fix: 设计原则审查修复 — DIP/ISP, LoD, DRY, OCP, URL, 301缓存

- P0 DIP+ISP: 全链路注入接口，消除零接口紧耦合
- P0 URL: auth 301→302，修复登出后浏览器缓存陷阱
- P1 DRY: JWT 认证逻辑收敛至 TokenService+中间件
- P2 DRY: 前后端角色/状态映射统一为 model 常量
- P2 LoD: 新增 SettingsController，router 不再跨层调 repo
- P2 URL: settings ?tab= → /settings/:tab 伪静态
- P3 OCP: 角色权限 map 化，告别硬编码 switch

internal/service/token_service.go

@@ -7,7 +7,6 @@ import (
 	"metazone.cc/metalab/internal/common"
 	"metazone.cc/metalab/internal/config"
 	"metazone.cc/metalab/internal/model"
-	"metazone.cc/metalab/internal/repository"
 
 	"github.com/golang-jwt/jwt/v5"
 )
@@ -16,11 +15,11 @@ import (
 // 独立于认证业务逻辑，供 AuthService 和其他需要签发令牌的服务使用
 type TokenService struct {
 	cfg      *config.Config
-	userRepo *repository.UserRepo
+	userRepo userTokenStore
 }
 
 // NewTokenService 构造函数
-func NewTokenService(cfg *config.Config, userRepo *repository.UserRepo) *TokenService {
+func NewTokenService(cfg *config.Config, userRepo userTokenStore) *TokenService {
 	return &TokenService{cfg: cfg, userRepo: userRepo}
 }
 
@@ -110,11 +109,6 @@ func (ts *TokenService) RefreshAccessToken(refreshTokenStr string) (string, *mod
 		return "", nil, common.ErrTokenRevoked
 	}
 
-	// 防止封禁用户通过 refresh 续期
-	if user.Status == model.StatusBanned {
-		return "", nil, common.ErrUserBanned
-	}
-
 	accessToken, err := ts.BuildAccessToken(user)
 	if err != nil {
 		return "", nil, err