, gin.H{"error": "无权限执行该操作"})
+			return
+		}
+		c.Next()
+	}
+}
+
 // parseToken 解析并校验 token：
 // 1. 优先从 HttpOnly cookie 读取，回退 Authorization header
 // 2. 校验 JWT 签名和过期
@@ -122,3 +162,13 @@ func CurrentUser(c *gin.Context) *service.UserClaims {
 	}
 	return nil
 }
+
+// CurrentActor 从 context 获取当前操作者的实时权限快照（RequireStaff 写入）
+func CurrentActor(c *gin.Context) *service.Actor {
+	if v, ok := c.Get(ActorKey); ok {
+		if a, ok := v.(*service.Actor); ok {
+			return a
+		}
+	}
+	return nil
+}