feat: 帖子分级置顶（板块/全站）与板块管理员置顶权限、消息管理权限调整

backend/handler/auth.go

@@ -164,7 +164,7 @@ func (h *Handlers) Register(c *gin.Context) {
 		})
 		return
 	}
-	setAuthCookies(c, accessToken, refreshToken, !h.Cfg.DevMode)
+	setAuthCookies(c, accessToken, refreshToken, h.Cfg.IsSecureOrigin())
 	h.AdminUser.RecordLogin(loginUser.ID, req.Username, c.ClientIP(), c.Request.UserAgent(), true)
 	c.JSON(http.StatusOK, gin.H{
 		"user": gin.H{
@@ -212,7 +212,7 @@ func (h *Handlers) Login(c *gin.Context) {
 	h.AdminUser.RecordLogin(user.ID, req.Username, c.ClientIP(), c.Request.UserAgent(), true)
 	// dev 模式不设 Secure，生产环境需 HTTPS
 	h.Ops.ClearFailure(req.Username)
-	setAuthCookies(c, accessToken, refreshToken, !h.Cfg.DevMode)
+	setAuthCookies(c, accessToken, refreshToken, h.Cfg.IsSecureOrigin())
 	// 多会话并存：新登录不踢旧设备；仅当本次登录超出会话上限、淘汰了最旧
 	// 会话时广播告知（被淘汰设备 WS 在线则当场弹"登录已失效"，无需等
 	// access token 过期或硬刷新才发现）
@@ -244,13 +244,13 @@ func (h *Handlers) Refresh(c *gin.Context) {
 	if err != nil {
 		if errors.Is(err, service.ErrAccountBanned) {
 			// 账号已封禁：清 cookie 的同时给出可识别 code，前端弹封禁告知并强制下线
-			clearAuthCookies(c, !h.Cfg.DevMode)
+			clearAuthCookies(c, h.Cfg.IsSecureOrigin())
 			c.JSON(http.StatusForbidden, gin.H{"error": "账号已被封禁", "code": "account_banned"})
 			return
 		}
 		if errors.Is(err, service.ErrRefreshInvalid) || errors.Is(err, service.ErrRefreshExpired) {
 			// 登录态确实失效：清 cookie 要求重新登录（前端弹"登录已失效"）
-			clearAuthCookies(c, !h.Cfg.DevMode)
+			clearAuthCookies(c, h.Cfg.IsSecureOrigin())
 			c.JSON(http.StatusUnauthorized, gin.H{"error": "登录已过期，请重新登录"})
 			return
 		}
@@ -259,7 +259,7 @@ func (h *Handlers) Refresh(c *gin.Context) {
 		c.JSON(http.StatusServiceUnavailable, gin.H{"error": "登录刷新暂不可用，请稍后重试"})
 		return
 	}
-	setAuthCookies(c, accessToken, newRefresh, !h.Cfg.DevMode)
+	setAuthCookies(c, accessToken, newRefresh, h.Cfg.IsSecureOrigin())
 	c.JSON(http.StatusOK, gin.H{
 		"user": gin.H{
 			"id":       user.ID,
@@ -279,7 +279,7 @@ func (h *Handlers) Logout(c *gin.Context) {
 	if refreshToken, err := c.Cookie(service.RefreshCookieName); err == nil && refreshToken != "" {
 		_ = h.Auth.RevokeRefreshToken(refreshToken)
 	}
-	clearAuthCookies(c, !h.Cfg.DevMode)
+	clearAuthCookies(c, h.Cfg.IsSecureOrigin())
 	c.JSON(http.StatusOK, gin.H{"message": "已登出"})
 }
 
@@ -302,7 +302,7 @@ func (h *Handlers) ChangePassword(c *gin.Context) {
 		return
 	}
 	// 密码已改，token_version 已递增，旧 token 全部失效，清除 cookie 要求重新登录
-	clearAuthCookies(c, !h.Cfg.DevMode)
+	clearAuthCookies(c, h.Cfg.IsSecureOrigin())
 	c.JSON(http.StatusOK, gin.H{"message": "密码修改成功，请重新登录"})
 }