fix: 设计原则审查修复 — DIP/ISP, LoD, DRY, OCP, URL, 301缓存

- P0 DIP+ISP: 全链路注入接口，消除零接口紧耦合
- P0 URL: auth 301→302，修复登出后浏览器缓存陷阱
- P1 DRY: JWT 认证逻辑收敛至 TokenService+中间件
- P2 DRY: 前后端角色/状态映射统一为 model 常量
- P2 LoD: 新增 SettingsController，router 不再跨层调 repo
- P2 URL: settings ?tab= → /settings/:tab 伪静态
- P3 OCP: 角色权限 map 化，告别硬编码 switch

internal/model/user.go

@@ -15,7 +15,7 @@ type User struct {
 	TokenVersion int    `gorm:"default:0;not null" json:"-"`                                   // 令牌版本，+1 即时吊销所有 JWT
 }
 
-// 角色常量
+// 角色常量（仅用作字符串标识符，层级和权限由配置驱动）
 const (
 	RoleUser      = "user"
 	RoleModerator = "moderator"
@@ -31,15 +31,43 @@ const (
 	StatusLocked  = "locked"  // 永久锁定（管理员删除或注销满 7 天）
 )
 
-// roleLevel 角色层级映射（数字越大权限越高）
-var roleLevel = map[string]int{
-	RoleUser:      0,
-	RoleModerator: 1,
-	RoleAdmin:     2,
-	RoleOwner:     3,
+// --- 以下由 InitRoles 从配置初始化，无硬编码默认值 ---
+var roleLevel map[string]int
+var operableRoles map[string][]string
+var RoleDisplayNames map[string]string
+
+// InitRoles 从配置初始化角色系统（唯一数据源）
+// 必须在服务启动前调用，不提供默认值
+func InitRoles(levels map[string]int, names map[string]string, operRoles map[string][]string) {
+	roleLevel = levels
+	RoleDisplayNames = names
+	operableRoles = operRoles
 }
 
 // HasMinRole 检查 role 是否达到 minRole 的权限级别
 func HasMinRole(role, minRole string) bool {
 	return roleLevel[role] >= roleLevel[minRole]
 }
+
+// CanOperateRole 检查操作者是否可以操作目标角色
+// 未在 operableRoles 中声明的角色默认可操作所有角色
+func CanOperateRole(operatorRole, targetRole string) bool {
+	allowed, hasRule := operableRoles[operatorRole]
+	if !hasRule {
+		return true
+	}
+	for _, r := range allowed {
+		if r == targetRole {
+			return true
+		}
+	}
+	return false
+}
+
+// StatusDisplayNames 状态 → 中文名（服务端唯一数据源）
+var StatusDisplayNames = map[string]string{
+	StatusActive:  "正常",
+	StatusBanned:  "已封禁",
+	StatusDeleted: "已注销",
+	StatusLocked:  "已锁定",
+}