fix: 设计原则审查修复 — DIP/ISP, LoD, DRY, OCP, URL, 301缓存

- P0 DIP+ISP: 全链路注入接口，消除零接口紧耦合
- P0 URL: auth 301→302，修复登出后浏览器缓存陷阱
- P1 DRY: JWT 认证逻辑收敛至 TokenService+中间件
- P2 DRY: 前后端角色/状态映射统一为 model 常量
- P2 LoD: 新增 SettingsController，router 不再跨层调 repo
- P2 URL: settings ?tab= → /settings/:tab 伪静态
- P3 OCP: 角色权限 map 化，告别硬编码 switch

internal/service/admin_service.go

@@ -3,17 +3,16 @@ package service
 import (
 	"metazone.cc/metalab/internal/common"
 	"metazone.cc/metalab/internal/model"
-	"metazone.cc/metalab/internal/repository"
 )
 
 // AdminService 管理后台业务逻辑
 // 集中处理所有权限边界检查，避免胖控制器
 type AdminService struct {
-	userRepo *repository.UserRepo
+	userRepo userAdminStore
 }
 
 // NewAdminService 构造函数
-func NewAdminService(userRepo *repository.UserRepo) *AdminService {
+func NewAdminService(userRepo userAdminStore) *AdminService {
 	return &AdminService{userRepo: userRepo}
 }
 
@@ -132,8 +131,8 @@ func (s *AdminService) checkAndOperate(operatorUID, targetUID uint, operate func
 		return common.ErrUserNotFound
 	}
 
-	// 4. Admin 只能操作 user 角色
-	if operator.Role == model.RoleAdmin && target.Role != model.RoleUser {
+	// 4. 权限检查：操作者是否有权限操作目标角色
+	if !model.CanOperateRole(operator.Role, target.Role) {
 		return common.ErrPermissionDenied
 	}
 

internal/service/auth_service.go

@@ -6,7 +6,6 @@ import (
 	"metazone.cc/metalab/internal/common"
 	"metazone.cc/metalab/internal/config"
 	"metazone.cc/metalab/internal/model"
-	"metazone.cc/metalab/internal/repository"
 
 	"golang.org/x/crypto/bcrypt"
 	"gorm.io/gorm"
@@ -14,13 +13,13 @@ import (
 
 // AuthService 认证业务逻辑
 type AuthService struct {
-	userRepo     *repository.UserRepo
-	tokenService *TokenService
+	userRepo     userAuthStore
+	tokenService tokenProvider
 	cfg          *config.Config
 }
 
 // NewAuthService 构造函数
-func NewAuthService(userRepo *repository.UserRepo, tokenSvc *TokenService, cfg *config.Config) *AuthService {
+func NewAuthService(userRepo userAuthStore, tokenSvc tokenProvider, cfg *config.Config) *AuthService {
 	return &AuthService{userRepo: userRepo, tokenService: tokenSvc, cfg: cfg}
 }
 
@@ -175,6 +174,11 @@ func (s *AuthService) CheckEmail(email string) (bool, error) {
 	return s.userRepo.ExistsByEmail(email)
 }
 
+// GetProfile 获取当前用户资料（供 SettingsController 使用）
+func (s *AuthService) GetProfile(userID uint) (*model.User, error) {
+	return s.userRepo.FindByID(userID)
+}
+
 // InvalidateSessions 吊销某用户所有 JWT（递增 token_version，强制所有设备重新登录）
 // 适用场景：修改密码、账号被盗、管理员强制下线
 func (s *AuthService) InvalidateSessions(userID uint) error {

internal/service/provider.go

@@ -0,0 +1,9 @@
+package service
+
+import "metazone.cc/metalab/internal/model"
+
+// tokenProvider AuthService 对 TokenService 的最小依赖（ISP：2 个方法）
+type tokenProvider interface {
+	BuildAccessToken(user *model.User) (string, error)
+	BuildRefreshToken(user *model.User, rememberMe bool) (string, error)
+}

internal/service/repository.go

@@ -0,0 +1,35 @@
+package service
+
+import "metazone.cc/metalab/internal/model"
+
+// userAuthStore AuthService 所需的最小仓储接口（ISP：7 个方法）
+// 同时满足 common.UsernameChecker（ExistsByUsername），可传入 GenerateUsername
+type userAuthStore interface {
+	ExistsByEmail(email string) (bool, error)
+	Create(user *model.User) error
+	FindByEmail(email string) (*model.User, error)
+	FindByID(id uint) (*model.User, error)
+	Update(user *model.User) error
+	IncrementTokenVersion(userID uint) error
+	ExistsByUsername(username string) (bool, error)
+}
+
+// userTokenStore TokenService 所需的最小仓储接口（ISP：1 个方法）
+type userTokenStore interface {
+	FindByIDForAuth(userID uint) (*model.User, error)
+}
+
+// userAdminStore AdminService 所需的最小仓储接口（ISP：8 个方法）
+type userAdminStore interface {
+	CountSearchUsers(keyword, role, status string) (int64, error)
+	SearchUsers(keyword, role, status string, offset, limit int) ([]model.User, error)
+	FindByIDUnscoped(userID uint) (*model.User, error)
+	UpdateStatus(uid uint, status string) error
+	SoftDelete(uid uint) error
+	Restore(uid uint) error
+	ExistsByEmailExclude(email string, excludeUID uint) (bool, error)
+	IncrementTokenVersion(userID uint) error
+}
+
+
+

internal/service/token_service.go

@@ -7,7 +7,6 @@ import (
 	"metazone.cc/metalab/internal/common"
 	"metazone.cc/metalab/internal/config"
 	"metazone.cc/metalab/internal/model"
-	"metazone.cc/metalab/internal/repository"
 
 	"github.com/golang-jwt/jwt/v5"
 )
@@ -16,11 +15,11 @@ import (
 // 独立于认证业务逻辑，供 AuthService 和其他需要签发令牌的服务使用
 type TokenService struct {
 	cfg      *config.Config
-	userRepo *repository.UserRepo
+	userRepo userTokenStore
 }
 
 // NewTokenService 构造函数
-func NewTokenService(cfg *config.Config, userRepo *repository.UserRepo) *TokenService {
+func NewTokenService(cfg *config.Config, userRepo userTokenStore) *TokenService {
 	return &TokenService{cfg: cfg, userRepo: userRepo}
 }
 
@@ -110,11 +109,6 @@ func (ts *TokenService) RefreshAccessToken(refreshTokenStr string) (string, *mod
 		return "", nil, common.ErrTokenRevoked
 	}
 
-	// 防止封禁用户通过 refresh 续期
-	if user.Status == model.StatusBanned {
-		return "", nil, common.ErrUserBanned
-	}
-
 	accessToken, err := ts.BuildAccessToken(user)
 	if err != nil {
 		return "", nil, err