# 用户系统与角色权限：前后端接口清单

当前后端未注册认证或管理员路由；前端只提供真实请求封装，任何 404、401、403 或 5xx 都会如实抛出，绝不创建本地假身份。

| 目标接口 | 方法 | 前端用途 | 后端待实现要求 |
|---|---:|---|---|
| `/api/auth/register` | POST | 注册 | 只创建 `user`；不得接受角色字段 |
| `/api/auth/login` | POST | 登录 | 建立 HttpOnly、Secure、SameSite Cookie 会话 |
| `/api/auth/logout` | POST | 退出 | 作废会话并清除 Cookie |
| `/api/auth/me` | GET | 刷新恢复会话 | 返回用户资料与 `user`/`admin` 角色 |
| `/api/users/me` | PATCH | 修改昵称/邮箱 | 只允许修改当前用户自己的基本资料 |
| `/api/auth/change-password` | POST | 修改密码 | 验证旧密码并进行安全哈希 |
| `/api/admin/users` | GET | 用户管理 | 必须由后端校验 `admin` 角色 |

## 前端待接入条件

现有工程尚未安装 `vue-router`。在用户安装该依赖并确认认证接口可用后，前端将接入路由守卫：未登录跳转登录页、成功后回跳、管理员路由额外检查 `role === 'admin'`。前端只用于体验层控制；知识库、来源、实验、用户管理的最终授权必须由 FastAPI 校验。