feat(admin): 优化用户权限分级·统一头像·数据分析面板修复

- fix(DataAnalysisPanel): 活跃用户卡片固定 400px + overflow-y 独立滚动容器，底部渐变遮罩提示滚动；列表项 tooltip 增加 max-height 与 overflow 截断；新增圆形头像显示与 @error 回退首字母
- feat(admin): 新增 getUserAvatarUrl 统一头像策略链（OAuth identity→Gravatar→DiceBear 7.x initials），stats/realtime、active-users、users/index 三处接口返回 avatarUrl
- fix(admin): 建立 SUPER_ADMIN(100)>ADMIN(80)>USER(10) 分级常量与 canChangeRoleOf/canResetPasswordFor 等谓词；reset-password、[id].put、index.post 全面应用级别守卫；前端 UserManager 按钮按权限禁用、availableRoles 按操作者级别过滤 SUPER_ADMIN/ADMIN 等高角色

server/api/admin/users/index.post.ts

@@ -2,6 +2,7 @@ import bcrypt from 'bcryptjs'
 import { db } from '~/drizzle/db'
 import { users } from '~/drizzle/schema'
 import { eq } from 'drizzle-orm'
+import { getRoleLevel, isRoleHigher, canManageUserRole } from '~~/server/utils/permissions.js'
 
 export default defineEventHandler(async (event) => {
   // 检查认证和权限
@@ -51,31 +52,21 @@ export default defineEventHandler(async (event) => {
     // 加密密码
     const hashedPassword = await bcrypt.hash(body.password, 10)
 
-    // 角色权限控制
+    // 角色权限控制（统一使用 canManageUserRole 数值化级别检查）
     let validRole = 'USER'
-    if (body.role && ['USER', 'TEACHER', 'ADMIN', 'SONG_ADMIN', 'SUPER_ADMIN'].includes(body.role)) {
-      // 超级管理员可以创建任何角色的用户
-      if (user.role === 'SUPER_ADMIN') {
-        validRole = body.role
-      }
-      // 管理员只能创建管理员以下的角色（USER, SONG_ADMIN）
-      else if (user.role === 'ADMIN') {
-        if (['USER', 'TEACHER', 'SONG_ADMIN'].includes(body.role)) {
-          validRole = body.role
-        } else {
-          throw createError({
-            statusCode: 403,
-            message: '管理员只能创建用户、教师和歌曲管理员角色'
-          })
-        }
-      }
-      // 其他角色不能创建用户
-      else {
+    const requestedRole = body.role
+    if (requestedRole) {
+      if (!canManageUserRole(user, requestedRole)) {
+        const currentLevel = getRoleLevel(user.role)
+        const targetLevel = getRoleLevel(requestedRole)
         throw createError({
           statusCode: 403,
-          message: '没有权限创建用户'
+          message: isRoleHigher(requestedRole, user.role) || currentLevel <= targetLevel
+            ? `权限不足：${user.role} 无法创建级别高于或等于自身的角色（${requestedRole}）`
+            : `没有权限创建 ${requestedRole} 角色的用户`
         })
       }
+      validRole = requestedRole
     }
 
     // 状态验证