docs: P7 admin console spec + plan — audit via admin route group (owner call), last-admin guard, user list w/ role ops

2026-09-30 19:01:45 +08:00
parent 256f0d91b7
commit eec902b743
3 changed files with 266 additions and 0 deletions
@@ -56,3 +56,4 @@
 | 创作者中心 `/creator`（维护者直接需求） | `docs/specs/2026-09-30-creator-center-design.md` | `docs/plans/2026-09-30-creator-center.md`（已执行，2026-09-30） |
 | P2 CI+测试基线 | `docs/specs/2026-09-30-ci-test-baseline-design.md` | `docs/plans/2026-09-30-ci-test-baseline.md`（已执行，2026-09-30） |
 | P3 备份+可观测 | `docs/specs/2026-09-30-backup-observability-design.md` | `docs/plans/2026-09-30-backup-observability.md` |
 | P7 管理后台增强 | `docs/specs/2026-09-30-admin-console-design.md` | `docs/plans/2026-09-30-admin-console.md` |
@@ -0,0 +1,112 @@
 # P7 管理后台增强 Implementation Plan
 > **For agentic workers:** REQUIRED SUB-SKILL: Use superpowers:subagent-driven-development. Steps use checkbox (`- [ ]`) syntax for tracking.
 **Goal:** crearte-server 0.12.0（audit_log 表 + 审计中间件 + admin 路由收敛组 + 用户列表/角色端点 + 最后 admin 护栏）与 crearte 0.18.0（AdminUsersView / AdminAuditView / apiRepo 三方法 / e2e 扩流），端到端验证后合主。deploy 零改动。
 **Architecture:** 见 spec `docs/specs/2026-09-30-admin-console-design.md`。核心决策：D-A 只记管理员动作；D-B 中间件统一记录 + **维护者定稿：admin 路由收敛为 gin 组（空前缀 `engine.Group("", RequireAdmin, AuditMiddleware)`），组内继续用既有 `RouteAdmin*` 全路径常量注册，禁止逐条手挂**；D-C 列表=身份字段+角色操作；D-D 唯一 admin 不可降级（service 层，CLI/API 双覆盖）。SetUserRole 现成语义：`UpdateRoleByEmail` SQL 自带 `token_version+1`（作废被改者全部 token），**不要**另加 `BumpTokenVersion` 调用。
 **Tech Stack:** Go 1.24（gin 1.11 / pgx 5.8；**禁新增第三方依赖**）、Vue 3 + vue-router + vitest + Playwright（前端既有栈）、migrations 0010。
 ## Global Constraints
 - 工作目录：`/root/.openclaw/workspace/coder/crearte-monorepo/crearte-server/src`（Go 源码根）与 `…/crearte/src`（前端，package.json 在 src/ 下）。
 - 分支：两仓各从 `master` 切 `feat/admin-console`；**master 上禁直接提交**（各仓 AGENTS.md）；合回一律 `--no-ff` 由控制者执行。
 - **Go 命令一律走容器**（AGENTS.md 本地约定，proxy.golang.org 不可达）：
  `docker run --rm -v /root/.openclaw/workspace/coder/crearte-monorepo/crearte-server:/work -v crearte_gomod:/go/pkg/mod -v crearte_gocache:/gocache -e GOCACHE=/gocache -e GOPROXY=https://goproxy.cn,direct -e GOSUMDB=sum.golang.google.cn -w /work/src golang:1.24-alpine sh -c "<cmd>"`（首次冷 1–3 分钟，background+poll）。
 - 集成层：`docker compose --profile debug up -d db-test`（宿主 5434，fresh volume），`TEST_DATABASE_URL=postgres://crearte:***@localhost:5434/crearte?sslmode=disable go test -p 1 ./...`；守卫语义=不许出现 "TEST_DATABASE_URL not set" skip。跑完 `down` 清场（controller 负责最终清场；子代理用独占端口自查后自清）。
 - 审计中间件行为红线：actor 仅在 RequireAdmin 放行后记录（401/403 未遂不记）；写失败 log-only 绝不影响响应；status 含 4xx/5xx（失败的 admin 尝试同样入史）。
 - 分页钳制逐字照抄 `ListQueue` 语义（limit≤0 或 >200→50；offset<0→0）。
 - 前端：admin 面两 GET 不缓存（无 ETag 依赖）；错误经 `toContentMessage`；降级确认弹层文案必须含「对方登录态立即失效」与「最后一个 admin 会被拒绝」两点。
 - CHANGELOG：server 追加 `## [0.12.0] - 2026-09-30`（顶版 0.11.1）、crearte 追加 `## [0.18.0] - 2026-09-30`（顶版 0.17.0）；英文行+中文行连续。
 - 完成定义：Task 3/4 各自测试绿 + 控制者验收（spec §7 四条）+ Task 5 合主。
 ---
 ### Task 1: server — 仓储与服务层（迁移 0010 + audit/user repo + memory parity + 护栏）
 **Files:**
 - Create: `internal/repository/migrations/0010_audit_log.sql`（spec §3.1 原样）
 - Create: `internal/repository/audit.go` + `audit_test.go`（单测走 sqlmock? 否——本仓无 sqlmock 先例；纯逻辑测 scan/组装即可，真库覆盖交给集成层）
 - Modify: `internal/repository/user.go`（+ `List(ctx,limit,offset,q) ([]model.User,int,error)`、`CountAdmins`）
 - Modify: `internal/repository/memory.go`（同名 parity：List 过滤/排序/total、CountAdmins、audit Insert/List）
 - Modify: store 聚合处（`UserStore` 接口或等价，看现码）接线新方法
 - Modify: `internal/service/auth.go`（`ErrLastAdmin`；`SetUserRole` 加护栏；新 `SetUserRoleByID`）
 - Create: `internal/service/audit.go`（`RecordAdminAction` / `ListAudit`）+ 表驱动单测
 - Modify: `internal/service/auth_test.go`（护栏矩阵）
 - Modify: `docs/CHANGELOG.md`（0.12.0 条目，Added+护栏）
 **Interfaces（Produces）:**
 - `repository.AuditRepository`、`PostgresUserRepository.List/CountAdmins`
 - `service.SetUserRole(ctx, store, email, role)`（签名不变+新错误）、`service.SetUserRoleByID(ctx, store, id, role)`
 - `service.ListAudit(ctx, store, limit, offset, routeFilter)`
 - `model.AuditEntry{ID, ActorID, ActorEmail, Method, Route, Path string; Status int; CreatedAt time.Time}`
 **Steps:**
 - [ ] 读 spec §3.1–§3.3 与现有 `internal/repository/user.go`、`memory.go`、`service/auth.go` 全文
 - [ ] 迁移 0010；repo 三新方法；memory parity
 - [ ] service 护栏：唯一 admin 降→`ErrLastAdmin`（判序：role 合法→找用户→当前 role=admin 且目标 user 且 CountAdmins==1→拒）；`SetUserRoleByID` 复用同判
 - [ ] `audit.go`：Record（吞错 log）/ List（钳制+倒序+route 过滤+total）
 - [ ] 单测：护栏矩阵（唯一 admin 降拒 / 双 admin 降一 OK / 升 OK / 非 admin 目标降 OK no-op 合法）、ListAudit 钳制、SetUserRoleByID 404
 - [ ] 容器四连 RC=0：`gofmt -l`、`go vet ./...`、`go build ./...`、`go test ./...`（无 TEST_DATABASE_URL，集成自动 skip 属预期）
 - [ ] commit 到 `feat/admin-console`（本地，不 push）
 ### Task 2: server — API 层（admin 组收敛 + AuditMiddleware + 三端点）
 **Depends:** Task 1。
 **Files:**
 - Modify: `internal/api/router.go`（admin 路由全部收敛进组：`adminGroup := engine.Group("", RequireAdmin(deps.AuthService), AuditMiddleware(deps.AuditStore))`，组内逐条 `adminGroup.GET/POST/PUT/PATCH(RouteAdmin*, handler)`；URL 常量与 `FullPath()` 输出不得变化）
 - Create: `internal/api/audit.go`（AuditMiddleware + 三 handler：ListUsers/SetRole/ListAudit，或按现码 admin handler 布放）
 - Modify: `internal/api/admin.go` / deps 结构（AuditStore 注入）
 - Modify: `cmd/serve.go`（store 注入链）
 - Modify: `internal/api/integration_test.go` 或新 `admin_users_test.go`（真库腿）
 - Modify: `docs/CHANGELOG.md`（追加端点条目）
 **Endpoints（spec §3.4）:**
 - `GET /api/admin/users?limit&offset&q` → `{users:[{id,email,username,display_name,role,created_at}], total}`
 - `PATCH /api/admin/users/:id/role` `{role}` → 200 用户体；400 非法 role；404 无此人；409 `last_admin`
 - `GET /api/admin/audit?limit&offset&route` → `{entries:[...], total}` 倒序
 **Steps:**
 - [ ] 组收敛改造，跑既有 admin 测试证明 401/403 行为零变化
 - [ ] AuditMiddleware：`c.Next()` 后取 `handler.SetUser` 存的 user + `c.FullPath()` + `c.Writer.Status()`；user 非 admin 则跳过（理论不可达，防御）
 - [ ] 三端点 + 错误映射（复用 WriteError code 体系，新增 `last_admin`）
 - [ ] 集成测试（TEST_DATABASE_URL 空库）：列表 q/分页/total；PATCH 升角色后**旧 token 打 /api/me 必 401**；409；一次 approve 后 audit 首行=该动作；404 的 revoke 也入史（status=404）；401/403 未遂不入史
 - [ ] 容器四连 + 集成 `-p 1` RC=0；commit
 ### Task 3: 前端 — apiRepo + 两 view + 路由入口 + vitest
 **Files（`crearte/src`）:**
 - Modify: `app/data/apiRepo.ts` + `app/data/types.ts`（listAdminUsers / setUserRole / listAudit；`AdminUser`、`AuditEntry` 类型）
 - Create: `app/views/AdminUsersView.vue`、`app/views/AdminAuditView.vue`
 - Create: 对应 `*.test.ts`
 - Modify: router 注册（找现 AdminView 注册处仿写，admin 守卫一致）；`app/views/AdminView.vue` 顶部加两入口链接
 - Modify: `docs/CHANGELOG.md`（0.18.0）
 **Steps:**
 - [ ] 读 AdminView.vue / AdminSubmissionView.vue / apiRepo.ts 现有模式（StatePanel、分页、toContentMessage）
 - [ ] apiRepo 三方法 + 类型 + 单测（请求形状、错误映射、不缓存）
 - [ ] AdminUsersView：表列 用户名/邮箱/显示名/角色/注册时间；搜索防抖；分页 50；升降按钮 + 降级确认弹层（双要点文案）+ 409 原文回显
 - [ ] AdminAuditView：倒序流水（时间本地化/操作者/动作标签映射+未知回退原文/对象 path 提取/状态码着色）+ route 过滤下拉
 - [ ] vitest + typecheck RC=0；主套件 e2e 不受影响自查（夹具模式不依赖新后端端点的 spec 别动）
 - [ ] commit 到 `feat/admin-console`（本地，不 push）
 ### Task 4: 前端 — e2e 扩流（admin-flow.spec）
 **Depends:** Task 2 端点形状冻结 + Task 3。**写测试所需夹具**：e2e 走 `e2e-stack` 真栈则直接打真端点；若 admin-flow 是夹具模式则补夹具路由。**先读 spec/e2e/admin-flow.spec.ts 现状再定**，与既有用例同构。
 - [ ] 流①：admin 进 /admin/users → 搜索用户 → 升 admin → 列表即时更新 → 降回 → 确认弹层出现
 - [ ] 流②：执行一个管理动作 → /admin/audit 首行即该动作（时间/对象/结果码断言）
 - [ ] e2e 主套件 + 若走真栈则 CREARTE_STACK_REQUIRED=1 下 full-loop 同步绿；commit
 ### Task 5: 控制者 — 本机验收六腿 + 合主
 - [ ] 双路审查子代理（server / fe）对照 spec 逐条 PASS/FAIL
 - [ ] 验收=spec §7 四条（含手工冒烟 CLI/API 护栏一致性、废 token 端到端）
 - [ ] 合主：两仓 `--no-ff` 合 `feat/admin-console` → push → 删分支；wrapper：ROADMAP P7 状态、CHANGELOG 0.2.6、文档索引登记 spec+plan → push
 - [ ] 台账 `.superpowers/sdd/progress.md`
 ---
 **风险注记：** ① 组收敛若与 gin 版本路由注册交互有意外（如 FullPath 变组前缀），以「测试零改动通过」为准绳修正注册写法，不许改常量值。② `List` 返回 `[]model.User` 含 `password_hash`？看 `userColumns` 现码——若模型带 hash，序列化前必须裁（新 `AdminUserView` 投影结构体或 JSON tag 控制），集成测试断言响应体无 hash 字段。
@@ -0,0 +1,153 @@
 # P7 管理后台增强 — 设计规格
 - 日期：2026-09-30
 - 涉及仓库：`crearte-server`（0.11.1 → 0.12.0）、`crearte`（0.17.0 → 0.18.0）。`crearte-deploy` 零改动。
 - 状态：设计已获维护者批准（2026-09-30 18:40 会话，四项决策 + 设计定稿拍板，均选推荐项）。
 - 前置：P0/P1/P2 完成（当前 master 为 P2 完成态；P3 备份+可观测已按维护者要求回退，与本设计无关）。
 ## 1. 目标与范围
 ROADMAP P7 定义为「用户列表 / 角色管理 UI（替代 CLI `user set-role`）+ 审计日志」。
 **做：**
 1. 审计日志：管理员动作的统一记录（新表 + 中间件 + 查询端点 + 前端流水页）。
 2. 用户管理：管理员列表查询端点 + 角色升降端点（复用既有 `SetUserRole` 语义）+ 前端用户管理页。
 3. 最后管理员护栏：禁止把系统降级为无 admin（API 与 CLI 两条路径同受约束）。
 **不做（明确排除）：**
 - 普通用户写操作（投稿创建/编辑）不进审计——`work_versions`/`submissions` 本身已是历史。
 - 登录事件不进审计（决策 D-A：只记管理员动作）。
 - 用户详情抽屉（作品列表/收藏展开）留给 P8 候选。
 - 审计保留策略/自动修剪：表自然增长，量级（管理员手速）短期无虞；出现压力另立小项。
 - 审计内容不做前后值 diff（决策 D-B：中间件统一记录，路由模板 + 路径 + 状态码即事实源）。
 ## 2. 已批准的决策
 | # | 决策 | 内容 |
 |---|------|------|
 | D-A | 审计范围 | **只记管理员动作**。approve/reject、unpublish/republish、features、revoke、角色变更。 |
 | D-B | 审计机制 | **中间件统一记录 + admin 路由收敛为 gin 组**（维护者定稿：组上声明一次中间件，不逐条手挂）。零侵入七个现有 handler；不存请求体。 |
 | D-C | 用户列表深度 | **身份字段 + 角色操作**：用户名/邮箱/显示名/角色/注册时间 + 升降角色 + 搜索 + 分页。无聚合计数列。 |
 | D-D | 最后管理员护栏 | **禁止降级最后一个 admin**：service 层 `CountAdmins` 检查，唯一 admin 降角色 → 409；CLI 同样生效。 |
 被否掉的备选（留档）：服务层逐动作手写语义事件（要改七个 handler + 新增管道，回归面大）；PATCH 端点按 email 定位（URL 携带 PII，选 id）；不限制作死自杀式操作。
 ## 3. 后端设计（crearte-server）
 ### 3.1 迁移 `0010_audit_log.sql`
 ```sql
 CREATE TABLE audit_log (
    id          uuid PRIMARY KEY DEFAULT gen_random_uuid(),
    actor_id    uuid NOT NULL,           -- 不加 FK：用户注销后审计仍可读
    actor_email text NOT NULL,           -- 冗余快照，同上理由
    method      text NOT NULL,           -- GET/POST/PUT/DELETE
    route       text NOT NULL,           -- gin FullPath() 模板，如 /api/admin/submissions/:id/approve
    path        text NOT NULL,           -- 具体请求路径，含对象 id
    status      integer NOT NULL,        -- 响应 HTTP 码（含 4xx/5xx：失败的管理尝试同样入史）
    created_at  timestamptz NOT NULL DEFAULT now()
 );
 CREATE INDEX audit_log_created_at_idx ON audit_log (created_at DESC);
 ```
 语义要点：
 - **动作名 = method + route 模板**，不另造 action 字段；对象从 `path` 读。前端展示层负责把 route 模板映射为中文标签。
 - `actor` 只在通过 `RequireAdmin`（即确认是 admin）后才有值；401/403 的未遂访问**不记**——中间件在 `c.Next()` 之后检查 context 里的 user 是否存在且 role=admin，否则跳过。审计回答的是「管理员干了什么」，不是「谁试图闯进来」（后者属 D-A 被排除的登录事件范畴）。
 - 迁移编号 0010（现最大 0009）。空库 CI 集成腿每 PR 全量迁移，无需回填。
 ### 3.2 仓储层
 `internal/repository/audit.go`：`AuditRepository`（照抄 user repository 的 DBTX/store 分层模式）
 - `Insert(ctx, entry model.AuditEntry) error`
 - `List(ctx, limit, offset int, routeFilter string) ([]model.AuditEntry, int, error)`（时间倒序，返回 total；`routeFilter` 为空则全量）
 `internal/repository/user.go` 增补：
 - `List(ctx, limit, offset int, query string) ([]model.User, int, error)` — `query` 对 email/username 做 ILIKE `%q%`；排序 `created_at DESC`；返回 total。
 - `CountAdmins(ctx) (int, error)`
 - `GetByID` 已存在，角色端点用它定位。
 `PostgresStore`（聚合接口）同步接线两个新方法组；memory store（集成测试用）同样补齐，语义一致。
 ### 3.3 服务层
 `internal/service/audit.go`（或并入 content.go 同级新文件，实现者定，倾向新文件）：
 - `RecordAdminAction(ctx, store, entry)` — 尽力而为：写失败 `log.Printf("audit: ...")` 吞掉，绝不影响业务响应。
 - `ListAudit(ctx, store, limit, offset, route)` — 分页钳制**逐字照抄 `ListQueue` 语义**（`limit<=0||limit>200 → 50`，`offset<0 → 0`）。
 `internal/service/auth.go` 的 `SetUserRole` 改造（D-D 落点）：
 - 新错误 `ErrLastAdmin`。
 - 流程：校验 role 合法（既有）→ 按 email 找用户 → **若目标 role=user 且该用户当前 role=admin 且 `CountAdmins()==1` → `ErrLastAdmin`** → 更新角色 + `BumpTokenVersion`（既有语义保持：角色变更必废旧 token）。
 - CLI `user set-role` 与 API 走同一函数，护栏自动双覆盖。
 新 `SetUserRoleByID(ctx, store, id, role)`：按 id 版本（API 用 `:id`），同样护栏与废 token 语义；找不到 → `ErrUserNotFound`。
 ### 3.4 API 层
 路由常量（`internal/api/router.go` 现有 `RouteAdmin*` 旁）：
 - `GET  /api/admin/users` → `RouteAdminUsers`
 - `PATCH /api/admin/users/:id/role` → `RouteAdminUserRole`
 - `GET  /api/admin/audit` → `RouteAdminAudit`
 **审计中间件挂载方式**（维护者定稿 2026-09-30 18:59：admin 路由改用 gin 分组，不再逐条挂 `RequireAdmin`）：
 - 新 `AuditMiddleware(store)` gin 中间件；router.go 将七条既有 admin 路由 + 三条新路由**收敛为一个组**：`adminGroup := engine.Group("", RequireAdmin(deps.AuthService), AuditMiddleware(deps.AuditStore))`，组内逐条注册时继续引用既有 `RouteAdmin*` 全路径常量（`adminGroup.GET(RouteAdminSubmissions, deps.Admin.ListSubmissions)` …）。全路径常量不变 → 对外 URL、`FullPath()`、测试引用零变化；改的只是注册行前缀由 `engine.` 变 `adminGroup.`，中间件声明一次。注：若用 `Group("/api/admin")` + 相对子路径重写常量，会改动 `RouteAdmin*` 定义与既有测试引用，面更大；选空前缀组形态（定稿）。
 - 中间件仅当请求进入 admin 面时执行，`c.Next()` 后读 user + `c.FullPath()` + `c.Writer.Status()` 组装 entry。
 端点行为：
 - `GET /api/admin/users?limit=&offset=&q=` → 200 `{ users: [ {id, email, username, display_name, role, created_at} ], total }`。email 完整暴露给 admin——角色操作按 email 的 CLI 语义需要它，且 admin 本就是全权角色（决策：不脱敏）。
 - `PATCH /api/admin/users/:id/role` body `{"role":"user"|"admin"}` → 200 返回更新后用户（含 `token_version`）；非法 role → 400 `validation`；id 不存在 → 404；**唯一 admin 降级 → 409 `last_admin`**（message: "cannot demote the last admin"）。
 - `GET /api/admin/audit?limit=&offset=&route=` → 200 `{ entries: [...], total }`，倒序。
 - 三条新路由同样被审计——包括「改角色」本身（管理员最重要的动作必须可查）与对 audit 的读（记录 GET 略噪，但保持一致性优先；`route` 过滤参数正好用于自查时排除）。
 ### 3.5 错误与日志
 - 复用现有 `handler.WriteError` 的 code 体系（`forbidden`/`internal`/`validation`/新增 `last_admin`）。
 - 审计写失败只 log，不 5xx。
 ## 4. 前端设计（crearte）
 ### 4.1 apiRepo 新方法（`app/data/apiRepo.ts` + 类型）
 - `listAdminUsers(params)` → `AdminUserPage`
 - `setUserRole(id, role)` → `AdminUser`
 - `listAudit(params)` → `AuditPage`
 沿用现有 `request()` 封装、ETag 策略（管理面**不缓存**：两 GET 均 `cache: 'no-store'` 语义，数据随任意管理员动作即时变）、错误映射进 `toContentMessage`。
 ### 4.2 `/admin/users` — AdminUsersView.vue
 - 复用 AdminView 的 StatePanel / 分页 / 错误直出模式。
 - 表格列：用户名、邮箱、显示名、角色、注册时间；行内「升为 admin / 降为 user」按钮。
 - **降级确认弹层**：文案必须写明两件事——「对方所有登录态立即失效」+「若其为最后一个管理员将被拒绝（409）」，并给出后端 409 的原文回显。
 - 搜索框（防抖，按 email/username）+ limit/offset 分页（默认 50，与后端钳制一致）。
 ### 4.3 `/admin/audit` — AdminAuditView.vue
 - 倒序流水表：时间（本地化）、操作者邮箱、动作（route 模板→中文标签映射，映射外模板回退显示原文）、对象（从 path 提取 :id/:user/:slug 段）、结果（状态码着色：2xx 绿、4xx 黄）。
 - `route` 过滤下拉（选项 = 已知动作标签集）。
 ### 4.4 入口与路由
 - router 增两条 `/admin/users`、`/admin/audit`，沿用现有 admin 路由守卫（非 admin 跳登录/403 行为与 AdminView 完全一致）。
 - AdminView 顶部现有「审核」链接旁加两个入口：用户管理、操作日志。
 ## 5. 测试策略
 - **server 单测**：`SetUserRole`/`SetUserRoleByID` 护栏矩阵（唯一 admin 降→ErrLastAdmin；两个 admin 降一个→OK；升→OK）、`ErrInvalidRole` 保持、audit entry 组装纯函数。
 - **server 集成层**（TEST_DATABASE_URL，空库全迁移）：用户列表 q/分页/total；PATCH 升角色成功且**旧 token 立即失效断言**（改前签发的 token 调 `/api/me` → 401）；409 唯一 admin；CLI 与 API 行为一致；跑一次 approve 后 `GET /api/admin/audit` 出现对应行（含 status=200），失败动作（404 的 revoke）也入史。
 - **前端 vitest**：apiRepo 三方法（请求形状/错误映射）、两新 view 的渲染与角色操作确认流（mock repo）。
 - **e2e**（主套件，夹具模式）：`admin-flow.spec.ts` 扩两条：① admin 进用户页升降角色 → 列表即时更新；② 执行一个管理动作后审计页首行即该动作。真栈 full-loop 不动（P2 既有腿保持绿即回归通过）。
 - **容器四连**：gofmt/vet/build/test RC=0。
 ## 6. 版本与账目
 - server：CHANGELOG 新 `## [0.12.0]`（现顶 0.11.1）。
 - crearte：CHANGELOG 新 `## [0.18.0]`（现顶 0.17.0）。
 - deploy：无。
 - wrapper：ROADMAP P7 状态行 + CHANGELOG 0.2.6 记账 + 文档索引登记本 spec 与实现计划。
 ## 7. 验收标准（本机）
 1. 容器四连 + 集成层（`-p 1` 官方跑法，空库）全绿，0 skip。
 2. 前端 vitest + typecheck + 主套件 e2e 绿；真栈 full-loop 不回归。
 3. 手工冒烟（compose debug/dev 栈或 e2e-stack 编排）：CLI 建 admin → 登录 → 用户列表 → 升第二个用户为 admin → 降级第一个成功 → 试图降级最后一个 → 409 → 审计页/端点能看到全部动作含 409 那次失败尝试。
 4. 被降级用户旧 token 调 `/api/me` → 401（废 token 端到端验证）。