fix: 修复权限边界与安全问题

- JWT 密钥改为环境变量/配置文件/随机生成注入，移除硬编码
- AuthMiddleware 用数据库 role 覆盖 claims，降级/禁用即时生效
- 改 role/status 时主动失效目标用户会话
- /ws 支持 JWT 认证（?token=），兼容密码认证，CheckOrigin 改同源校验
- 默认管理员改用随机密码，stdout 与文件双交付
- 登录与 WS 密码认证加限流（5次/分钟）
- role 字段白名单校验（仅 admin/user）
- socket/目录权限可配置（sock_mode/sock_group/sock_dir_mode），默认兼容现状
- 配置文件权限收紧 0644→0600，目录 0755→0700
- 静态文件改用 http.Dir.Open + NoRoute，移除手动路径拼接
- 隧道加 SetReadLimit(1MB) 与单用户连接数上限(3)
- README 补充安全配置与生产部署说明

internal/handler/user.go

@@ -45,6 +45,12 @@ func formatUser(u *model.User) userResponse {
 	}
 }
 
+var validRoles = map[string]bool{"admin": true, "user": true}
+
+func isValidRole(role string) bool {
+	return validRoles[role]
+}
+
 func GetUserCount(c *gin.Context) {
 	var count int64
 	db.DB.Model(&model.User{}).Count(&count)
@@ -89,6 +95,10 @@ func CreateUser(c *gin.Context) {
 		Status:   1,
 	}
 	if req.Role != "" {
+		if !isValidRole(req.Role) {
+			c.JSON(http.StatusBadRequest, gin.H{"error": "角色无效，仅支持 admin 或 user"})
+			return
+		}
 		user.Role = req.Role
 	}
 	if req.Status != nil {
@@ -132,6 +142,10 @@ func UpdateUser(c *gin.Context) {
 	}
 
 	if req.Role != "" {
+		if !isValidRole(req.Role) {
+			c.JSON(http.StatusBadRequest, gin.H{"error": "角色无效，仅支持 admin 或 user"})
+			return
+		}
 		if user.ID == currentUserID.(uint) {
 			c.JSON(http.StatusBadRequest, gin.H{"error": "不能修改自己的角色"})
 			return
@@ -167,7 +181,7 @@ func UpdateUser(c *gin.Context) {
 		return
 	}
 
-	if req.Password != "" {
+	if req.Password != "" || req.Role != "" || req.Status != nil {
 		db.DB.Model(&model.Session{}).Where("user_id = ?", id).Update("invalid", true)
 	}