完善角色与消息权限：收紧板管内容处置，彻底删除仅站长，并统一管理删帖/评弹窗。

Co-authored-by: Cursor <cursoragent@cursor.com>

backend/router/router.go

@@ -208,6 +208,8 @@ func Setup(cfg *config.Config) (*gin.Engine, error) {
 			chatAPI.GET("/rooms/:id/members", h.ListChatMembers)
 			chatAPI.POST("/rooms/:id/members", h.InviteChatMembers)
 			chatAPI.DELETE("/rooms/:id/members/:uid", h.KickChatMember)
+			chatAPI.PUT("/rooms/:id/members/:uid/mute", h.SetChatMemberMute)
+			chatAPI.PUT("/rooms/:id/members/:uid/role", h.SetChatMemberRole)
 			chatAPI.GET("/rooms/:id/messages", h.ListChatMessages)
 			chatAPI.POST("/rooms/:id/messages", middleware.RateLimitMiddleware(limiter, service.RateChat), h.SendChatMessage)
 			chatAPI.DELETE("/rooms/:id/messages/:mid", h.RecallChatMessage)
@@ -244,12 +246,11 @@ func Setup(cfg *config.Config) (*gin.Engine, error) {
 		// 积分与类型帖概览（管理员及以上）
 		staffAPI.GET("/economy", authMW.RequirePerm(service.PermAnnouncements), h.AdminPointsStats)
 
-		// 站点分析概览（任意 staff）
+		// 站点分析概览（任意 staff；板管按授权板过滤）
 		staffAPI.GET("/analytics/overview", h.AdminAnalyticsOverview)
 
-		// 群聊监管队列（任意 staff；撤回权限仍按 oversee 规则）
-		staffAPI.GET("/chat/messages", h.AdminChatMessages)
-		staffAPI.DELETE("/chat/rooms/:roomId/messages/:mid", h.AdminRecallChatMessage)
+		// 群聊监管：移出后挂到 RequireAuth 组，允许「仅群管/消息 flag」用户访问
+		// （见下方 msgAPI）
 
 		// 站点公告文章管理（管理员及以上）
 		announceAPI := staffAPI.Group("", authMW.RequirePerm(service.PermAnnouncements))
@@ -275,6 +276,7 @@ func Setup(cfg *config.Config) (*gin.Engine, error) {
 		usersAPI := staffAPI.Group("", authMW.RequirePerm(service.PermUsers))
 		usersAPI.GET("/users", h.AdminListUsers)
 		usersAPI.PUT("/users/:id/role", h.AdminUpdateUserRole)
+		usersAPI.PUT("/users/:id/messages", h.AdminSetUserMessages)
 		usersAPI.PUT("/users/:id/ban", h.AdminSetUserBan)
 		usersAPI.GET("/users/:id/login-logs", h.AdminUserLoginLogs)
 		// 站长内容档案（handler 内再校验 owner）
@@ -284,6 +286,13 @@ func Setup(cfg *config.Config) (*gin.Engine, error) {
 		usersAPI.GET("/users/:id/messages", h.AdminUserAuditMessages)
 	}
 
+	// 消息管理后台：登录即可（handler 内校验站点消息权或群管理员）
+	msgAPI := r.Group("/api/admin", authMW.RequireAuth(), middleware.CSRFMiddleware())
+	{
+		msgAPI.GET("/chat/messages", h.AdminChatMessages)
+		msgAPI.DELETE("/chat/rooms/:roomId/messages/:mid", h.AdminRecallChatMessage)
+	}
+
 	r.NoRoute(func(c *gin.Context) {
 		c.JSON(404, gin.H{"error": "not found"})
 	})