feat(system): 完成后端系统管理（审计/角色/操作日志/日志查询）

- 操作日志审计机制：audit 上下文（成功与失败都记、独立提交、操作人标量
  固化、commit 后查询前置约定），用户/角色全部写操作接入；request_data
  按键名的结构化脱敏 + UTF-8 字节边界截断
- 角色管理：CRUD 与启停；admin 禁删禁停、有绑定禁删（FOR UPDATE 锁行）、
  编码创建后不可改、停用角色不可再分配
- 日志查询：操作/登录两端点，列表与详情两段式（详情含已脱敏请求参数）；
  时间参数统一转本地 naive（修混用时区 500 与偏移丢弃）
- 用户管理：补齐 reset_password 操作人、编辑空串归一 NULL、并发唯一键兜底 400
- 测试 301 例全绿（单元 223 / 集成 78）

Co-Authored-By: Claude Code <noreply@anthropic.com>

backend/app/api/v1/system/users.py

@@ -5,17 +5,20 @@
 
 删除、禁用、改角色三处都有**自我保护**：不允许对当前登录账号执行，
 否则管理员误操作会立刻失去全部管理权限且无法自行恢复。
+
+全部写操作经 `RequestMetaDep` 带入请求元信息后由 service 层写入操作日志
+（成功与失败都记），操作人为当前登录管理员。
 """
 
 from typing import Annotated
 
 from fastapi import APIRouter, Path, Query
 
-from app.api.deps import AdminUser, DbSession
+from app.api.deps import AdminUser, DbSession, RequestMetaDep
 from app.core.response import ApiResponse, PageResult, ok
+from app.schemas.role import RoleOut
 from app.schemas.user import (
     PasswordResetIn,
-    RoleOut,
     UserCreateIn,
     UserOut,
     UserQuery,
@@ -50,11 +53,15 @@ def get_user(
 @router.post("", response_model=ApiResponse[UserOut], summary="新增用户")
 def create_user(
     session: DbSession,
-    _: AdminUser,
+    current_user: AdminUser,
     payload: UserCreateIn,
+    meta: RequestMetaDep,
 ) -> ApiResponse[UserOut]:
     """新增用户。用户名须唯一，至少指定一个角色。"""
-    return ok(user_service.create_user(session, payload), message="用户已创建")
+    return ok(
+        user_service.create_user(session, payload, operator=current_user, meta=meta),
+        message="用户已创建",
+    )
 
 
 @router.put("/{user_id}", response_model=ApiResponse[UserOut], summary="编辑用户")
@@ -63,13 +70,14 @@ def update_user(
     current_user: AdminUser,
     user_id: Annotated[int, Path(ge=1)],
     payload: UserUpdateIn,
+    meta: RequestMetaDep,
 ) -> ApiResponse[UserOut]:
     """编辑用户的基本信息与角色。
 
     **不含用户名与密码**：用户名是审计追溯的锚点；密码走专门的重置接口。
     """
     return ok(
-        user_service.update_user(session, user_id, payload, operator_id=current_user.id),
+        user_service.update_user(session, user_id, payload, operator=current_user, meta=meta),
         message="已保存",
     )
 
@@ -79,29 +87,33 @@ def delete_user(
     session: DbSession,
     current_user: AdminUser,
     user_id: Annotated[int, Path(ge=1)],
+    meta: RequestMetaDep,
 ) -> ApiResponse[None]:
     """删除用户。
 
     物理删除。历史操作日志通过 `user_id` 置空 + 冗余用户名保留可追溯性。
     业务上更推荐用「禁用」代替删除 —— 禁用保留完整审计线索。
     """
-    user_service.delete_user(session, user_id, operator_id=current_user.id)
+    user_service.delete_user(session, user_id, operator=current_user, meta=meta)
     return ok(message="用户已删除")
 
 
 @router.put("/{user_id}/password", response_model=ApiResponse[None], summary="重置密码")
 def reset_password(
     session: DbSession,
-    _: AdminUser,
+    current_user: AdminUser,
     user_id: Annotated[int, Path(ge=1)],
     payload: PasswordResetIn,
+    meta: RequestMetaDep,
 ) -> ApiResponse[None]:
     """重置用户密码。
 
     会同时提升该用户的令牌版本，使其**已签发的令牌立即失效** ——
     否则改密后旧令牌在有效期内仍可用。
     """
-    user_service.reset_password(session, user_id, payload.new_password)
+    user_service.reset_password(
+        session, user_id, payload.new_password, operator=current_user, meta=meta
+    )
     return ok(message="密码已重置，该用户需重新登录")
 
 
@@ -111,13 +123,16 @@ def set_status(
     current_user: AdminUser,
     user_id: Annotated[int, Path(ge=1)],
     payload: UserStatusIn,
+    meta: RequestMetaDep,
 ) -> ApiResponse[UserOut]:
     """启用或禁用用户。
 
     禁用会提升令牌版本使已签发令牌立即失效，否则被禁用者仍可凭旧令牌
     继续访问直到过期（最长 2 小时）。
     """
-    result = user_service.set_status(session, user_id, payload.status, operator_id=current_user.id)
+    result = user_service.set_status(
+        session, user_id, payload.status, operator=current_user, meta=meta
+    )
     return ok(result, message="已启用" if payload.status == 1 else "已禁用")