feat: 封禁用户允许登录但禁止写操作

- Session 结构体新增 Status 字段，Create/Validate 同步状态
- AuthService.Login 移除封禁检查，允许封禁用户登录
- 新增 BannedWriteGuard 中间件，拦截 POST/PUT/DELETE 写操作
- 封禁用户自动签到跳过
- 所有需登录的 API 路由组应用 BannedWriteGuard
- AdminService.UpdateUserStatus 保留 DestroyByUID 确保状态刷新

internal/middleware/auth.go

@@ -5,6 +5,7 @@ import (
 
 	"metazone.cc/metalab/internal/common"
 	"metazone.cc/metalab/internal/config"
+	"metazone.cc/metalab/internal/model"
 	"metazone.cc/metalab/internal/session"
 
 	"github.com/gin-gonic/gin"
@@ -86,10 +87,14 @@ func (am *AuthMiddleware) Optional() gin.HandlerFunc {
 // tryAutoCheckIn 尝试自动签到，并同步 session Exp 与 DB（静默失败，不影响主流程）
 // CheckIn 即使已签到也会返回 DB 中最新的 Exp，这里始终与 session 比较，
 // 确保 CompleteTask 等非签到路径的 Exp 变化也能同步到 session，避免 NAV 显示旧等级
+// 被封禁用户跳过自动签到
 func (am *AuthMiddleware) tryAutoCheckIn(c *gin.Context, s *session.Session) {
 	if am.levelSvc == nil || s == nil {
 		return
 	}
+	if s.Status == model.StatusBanned {
+		return
+	}
 	_, newExp, _, _ := am.levelSvc.CheckIn(s.UserID)
 	// 只允许 Exp 只增不减：DB 异常返回 0 或主从延迟读到旧值时不会回退
 	if newExp > s.Exp {
@@ -109,6 +114,31 @@ func injectSessionContext(c *gin.Context, s *session.Session) {
 	c.Set("username", s.Username)
 	c.Set("avatar", s.Avatar)
 	c.Set("role", s.Role)
+	c.Set("status", s.Status)
 	c.Set("exp", s.Exp)
 	c.Set("sid", s.ID)
 }
+
+// BannedWriteGuard 封禁用户写操作守卫
+// 仅拦截 POST/PUT/DELETE/PATCH 请求，GET/HEAD/OPTIONS 放行
+// 需在 Required() 之后调用，确保上下文中已有用户 status
+func (am *AuthMiddleware) BannedWriteGuard() gin.HandlerFunc {
+	return func(c *gin.Context) {
+		// 只检查写操作
+		switch c.Request.Method {
+		case "GET", "HEAD", "OPTIONS":
+			c.Next()
+			return
+		}
+
+		status, _ := c.Get("status")
+		if status == model.StatusBanned {
+			c.AbortWithStatusJSON(http.StatusForbidden, gin.H{
+				"success": false,
+				"message": "账号已被封禁，无法执行此操作",
+			})
+			return
+		}
+		c.Next()
+	}
+}