fix: 设计原则审查修复 — DIP/ISP, LoD, DRY, OCP, URL, 301缓存

- P0 DIP+ISP: 全链路注入接口，消除零接口紧耦合
- P0 URL: auth 301→302，修复登出后浏览器缓存陷阱
- P1 DRY: JWT 认证逻辑收敛至 TokenService+中间件
- P2 DRY: 前后端角色/状态映射统一为 model 常量
- P2 LoD: 新增 SettingsController，router 不再跨层调 repo
- P2 URL: settings ?tab= → /settings/:tab 伪静态
- P3 OCP: 角色权限 map 化，告别硬编码 switch

templates/admin/static/js/common.js

@@ -5,6 +5,7 @@
    ===================================================== */
 
 // --- AJAX 封装 ---
+// 注意：getCSRFToken() 由共享 utils.js 提供
 const api = {
     async get(url) {
         const res = await fetch(url, {
@@ -36,11 +37,6 @@ const api = {
     }
 };
 
-function getCSRFToken() {
-    const meta = document.querySelector('meta[name="csrf-token"]');
-    return meta ? meta.getAttribute('content') : '';
-}
-
 // --- Toast 通知 ---
 function showToast(message, type) {
     const container = document.querySelector('.toast-container') || createToastContainer();
@@ -110,13 +106,15 @@ function formatTime(isoStr) {
 }
 
 // --- 角色标签 ---
+// 数据源由服务端 model.RoleDisplayNames 注入为 window.__ROLE_NAMES
 function roleLabel(role) {
-    const map = { user: '普通用户', moderator: '版主', admin: '管理员', owner: '站长' };
-    return `<span class="role-tag role-${role}">${map[role] || role}</span>`;
+    var map = window.__ROLE_NAMES || { user: '普通用户', moderator: '版主', admin: '管理员', owner: '站长' };
+    return '<span class="role-tag role-' + role + '">' + (map[role] || role) + '</span>';
 }
 
 // --- 状态标签 ---
+// 数据源由服务端 model.StatusDisplayNames 注入为 window.__STATUS_NAMES
 function statusLabel(status) {
-    const map = { active: '正常', banned: '已封禁', deleted: '已注销', locked: '已锁定' };
-    return `<span class="badge badge-${status}">${map[status] || status}</span>`;
+    var map = window.__STATUS_NAMES || { active: '正常', banned: '已封禁', deleted: '已注销', locked: '已锁定' };
+    return '<span class="badge badge-' + status + '">' + (map[status] || status) + '</span>';
 }