feat(admin): 优化用户权限分级·统一头像·数据分析面板修复

- fix(DataAnalysisPanel): 活跃用户卡片固定 400px + overflow-y 独立滚动容器，底部渐变遮罩提示滚动；列表项 tooltip 增加 max-height 与 overflow 截断；新增圆形头像显示与 @error 回退首字母
- feat(admin): 新增 getUserAvatarUrl 统一头像策略链（OAuth identity→Gravatar→DiceBear 7.x initials），stats/realtime、active-users、users/index 三处接口返回 avatarUrl
- fix(admin): 建立 SUPER_ADMIN(100)>ADMIN(80)>USER(10) 分级常量与 canChangeRoleOf/canResetPasswordFor 等谓词；reset-password、[id].put、index.post 全面应用级别守卫；前端 UserManager 按钮按权限禁用、availableRoles 按操作者级别过滤 SUPER_ADMIN/ADMIN 等高角色

server/api/admin/users/[id].put.ts

@@ -3,6 +3,7 @@ import { db } from '~/drizzle/db'
 import { users, userStatusLogs } from '~/drizzle/schema'
 import { eq } from 'drizzle-orm'
 import { updateUserPassword } from '~~/server/services/userService'
+import { getRoleLevel, canChangeRoleOf, canResetPasswordFor } from '~~/server/utils/permissions.js'
 
 export default defineEventHandler(async (event) => {
   try {
@@ -51,6 +52,8 @@ export default defineEventHandler(async (event) => {
     }
 
     const targetUser = existingUser[0]
+    const currentLevel = getRoleLevel(user.role)
+    const targetLevel = getRoleLevel(targetUser.role)
 
     // 1. 禁止修改系统初始超级管理员 (ID: 1)
     if (targetUser.id === 1) {
@@ -61,7 +64,6 @@ export default defineEventHandler(async (event) => {
     }
 
     // 2. 禁止对自身进行任何用户管理操作（包括角色、资料、状态、密码等）
-    // 使用 String 转换确保 ID 比较的准确性
     if (String(userId) === String(user.id)) {
       throw createError({
         statusCode: 400,
@@ -69,12 +71,11 @@ export default defineEventHandler(async (event) => {
       })
     }
 
-    // 3. 越级修改保护
-    // 如果目标用户是 SUPER_ADMIN，操作者必须是 SUPER_ADMIN
-    if (targetUser.role === 'SUPER_ADMIN' && user.role !== 'SUPER_ADMIN') {
+    // 3. 非超级管理员必须严格高于目标角色级别
+    if (user.role !== 'SUPER_ADMIN' && currentLevel <= targetLevel) {
       throw createError({
         statusCode: 403,
-        statusMessage: '权限不足：普通管理员无法修改超级管理员信息'
+        statusMessage: `权限不足：${user.role} 无法操作同级或更高角色的用户`
       })
     }
 
@@ -94,31 +95,26 @@ export default defineEventHandler(async (event) => {
       }
     }
 
-    // 角色权限控制
-    let validRole = 'USER'
-    if (role && ['USER', 'TEACHER', 'ADMIN', 'SONG_ADMIN', 'SUPER_ADMIN'].includes(role)) {
-      // 超级管理员可以设置任何角色
-      if (user.role === 'SUPER_ADMIN') {
-        validRole = role
-      }
-      // 管理员只能设置管理员以下的角色（USER, SONG_ADMIN）
-      else if (user.role === 'ADMIN') {
-        if (['USER', 'TEACHER', 'SONG_ADMIN'].includes(role)) {
-          validRole = role
-        } else {
-          throw createError({
-            statusCode: 403,
-            statusMessage: '管理员只能设置用户、教师和歌曲管理员角色'
-          })
-        }
-      }
-      // 其他角色不能设置角色
-      else {
+    // 角色权限控制（统一使用 canChangeRoleOf 语义化检查）
+    let validRole = targetUser.role
+    if (role && role !== targetUser.role) {
+      if (!canChangeRoleOf(user, targetUser, role)) {
         throw createError({
           statusCode: 403,
-          statusMessage: '没有权限设置用户角色'
+          statusMessage: user.role === 'SUPER_ADMIN'
+            ? '超级管理员不能将目标用户提升为 SUPER_ADMIN'
+            : `权限不足：${user.role} 无法将用户角色更改为 ${role}`
         })
       }
+      validRole = role
+    }
+
+    // 如果请求中包含密码更新，校验密码重置权限
+    if (password && !canResetPasswordFor(user, targetUser)) {
+      throw createError({
+        statusCode: 403,
+        statusMessage: `权限不足：${user.role} 无法重置目标用户的密码`
+      })
     }
 
     // 验证status字段的有效性