完善角色与消息权限：收紧板管内容处置，彻底删除仅站长，并统一管理删帖/评弹窗。

Co-authored-by: Cursor <cursoragent@cursor.com>

frontend/app/admin/layout.tsx

@@ -4,7 +4,7 @@ import { cookies } from "next/headers";
 import { ShieldAlert } from "lucide-react";
 import { authCookieHeader, TOKEN_COOKIE } from "@/lib/cookies";
 import { getMeCached, getPublicSettingsCached } from "@/lib/serverData";
-import { isStaff } from "@/lib/roles";
+import { canAccessAdminMessages, isStaff } from "@/lib/roles";
 import AdminShell from "@/components/admin/AdminShell";
 
 // 整个 /admin 树不进入索引（子页面无需重复声明）
@@ -12,8 +12,8 @@ export const metadata: Metadata = {
   robots: { index: false, follow: false },
 };
 
-// 权限以 Go 端 RequireStaff 为唯一判定；这里仅决定管理界面是否直出，
-// 非管理团队访问任意 /admin/* 时 SSR 统一给出无权限提示（所有写接口仍由后端 403 兜底）。
+// 权限以 Go 端为唯一判定；此处仅决定管理界面是否直出。
+// 允许：管理角色，或仅有消息管理/群管权限的用户（仅消息菜单可见）。
 export default async function AdminLayout({ children }: { children: React.ReactNode }) {
   const cookieStore = await cookies();
   const cookie = authCookieHeader(cookieStore);
@@ -21,7 +21,10 @@ export default async function AdminLayout({ children }: { children: React.ReactN
   const settings = await getPublicSettingsCached();
   const theme = cookieStore.get("j13-theme")?.value === "dark" ? "dark" : "light";
 
-  if (!me.user || !isStaff(me.user.role)) {
+  const allowed =
+    !!me.user && (isStaff(me.user.role) || canAccessAdminMessages(me.user));
+
+  if (!allowed || !me.user) {
     return (
       <div
         data-admin-viewport
@@ -48,12 +51,14 @@ export default async function AdminLayout({ children }: { children: React.ReactN
     );
   }
 
+  const user = me.user;
+
   // 未读仅在有 access cookie 时才可信；壳层铃铛用 SSR 直出避免挂载后才出红点
   const unread = cookieStore.get(TOKEN_COOKIE)?.value ? me.unread_count : 0;
 
   return (
     <AdminShell
-      user={me.user}
+      user={user}
       siteName={settings.site_name || "姜十三论坛"}
       initialTheme={theme}
       initialUnread={unread}