feat(system): 完成后端系统管理（审计/角色/操作日志/日志查询）

- 操作日志审计机制：audit 上下文（成功与失败都记、独立提交、操作人标量
  固化、commit 后查询前置约定），用户/角色全部写操作接入；request_data
  按键名的结构化脱敏 + UTF-8 字节边界截断
- 角色管理：CRUD 与启停；admin 禁删禁停、有绑定禁删（FOR UPDATE 锁行）、
  编码创建后不可改、停用角色不可再分配
- 日志查询：操作/登录两端点，列表与详情两段式（详情含已脱敏请求参数）；
  时间参数统一转本地 naive（修混用时区 500 与偏移丢弃）
- 用户管理：补齐 reset_password 操作人、编辑空串归一 NULL、并发唯一键兜底 400
- 测试 301 例全绿（单元 223 / 集成 78）

Co-Authored-By: Claude Code <noreply@anthropic.com>

backend/app/services/audit_service.py

@@ -0,0 +1,173 @@
+"""操作日志审计服务。
+
+需求 2.5.1 要求记录用户的操作行为。与登录行为的分工：登录在 `login_logs`
+单独记录（失败也要留痕且不依赖认证上下文），本模块记录**已认证用户的管理类
+操作**。
+
+设计要点：
+
+- **成功与失败都留痕** —— 失败的操作（如试图删除不存在的用户）同样是审计
+  对象，模型里专门有 `success` / `error_message` 两列承载它
+- **审计失败不影响业务** —— 落库过程整体兜底，失败只记应用日志、绝不外抛
+  （与 `auth_service._record` 同一原则："审计可丢，业务不可断"）
+- **独立提交** —— 日志单独 commit，不与业务同事务。同事务时业务失败回滚会
+  连带丢掉最该留痕的失败记录
+
+用法（上下文管理器）::
+
+    target = user_repository.get_by_id(session, user_id)   # 只读预取，供摘要
+    with audit(session, operator=current_user,
+               record=AuditRecord(MODULE_USER, ACTION_DELETE,
+                                  f"删除用户 {target.username}"),
+               meta=meta):
+        ...业务操作与 session.commit()...
+        return out
+
+约定：
+
+- 业务代码在上下文内自行 commit（事务边界仍在 service 层）。**commit 之后
+  的任何数据库查询、ORM 属性读取都必须移出上下文**（提到 commit 之前或
+  用已固化的局部变量）—— 业务已提交却因后置查询抛错被记成「失败」，会
+  产生与事实相反的审计记录
+- 上下文内不得吞掉异常后正常退出——吞掉后会被记为成功
+- 摘要需要"目标实体名"时，应在进入上下文**之前**只读预取，
+  这样目标不存在（NotFound 失败）时也能留下可追溯的记录
+- 不支持嵌套（在 audit 内再调用会自行 commit 的服务）——进入侦测到
+  未提交变更会记 warning
+"""
+
+import logging
+import time
+from collections.abc import Iterator
+from contextlib import contextmanager
+from dataclasses import dataclass
+
+from sqlalchemy.orm import Session
+
+from app.core.exceptions import AppException
+from app.models import User
+from app.repositories import operation_log_repository
+from app.repositories.operation_log_repository import OperationLogEntry
+
+logger = logging.getLogger(__name__)
+
+
+@dataclass(frozen=True, slots=True)
+class RequestMeta:
+    """HTTP 请求元信息。由路由层依赖 `RequestMetaDep` 提取后传入 service。"""
+
+    ip: str | None = None
+    user_agent: str | None = None
+    method: str | None = None
+    path: str | None = None
+
+
+@dataclass(frozen=True, slots=True)
+class AuditRecord:
+    """审计的业务侧内容（模块 / 操作 / 摘要 / 请求参数）。"""
+
+    module: str
+    action: str
+    summary: str
+    request_data: dict | None = None
+
+
+@contextmanager
+def audit(
+    session: Session,
+    *,
+    operator: User,
+    record: AuditRecord,
+    meta: RequestMeta | None = None,
+) -> Iterator[None]:
+    """审计上下文：正常退出记成功；抛异常记失败并**原样重抛**。"""
+    started = time.perf_counter()
+    meta = meta or RequestMeta()
+
+    # 固化操作人为普通标量，之后不再触碰 ORM 对象 —— 失败路径先 rollback
+    # 会使其全部过期，再读 id/username 将触发额外 SELECT；若账号恰被并发
+    # 删除，ObjectDeletedError 还会被下面的兜底吞掉、失败审计静默丢失
+    base: dict = {
+        "user_id": operator.id,
+        "username": operator.username,
+        "module": record.module,
+        "action": record.action,
+        "summary": record.summary,
+        "method": meta.method,
+        "path": meta.path,
+        "ip": meta.ip,
+        "user_agent": meta.user_agent,
+        "request_data": record.request_data,
+    }
+
+    # 进入审计时应无未提交变更（业务写操作在上下文内才发生）。出现变更
+    # 意味着调用方可能嵌套了会自行 commit 的服务：失败路径的回滚将无法
+    # 撤销已提交的部分，审计与数据状态会不一致
+    if session.new or session.dirty or session.deleted:
+        logger.warning(
+            "进入审计上下文时存在未提交的变更 | module=%s | action=%s",
+            record.module,
+            record.action,
+        )
+
+    try:
+        yield
+    except Exception as exc:
+        # 先回滚再写日志：业务异常可能源于 IntegrityError 等数据库错误，
+        # 不回滚的话 session 处于「必须回滚」状态，写日志会抛
+        # PendingRollbackError —— 最该留下的失败记录反而被丢掉
+        _rollback_quietly(session)
+        _safe_write(
+            session,
+            entry=OperationLogEntry(
+                **base,
+                success=False,
+                error_message=_error_text(exc),
+                duration_ms=_elapsed_ms(started),
+            ),
+        )
+        raise
+    else:
+        _safe_write(
+            session,
+            entry=OperationLogEntry(**base, success=True, duration_ms=_elapsed_ms(started)),
+        )
+
+
+def _safe_write(session: Session, *, entry: OperationLogEntry) -> None:
+    """落库并独立提交。整体兜底：任何失败只记应用日志，绝不外抛。"""
+    try:
+        operation_log_repository.add(session, entry)
+        session.commit()
+    except Exception:
+        logger.warning(
+            "操作日志写入失败（不影响业务） | module=%s | action=%s | summary=%s",
+            entry.module,
+            entry.action,
+            entry.summary,
+            exc_info=True,
+        )
+        _rollback_quietly(session)
+
+
+def _rollback_quietly(session: Session) -> None:
+    try:
+        session.rollback()
+    except Exception:
+        logger.warning("会话回滚失败", exc_info=True)
+
+
+def _error_text(exc: Exception) -> str:
+    """失败原因文案。
+
+    业务异常取其面向用户的消息；未预期异常返回通用文案 —— 完整堆栈由全局
+    异常处理器记入应用日志，审计表不落内部细节。
+    """
+    if isinstance(exc, AppException):
+        return exc.message
+    return "服务端异常，请稍后重试"
+
+
+def _elapsed_ms(started: float) -> int:
+    """度量业务处理耗时（不含响应序列化）。"""
+    return max(0, int((time.perf_counter() - started) * 1000))

backend/app/services/log_service.py

@@ -0,0 +1,82 @@
+"""日志查询编排。
+
+操作日志与登录日志分别提供分页查询（两表字段与筛选项不同），操作日志另有
+单条详情（列表为性能排除的 `request_data` 走详情按需加载）。
+纯只读操作，不写审计 —— 读操作记日志只会淹没审计表。
+"""
+
+from sqlalchemy.orm import Session
+
+from app.core.exceptions import NotFoundError
+from app.core.response import PageResult
+from app.repositories import login_log_repository, operation_log_repository
+from app.repositories.query_utils import LogFilters
+from app.schemas.log import (
+    LoginLogOut,
+    LoginLogQuery,
+    OperationLogDetailOut,
+    OperationLogOut,
+    OperationLogQuery,
+)
+
+
+def list_operation_logs(session: Session, query: OperationLogQuery) -> PageResult[OperationLogOut]:
+    """分页查询操作日志（列表不含 request_data，详情走 `get_operation_log`）。"""
+    filters = _filters_from(query)
+    logs = operation_log_repository.list_logs(
+        session,
+        offset=query.offset,
+        limit=query.page_size,
+        filters=filters,
+        module=query.module,
+        action=query.action,
+    )
+    total = operation_log_repository.count_logs(
+        session, filters=filters, module=query.module, action=query.action
+    )
+    return PageResult[OperationLogOut](
+        records=[OperationLogOut.model_validate(log) for log in logs],
+        total=total,
+        page_num=query.page_num,
+        page_size=query.page_size,
+    )
+
+
+def get_operation_log(session: Session, log_id: int) -> OperationLogDetailOut:
+    """查询单条操作日志详情（含已脱敏的 request_data）。
+
+    :raises NotFoundError: 日志不存在
+    """
+    log = operation_log_repository.get_by_id(session, log_id)
+    if log is None:
+        raise NotFoundError("日志不存在")
+    return OperationLogDetailOut.model_validate(log)
+
+
+def list_login_logs(session: Session, query: LoginLogQuery) -> PageResult[LoginLogOut]:
+    """分页查询登录日志。"""
+    filters = _filters_from(query)
+    logs = login_log_repository.list_logs(
+        session,
+        offset=query.offset,
+        limit=query.page_size,
+        filters=filters,
+        ip=query.ip,
+    )
+    total = login_log_repository.count_logs(session, filters=filters, ip=query.ip)
+    return PageResult[LoginLogOut](
+        records=[LoginLogOut.model_validate(log) for log in logs],
+        total=total,
+        page_num=query.page_num,
+        page_size=query.page_size,
+    )
+
+
+def _filters_from(query: OperationLogQuery | LoginLogQuery) -> LogFilters:
+    """两类 Query 的公共筛选字段 → LogFilters（口径与 repository 共用一个实现）。"""
+    return LogFilters(
+        username=query.username,
+        success=query.success,
+        start_time=query.start_time,
+        end_time=query.end_time,
+    )

backend/app/services/role_service.py

@@ -0,0 +1,253 @@
+"""角色管理业务编排。
+
+需求 2.5.1 只定义 admin / user 两个角色，本模块属用户确认的**自主完善**
+（轻量版：不含权限点分配 —— `permissions` / `role_permissions` 表继续闲置，
+待业务方给出权限清单后再启用）。
+
+保护规则（都是系统自举与授权安全的最低防线，不只是界面体验）：
+
+- `admin` 角色**禁删禁停** —— `cli` 建管理员与 `require_admin` 判定都依赖
+  该编码存在，删除会使系统无法自举
+- **有用户绑定的角色禁删** —— `user_roles` 外键是 CASCADE，直接删除会静默
+  剥离绑定用户的权限，属安全与审计事故；删除前的校验走 `FOR UPDATE`
+  锁行，堵住「校验与删除之间并发绑定」的窗口
+- `role_code` 创建后不可改 —— 它是授权判定（`ROLE_ADMIN` 常量按编码比对）的锚点
+- 停用角色**不解除绑定、不影响既有授权**（授权判定只看编码、不看状态），
+  但**不可再分配给用户**（`user_service._resolve_roles` 拦截）
+"""
+
+import logging
+
+from sqlalchemy.exc import IntegrityError
+from sqlalchemy.orm import Session
+
+from app.core.constants import (
+    ACTION_CREATE,
+    ACTION_DELETE,
+    ACTION_DISABLE,
+    ACTION_ENABLE,
+    ACTION_UPDATE,
+    MODULE_ROLE,
+    ROLE_ADMIN,
+)
+from app.core.exceptions import BadRequestError, ForbiddenError, NotFoundError
+from app.core.response import PageResult
+from app.models import Role, User
+from app.repositories import role_repository
+from app.schemas.role import RoleCreateIn, RoleManageOut, RoleQuery, RoleUpdateIn
+from app.services import audit_service
+from app.services.audit_service import AuditRecord, RequestMeta
+
+logger = logging.getLogger(__name__)
+
+
+def _to_out(role: Role, user_count: int) -> RoleManageOut:
+    """ORM 对象转响应模型。禁止把 ORM 对象直接当 response_model。"""
+    return RoleManageOut(
+        id=role.id,
+        role_code=role.role_code,
+        role_name=role.role_name,
+        description=role.description,
+        sort_order=role.sort_order,
+        status=role.status,
+        user_count=user_count,
+    )
+
+
+def _user_count(session: Session, role_id: int) -> int:
+    """单个角色的绑定用户数（复用批量统计，保持口径一致）。"""
+    return role_repository.count_users_by_role(session, [role_id]).get(role_id, 0)
+
+
+def list_roles(session: Session, query: RoleQuery) -> PageResult[RoleManageOut]:
+    """分页查询角色。
+
+    与用户表单下拉（`/users/meta/roles`）口径不同：**管理列表含停用角色**，
+    下拉只给启用项。
+    """
+    roles = role_repository.list_roles(
+        session,
+        offset=query.offset,
+        limit=query.page_size,
+        keyword=query.keyword,
+        status=query.status,
+    )
+    total = role_repository.count_roles(session, keyword=query.keyword, status=query.status)
+    counts = role_repository.count_users_by_role(session, [role.id for role in roles])
+    return PageResult[RoleManageOut](
+        records=[_to_out(role, counts.get(role.id, 0)) for role in roles],
+        total=total,
+        page_num=query.page_num,
+        page_size=query.page_size,
+    )
+
+
+def create_role(
+    session: Session,
+    payload: RoleCreateIn,
+    *,
+    operator: User,
+    meta: RequestMeta | None = None,
+) -> RoleManageOut:
+    """新增角色。编码唯一、创建后不可修改，新角色固定启用。
+
+    :raises BadRequestError: 角色编码已存在（含并发提交的兜底）
+    """
+    with audit_service.audit(
+        session,
+        operator=operator,
+        record=AuditRecord(
+            module=MODULE_ROLE,
+            action=ACTION_CREATE,
+            summary=f"新增角色 {payload.role_name}({payload.role_code})",
+            request_data=payload.model_dump(exclude_none=True),
+        ),
+        meta=meta,
+    ):
+        if role_repository.get_by_code(session, payload.role_code) is not None:
+            raise BadRequestError(f"角色编码 {payload.role_code!r} 已存在")
+
+        role = Role(
+            role_code=payload.role_code,
+            role_name=payload.role_name,
+            description=payload.description,
+            sort_order=payload.sort_order,
+            status=1,
+        )
+        try:
+            role_repository.create(session, role)
+            out = _to_out(role, 0)
+            session.commit()
+        except IntegrityError as exc:
+            # 先查后写不是原子操作：并发提交同一编码会撞 uk_roles_role_code。
+            # 回滚并把唯一键冲突翻译为可读的 400，而非 500
+            session.rollback()
+            raise BadRequestError(f"角色编码 {payload.role_code!r} 已存在") from exc
+
+        logger.info("新增角色 | role_code=%s", payload.role_code)
+        return out
+
+
+def update_role(
+    session: Session,
+    role_id: int,
+    payload: RoleUpdateIn,
+    *,
+    operator: User,
+    meta: RequestMeta | None = None,
+) -> RoleManageOut:
+    """编辑角色名称/说明/排序（全量替换，不含 role_code）。
+
+    :raises NotFoundError: 角色不存在
+    """
+    role = role_repository.get_by_id(session, role_id)
+    with audit_service.audit(
+        session,
+        operator=operator,
+        record=AuditRecord(
+            module=MODULE_ROLE,
+            action=ACTION_UPDATE,
+            summary=f"修改角色 {role.role_name if role else f'#{role_id}'}",
+            request_data=payload.model_dump(exclude_none=True),
+        ),
+        meta=meta,
+    ):
+        if role is None:
+            raise NotFoundError("角色不存在")
+
+        role.role_name = payload.role_name
+        role.description = payload.description
+        role.sort_order = payload.sort_order
+        # 响应与后置动作全部在 commit 之前完成（见 user_service 顶部说明）
+        out = _to_out(role, _user_count(session, role_id))
+        session.commit()
+        logger.info("修改角色 | role_id=%s", role_id)
+        return out
+
+
+def set_status(
+    session: Session,
+    role_id: int,
+    status: int,
+    *,
+    operator: User,
+    meta: RequestMeta | None = None,
+) -> RoleManageOut:
+    """启用或禁用角色。
+
+    停用不解除用户绑定、不影响既有授权（授权判定只看编码不看状态），
+    但该角色不可再分配给用户（`user_service._resolve_roles` 拦截）；
+    内置管理员角色不可停用。
+
+    :raises NotFoundError: 角色不存在
+    :raises ForbiddenError: 试图停用内置管理员角色
+    """
+    role = role_repository.get_by_id(session, role_id)
+    verb = "启用" if status == 1 else "禁用"
+    with audit_service.audit(
+        session,
+        operator=operator,
+        record=AuditRecord(
+            module=MODULE_ROLE,
+            action=ACTION_ENABLE if status == 1 else ACTION_DISABLE,
+            summary=f"{verb}角色 {role.role_name if role else f'#{role_id}'}",
+            request_data={"status": status},
+        ),
+        meta=meta,
+    ):
+        if role is None:
+            raise NotFoundError("角色不存在")
+
+        if role.role_code == ROLE_ADMIN and status == 0:
+            raise ForbiddenError("内置管理员角色不可停用")
+
+        role.status = status
+        out = _to_out(role, _user_count(session, role_id))
+        session.commit()
+        logger.info("变更角色状态 | role_id=%s | status=%s", role_id, status)
+        return out
+
+
+def delete_role(
+    session: Session,
+    role_id: int,
+    *,
+    operator: User,
+    meta: RequestMeta | None = None,
+) -> None:
+    """删除角色。
+
+    内置管理员角色不可删除；仍有关联用户的角色不可删除（提示先解除绑定）。
+    查询走 `FOR UPDATE` 锁行：校验与删除之间若发生并发绑定，CASCADE 会把
+    新绑定一并静默剥离 —— 锁行使并发绑定失败（可见）而非数据被吞（不可见）。
+
+    :raises NotFoundError: 角色不存在
+    :raises ForbiddenError: 试图删除内置管理员角色
+    :raises BadRequestError: 角色下仍有绑定的用户
+    """
+    role = role_repository.get_by_id(session, role_id, for_update=True)
+    with audit_service.audit(
+        session,
+        operator=operator,
+        record=AuditRecord(
+            module=MODULE_ROLE,
+            action=ACTION_DELETE,
+            summary=f"删除角色 {role.role_name if role else f'#{role_id}'}",
+        ),
+        meta=meta,
+    ):
+        if role is None:
+            raise NotFoundError("角色不存在")
+
+        if role.role_code == ROLE_ADMIN:
+            raise ForbiddenError("内置管理员角色不可删除")
+
+        # user_roles 外键是 CASCADE：不拦截的话，删除会静默剥离绑定用户的权限
+        user_count = _user_count(session, role_id)
+        if user_count > 0:
+            raise BadRequestError(f"该角色下仍有 {user_count} 个用户，请先解除绑定")
+
+        role_code = role.role_code  # 固化：对象随删除失效
+        role_repository.delete(session, role)
+        session.commit()
+        logger.info("删除角色 | role_code=%s", role_code)

backend/app/services/user_service.py

@@ -4,25 +4,45 @@
 repository 只 flush，事务由这里控制。
 
 设计取舍：
+
 - 删除采用**物理删除**，与「删除即禁用」并不矛盾 —— 后者是对业务方的建议
   （停用账号应走禁用而非删除，以保留审计线索），但需求 2.5.1 明确列了
   「增删改查」，故保留删除能力；`operation_logs` 通过 SET NULL + 冗余 username
   保证删除后仍可追溯
 - 不允许删除或禁用**自己** —— 管理员误操作会立刻失去全部管理权限，
   且没有其他账号可以救回来
+- 全部写操作经 `audit_service.audit()` 留痕，**成功与失败都记**。摘要需要
+  「目标用户名」，故对目标的只读预取放在审计上下文**之前** —— 这样目标
+  不存在（NotFound 失败）时也能留下可读的记录
+- **响应对象在 commit 之前构造**（`_to_out` 读的是内存中的已加载状态）：
+  commit 后再触碰 ORM 对象会因过期而触发额外查询，该查询一旦抛错，
+  「已提交成功」的操作会被审计记成失败
 """
 
 import logging
 
+from sqlalchemy.exc import IntegrityError
 from sqlalchemy.orm import Session
 
-from app.core.constants import ROLE_ADMIN
+from app.core.constants import (
+    ACTION_CREATE,
+    ACTION_DELETE,
+    ACTION_DISABLE,
+    ACTION_ENABLE,
+    ACTION_RESET_PASSWORD,
+    ACTION_UPDATE,
+    MODULE_USER,
+    ROLE_ADMIN,
+)
 from app.core.exceptions import BadRequestError, ForbiddenError, NotFoundError
 from app.core.response import PageResult
 from app.core.security import hash_password
 from app.models import User
-from app.repositories import user_repository
-from app.schemas.user import RoleOut, UserCreateIn, UserOut, UserQuery, UserUpdateIn
+from app.repositories import role_repository, user_repository
+from app.schemas.role import RoleOut
+from app.schemas.user import UserCreateIn, UserOut, UserQuery, UserUpdateIn
+from app.services import audit_service
+from app.services.audit_service import AuditRecord, RequestMeta
 
 logger = logging.getLogger(__name__)
 
@@ -83,73 +103,126 @@ def get_user(session: Session, user_id: int) -> UserOut:
     return _to_out(user)
 
 
-def create_user(session: Session, payload: UserCreateIn) -> UserOut:
+def create_user(
+    session: Session,
+    payload: UserCreateIn,
+    *,
+    operator: User,
+    meta: RequestMeta | None = None,
+) -> UserOut:
     """新增用户。
 
-    :raises BadRequestError: 用户名已存在，或角色编码无效
+    :raises BadRequestError: 用户名已存在，或角色编码无效/已停用
     """
-    if user_repository.get_by_username(session, payload.username) is not None:
-        raise BadRequestError(f"用户名 {payload.username!r} 已存在")
+    with audit_service.audit(
+        session,
+        operator=operator,
+        record=AuditRecord(
+            module=MODULE_USER,
+            action=ACTION_CREATE,
+            summary=f"新增用户 {payload.username}",
+            # password 会随字典进入审计管道，由 repository 层的结构化脱敏抹除其值
+            request_data=payload.model_dump(exclude_none=True),
+        ),
+        meta=meta,
+    ):
+        if user_repository.get_by_username(session, payload.username) is not None:
+            raise BadRequestError(f"用户名 {payload.username!r} 已存在")
 
-    roles = _resolve_roles(session, payload.roles)
+        roles = _resolve_roles(session, payload.roles)
 
-    user = User(
-        username=payload.username,
-        password=hash_password(payload.password),
-        real_name=payload.real_name,
-        phone=payload.phone,
-        email=payload.email,
-        status=1,
-        remark=payload.remark,
-    )
-    user_repository.create(session, user)
-    user_repository.replace_roles(session, user, roles)
-    session.commit()
+        user = User(
+            username=payload.username,
+            password=hash_password(payload.password),
+            real_name=payload.real_name,
+            phone=payload.phone,
+            email=payload.email,
+            status=1,
+            remark=payload.remark,
+        )
+        try:
+            user_repository.create(session, user)
+            user_repository.replace_roles(session, user, roles)
+            out = _to_out(user)
+            session.commit()
+        except IntegrityError as exc:
+            # 先查后写不是原子操作：并发提交同一用户名会撞 uk_users_username。
+            # 回滚并把唯一键冲突翻译为可读的 400，而非 500
+            session.rollback()
+            raise BadRequestError(f"用户名 {payload.username!r} 已存在") from exc
 
-    logger.info("新增用户 | username=%s | roles=%s", user.username, payload.roles)
-    return _to_out(user)
+        logger.info("新增用户 | username=%s | roles=%s", payload.username, payload.roles)
+        return out
 
 
 def update_user(
-    session: Session, user_id: int, payload: UserUpdateIn, *, operator_id: int
+    session: Session,
+    user_id: int,
+    payload: UserUpdateIn,
+    *,
+    operator: User,
+    meta: RequestMeta | None = None,
 ) -> UserOut:
     """编辑用户的基本信息与角色。
 
     **不含用户名与密码**：用户名是审计追溯的锚点；密码走专门的重置接口，
     以免"改资料"顺手改掉密码这类越权操作。
 
+    空串字段（`''`）归一为 None：编辑表单会把未修改的字段以空串提交，
+    若原样写入会把库中的 NULL 污染成空串（两类空值语义漂移且不可逆）；
+    归一后「清空输入框」= 写回 NULL，语义正确。
+
     :raises NotFoundError: 用户不存在
-    :raises BadRequestError: 角色编码无效
+    :raises BadRequestError: 角色编码无效或已停用
     """
     user = user_repository.get_by_id(session, user_id)
-    if user is None:
-        raise NotFoundError("用户不存在")
+    with audit_service.audit(
+        session,
+        operator=operator,
+        record=AuditRecord(
+            module=MODULE_USER,
+            action=ACTION_UPDATE,
+            summary=f"修改用户 {user.username if user else f'#{user_id}'}",
+            request_data=payload.model_dump(exclude_none=True),
+        ),
+        meta=meta,
+    ):
+        if user is None:
+            raise NotFoundError("用户不存在")
 
-    if payload.real_name is not None:
-        user.real_name = payload.real_name
-    if payload.phone is not None:
-        user.phone = payload.phone
-    if payload.email is not None:
-        user.email = payload.email
-    if payload.remark is not None:
-        user.remark = payload.remark
+        if payload.real_name is not None:
+            user.real_name = payload.real_name or None
+        if payload.phone is not None:
+            user.phone = payload.phone or None
+        if payload.email is not None:
+            user.email = payload.email or None
+        if payload.remark is not None:
+            user.remark = payload.remark or None
 
-    # 不允许把自己降级掉管理角色，否则改完立刻失去管理权限
-    if payload.roles is not None and user_id == operator_id and ROLE_ADMIN not in payload.roles:
-        raise ForbiddenError("不能移除自己的管理员角色")
+        # 不允许把自己降级掉管理角色，否则改完立刻失去管理权限
+        if payload.roles is not None and user_id == operator.id and ROLE_ADMIN not in payload.roles:
+            raise ForbiddenError("不能移除自己的管理员角色")
 
-    session.flush()
+        session.flush()
 
-    if payload.roles is not None:
-        roles = _resolve_roles(session, payload.roles)
-        user_repository.replace_roles(session, user, roles)
+        if payload.roles is not None:
+            roles = _resolve_roles(session, payload.roles)
+            user_repository.replace_roles(session, user, roles)
 
-    session.commit()
-    logger.info("编辑用户 | user_id=%s | roles=%s", user_id, payload.roles)
-    return _to_out(user)
+        out = _to_out(user)
+        session.commit()
+        logger.info("编辑用户 | user_id=%s | roles=%s", user_id, payload.roles)
+        return out
 
 
-def reset_password(session: Session, user_id: int, new_password: str) -> None:
+def reset_password(
+    session: Session,
+    user_id: int,
+    new_password: str,
+    *,
+    operator: User,
+    meta: RequestMeta | None = None,
+) -> None:
     """重置用户密码。
 
     同时把 `token_version` 加一，使该用户**已签发的令牌立即失效** ——
@@ -158,16 +231,35 @@ def reset_password(session: Session, user_id: int, new_password: str) -> None:
     :raises NotFoundError: 用户不存在
     """
     user = user_repository.get_by_id(session, user_id)
-    if user is None:
-        raise NotFoundError("用户不存在")
+    with audit_service.audit(
+        session,
+        operator=operator,
+        record=AuditRecord(
+            module=MODULE_USER,
+            action=ACTION_RESET_PASSWORD,
+            summary=f"重置用户 {user.username if user else f'#{user_id}'} 的密码",
+            # 明文进审计管道，由 repository 层的结构化脱敏整体抹除
+            request_data={"new_password": new_password},
+        ),
+        meta=meta,
+    ):
+        if user is None:
+            raise NotFoundError("用户不存在")
 
-    user.password = hash_password(new_password)
-    user.token_version += 1
-    session.commit()
-    logger.info("重置密码 | user_id=%s（令牌版本已提升）", user_id)
+        user.password = hash_password(new_password)
+        user.token_version += 1
+        session.commit()
+        logger.info("重置密码 | user_id=%s（令牌版本已提升）", user_id)
 
 
-def set_status(session: Session, user_id: int, status: int, *, operator_id: int) -> UserOut:
+def set_status(
+    session: Session,
+    user_id: int,
+    status: int,
+    *,
+    operator: User,
+    meta: RequestMeta | None = None,
+) -> UserOut:
     """启用或禁用用户。
 
     禁用时同样提升 `token_version`，使已签发令牌立即失效 ——
@@ -177,21 +269,40 @@ def set_status(session: Session, user_id: int, status: int, *, operator_id: int)
     :raises ForbiddenError: 试图禁用自己
     """
     user = user_repository.get_by_id(session, user_id)
-    if user is None:
-        raise NotFoundError("用户不存在")
+    verb = "启用" if status == 1 else "禁用"
+    with audit_service.audit(
+        session,
+        operator=operator,
+        record=AuditRecord(
+            module=MODULE_USER,
+            action=ACTION_ENABLE if status == 1 else ACTION_DISABLE,
+            summary=f"{verb}用户 {user.username if user else f'#{user_id}'}",
+            request_data={"status": status},
+        ),
+        meta=meta,
+    ):
+        if user is None:
+            raise NotFoundError("用户不存在")
 
-    if status == 0 and user_id == operator_id:
-        raise ForbiddenError("不能禁用自己")
+        if status == 0 and user_id == operator.id:
+            raise ForbiddenError("不能禁用自己")
 
-    user.status = status
-    if status == 0:
-        user.token_version += 1
-    session.commit()
-    logger.info("变更用户状态 | user_id=%s | status=%s", user_id, status)
-    return _to_out(user)
+        user.status = status
+        if status == 0:
+            user.token_version += 1
+        out = _to_out(user)
+        session.commit()
+        logger.info("变更用户状态 | user_id=%s | status=%s", user_id, status)
+        return out
 
 
-def delete_user(session: Session, user_id: int, *, operator_id: int) -> None:
+def delete_user(
+    session: Session,
+    user_id: int,
+    *,
+    operator: User,
+    meta: RequestMeta | None = None,
+) -> None:
     """删除用户。
 
     物理删除。历史操作日志通过 `user_id` 置空 + 冗余 `username` 保留可追溯性。
@@ -200,33 +311,50 @@ def delete_user(session: Session, user_id: int, *, operator_id: int) -> None:
     :raises ForbiddenError: 试图删除自己
     """
     user = user_repository.get_by_id(session, user_id)
-    if user is None:
-        raise NotFoundError("用户不存在")
+    with audit_service.audit(
+        session,
+        operator=operator,
+        record=AuditRecord(
+            module=MODULE_USER,
+            action=ACTION_DELETE,
+            summary=f"删除用户 {user.username if user else f'#{user_id}'}",
+        ),
+        meta=meta,
+    ):
+        if user is None:
+            raise NotFoundError("用户不存在")
 
-    if user_id == operator_id:
-        raise ForbiddenError("不能删除自己")
+        if user_id == operator.id:
+            raise ForbiddenError("不能删除自己")
 
-    username = user.username
-    user_repository.delete(session, user)
-    session.commit()
-    logger.info("删除用户 | username=%s", username)
+        username = user.username  # 固化：对象随删除失效
+        user_repository.delete(session, user)
+        session.commit()
+        logger.info("删除用户 | username=%s", username)
 
 
 def list_roles(session: Session) -> list[RoleOut]:
-    """取全部启用角色，供前端下拉选择。"""
-    return [RoleOut.model_validate(role) for role in user_repository.get_all_roles(session)]
+    """取全部启用角色，供用户表单的角色选择使用。"""
+    return [RoleOut.model_validate(role) for role in role_repository.get_all_roles(session)]
 
 
 def _resolve_roles(session: Session, role_codes: list[str]) -> list:
-    """把角色编码解析为角色对象，并校验全部存在。
+    """把角色编码解析为角色对象，校验全部存在且**未停用**。
 
-    :raises BadRequestError: 存在无效编码
+    停用角色不出现在表单下拉中；接口层若不拦截，直接调 API（或使用停用前
+    加载的旧选项）仍可绑定，与「停用后不可再分配」的语义矛盾。已绑定停用
+    角色的用户需先转为启用角色再保存。
+
+    :raises BadRequestError: 存在无效编码，或角色已停用
     """
     if not role_codes:
         raise BadRequestError("至少需要指定一个角色")
-    roles = user_repository.get_roles_by_codes(session, role_codes)
+    roles = role_repository.get_roles_by_codes(session, role_codes)
     if len(roles) != len(set(role_codes)):
         valid = {role.role_code for role in roles}
         invalid = sorted(set(role_codes) - valid)
         raise BadRequestError(f"角色编码无效：{invalid}")
+    disabled = sorted(role.role_code for role in roles if role.status != 1)
+    if disabled:
+        raise BadRequestError(f"角色已停用，不可分配：{disabled}")
     return list(roles)