feat(admin): 优化用户权限分级·统一头像·数据分析面板修复

- fix(DataAnalysisPanel): 活跃用户卡片固定 400px + overflow-y 独立滚动容器，底部渐变遮罩提示滚动；列表项 tooltip 增加 max-height 与 overflow 截断；新增圆形头像显示与 @error 回退首字母
- feat(admin): 新增 getUserAvatarUrl 统一头像策略链（OAuth identity→Gravatar→DiceBear 7.x initials），stats/realtime、active-users、users/index 三处接口返回 avatarUrl
- fix(admin): 建立 SUPER_ADMIN(100)>ADMIN(80)>USER(10) 分级常量与 canChangeRoleOf/canResetPasswordFor 等谓词；reset-password、[id].put、index.post 全面应用级别守卫；前端 UserManager 按钮按权限禁用、availableRoles 按操作者级别过滤 SUPER_ADMIN/ADMIN 等高角色

server/api/admin/users/[id].put.ts

@@ -3,6 +3,7 @@ import { db } from '~/drizzle/db'
 import { users, userStatusLogs } from '~/drizzle/schema'
 import { eq } from 'drizzle-orm'
 import { updateUserPassword } from '~~/server/services/userService'
+import { getRoleLevel, canChangeRoleOf, canResetPasswordFor } from '~~/server/utils/permissions.js'
 
 export default defineEventHandler(async (event) => {
   try {
@@ -51,6 +52,8 @@ export default defineEventHandler(async (event) => {
     }
 
     const targetUser = existingUser[0]
+    const currentLevel = getRoleLevel(user.role)
+    const targetLevel = getRoleLevel(targetUser.role)
 
     // 1. 禁止修改系统初始超级管理员 (ID: 1)
     if (targetUser.id === 1) {
@@ -61,7 +64,6 @@ export default defineEventHandler(async (event) => {
     }
 
     // 2. 禁止对自身进行任何用户管理操作（包括角色、资料、状态、密码等）
-    // 使用 String 转换确保 ID 比较的准确性
     if (String(userId) === String(user.id)) {
       throw createError({
         statusCode: 400,
@@ -69,12 +71,11 @@ export default defineEventHandler(async (event) => {
       })
     }
 
-    // 3. 越级修改保护
-    // 如果目标用户是 SUPER_ADMIN，操作者必须是 SUPER_ADMIN
-    if (targetUser.role === 'SUPER_ADMIN' && user.role !== 'SUPER_ADMIN') {
+    // 3. 非超级管理员必须严格高于目标角色级别
+    if (user.role !== 'SUPER_ADMIN' && currentLevel <= targetLevel) {
       throw createError({
         statusCode: 403,
-        statusMessage: '权限不足：普通管理员无法修改超级管理员信息'
+        statusMessage: `权限不足：${user.role} 无法操作同级或更高角色的用户`
       })
     }
 
@@ -94,31 +95,26 @@ export default defineEventHandler(async (event) => {
       }
     }
 
-    // 角色权限控制
-    let validRole = 'USER'
-    if (role && ['USER', 'TEACHER', 'ADMIN', 'SONG_ADMIN', 'SUPER_ADMIN'].includes(role)) {
-      // 超级管理员可以设置任何角色
-      if (user.role === 'SUPER_ADMIN') {
-        validRole = role
-      }
-      // 管理员只能设置管理员以下的角色（USER, SONG_ADMIN）
-      else if (user.role === 'ADMIN') {
-        if (['USER', 'TEACHER', 'SONG_ADMIN'].includes(role)) {
-          validRole = role
-        } else {
-          throw createError({
-            statusCode: 403,
-            statusMessage: '管理员只能设置用户、教师和歌曲管理员角色'
-          })
-        }
-      }
-      // 其他角色不能设置角色
-      else {
+    // 角色权限控制（统一使用 canChangeRoleOf 语义化检查）
+    let validRole = targetUser.role
+    if (role && role !== targetUser.role) {
+      if (!canChangeRoleOf(user, targetUser, role)) {
         throw createError({
           statusCode: 403,
-          statusMessage: '没有权限设置用户角色'
+          statusMessage: user.role === 'SUPER_ADMIN'
+            ? '超级管理员不能将目标用户提升为 SUPER_ADMIN'
+            : `权限不足：${user.role} 无法将用户角色更改为 ${role}`
         })
       }
+      validRole = role
+    }
+
+    // 如果请求中包含密码更新，校验密码重置权限
+    if (password && !canResetPasswordFor(user, targetUser)) {
+      throw createError({
+        statusCode: 403,
+        statusMessage: `权限不足：${user.role} 无法重置目标用户的密码`
+      })
     }
 
     // 验证status字段的有效性

server/api/admin/users/[id]/reset-password.post.ts

@@ -1,16 +1,18 @@
 import { updateUserPassword } from '~~/server/services/userService'
+import { db } from '~/drizzle/db'
+import { users } from '~/drizzle/schema'
+import { eq } from 'drizzle-orm'
+import { canResetPasswordFor, getRoleLevel } from '../../../utils/permissions.js'
 
 export default defineEventHandler(async (event) => {
-  // 检查认证和权限
-  const user = event.context.user
-  if (!user || !['ADMIN', 'SUPER_ADMIN'].includes(user.role)) {
+  const currentUser = event.context.user
+  if (!currentUser || !['ADMIN', 'SUPER_ADMIN'].includes(currentUser.role)) {
     throw createError({
       statusCode: 403,
       message: '没有权限访问'
     })
   }
 
-  // 安全获取ID参数
   const params = event.context.params || {}
   const id = parseInt(params.id || '')
 
@@ -31,15 +33,54 @@ export default defineEventHandler(async (event) => {
   }
 
   try {
-    // 禁止对自身进行密码重置（通过用户管理界面）
-    if (id === user.id) {
+    if (id === currentUser.id) {
       throw createError({
         statusCode: 400,
         message: '禁止在用户管理中重置自己的密码'
       })
     }
-    
-    // 使用统一服务重置密码 (forceReset = true)
+
+    const targetUserResult = await db
+      .select({ id: users.id, role: users.role, username: users.username })
+      .from(users)
+      .where(eq(users.id, id))
+      .limit(1)
+
+    if (targetUserResult.length === 0) {
+      throw createError({
+        statusCode: 404,
+        message: '用户不存在'
+      })
+    }
+
+    const targetUser = targetUserResult[0]
+
+    if (targetUser.id === 1) {
+      throw createError({
+        statusCode: 403,
+        message: '无法重置系统初始超级管理员的密码'
+      })
+    }
+
+    const currentLevel = getRoleLevel(currentUser.role)
+    const targetLevel = getRoleLevel(targetUser.role)
+
+    if (currentUser.role !== 'SUPER_ADMIN') {
+      if (currentLevel <= targetLevel) {
+        throw createError({
+          statusCode: 403,
+          message: '权限不足：不能重置角色级别大于等于自己的用户密码'
+        })
+      }
+    }
+
+    if (!canResetPasswordFor(currentUser, targetUser)) {
+      throw createError({
+        statusCode: 403,
+        message: '权限不足：当前角色无法重置该用户的密码'
+      })
+    }
+
     await updateUserPassword(id, body.newPassword, true)
 
     return {
@@ -47,7 +88,10 @@ export default defineEventHandler(async (event) => {
       message: '密码重置成功'
     }
   } catch (error) {
-    console.error('重置密码失败:', error)
+    console.error('[ResetPassword] 失败:', error)
+    if (error.statusCode) {
+      throw error
+    }
     throw createError({
       statusCode: 500,
       message: '重置密码失败'

server/api/admin/users/index.get.ts

@@ -96,26 +96,36 @@ export default defineEventHandler(async (event) => {
         meowNickname: true,
         meowBoundAt: true,
         createdAt: true,
-        updatedAt: true
+        updatedAt: true,
+        avatarProvider: true,
+        avatarProviderUserId: true,
+        email: true
       },
       with: {
-        identities: {
-          columns: {
-            provider: true,
-            providerUsername: true
-          },
-          where: (identities, { eq }) => eq(identities.provider, 'github')
-        }
+        identities: true
       }
     })
 
-    // 处理用户列表，添加头像字段
-    const formattedUsers = usersList.map((user) => ({
-      ...user,
-      avatar: user.identities?.[0]?.providerUsername
-        ? `https://github.com/${user.identities[0].providerUsername}.png`
-        : null
-    }))
+    const { getUserAvatarUrl } = await import('../../../utils/user-avatar')
+
+    const formattedUsers = usersList.map((user) => {
+      const avatarUrl = getUserAvatarUrl(
+        {
+          id: user.id,
+          name: user.name,
+          username: user.username,
+          email: user.email,
+          avatarProvider: user.avatarProvider,
+          avatarProviderUserId: user.avatarProviderUserId
+        },
+        user.identities || []
+      )
+      return {
+        ...user,
+        avatar: avatarUrl,
+        avatarUrl
+      }
+    })
 
     // 计算分页信息
     const totalPages = Math.ceil(total / limitNum)

server/api/admin/users/index.post.ts

@@ -2,6 +2,7 @@ import bcrypt from 'bcryptjs'
 import { db } from '~/drizzle/db'
 import { users } from '~/drizzle/schema'
 import { eq } from 'drizzle-orm'
+import { getRoleLevel, isRoleHigher, canManageUserRole } from '~~/server/utils/permissions.js'
 
 export default defineEventHandler(async (event) => {
   // 检查认证和权限
@@ -51,31 +52,21 @@ export default defineEventHandler(async (event) => {
     // 加密密码
     const hashedPassword = await bcrypt.hash(body.password, 10)
 
-    // 角色权限控制
+    // 角色权限控制（统一使用 canManageUserRole 数值化级别检查）
     let validRole = 'USER'
-    if (body.role && ['USER', 'TEACHER', 'ADMIN', 'SONG_ADMIN', 'SUPER_ADMIN'].includes(body.role)) {
-      // 超级管理员可以创建任何角色的用户
-      if (user.role === 'SUPER_ADMIN') {
-        validRole = body.role
-      }
-      // 管理员只能创建管理员以下的角色（USER, SONG_ADMIN）
-      else if (user.role === 'ADMIN') {
-        if (['USER', 'TEACHER', 'SONG_ADMIN'].includes(body.role)) {
-          validRole = body.role
-        } else {
-          throw createError({
-            statusCode: 403,
-            message: '管理员只能创建用户、教师和歌曲管理员角色'
-          })
-        }
-      }
-      // 其他角色不能创建用户
-      else {
+    const requestedRole = body.role
+    if (requestedRole) {
+      if (!canManageUserRole(user, requestedRole)) {
+        const currentLevel = getRoleLevel(user.role)
+        const targetLevel = getRoleLevel(requestedRole)
         throw createError({
           statusCode: 403,
-          message: '没有权限创建用户'
+          message: isRoleHigher(requestedRole, user.role) || currentLevel <= targetLevel
+            ? `权限不足：${user.role} 无法创建级别高于或等于自身的角色（${requestedRole}）`
+            : `没有权限创建 ${requestedRole} 角色的用户`
         })
       }
+      validRole = requestedRole
     }
 
     // 状态验证