backmanager-server/middleware/users.js

// middleware/users.js —— users 路由的纯业务规则中间件
// 与权限/认证无关，只是保护操作者自身不被误操作
const { pool } = require('../db')

/**
 * 更新用户时的自保护：
 * - 不能修改自己的部门
 * - 不能禁用自己
 */
function protectSelfUpdate(req, res, next) {
  if (Number(req.params.id) === req.user.id) {
    if (req.body.department_id !== undefined && req.body.department_id !== req.user.department_id) {
      return res.status(400).json({ code: 400, message: '不能修改自己的部门' })
    }
    if (req.body.is_active === 0) {
      return res.status(400).json({ code: 400, message: '不能禁用自己' })
    }
  }
  next()
}

/**
 * 删除用户时的保护：
 * - 不能删除自己
 * - 不能删除比自己级别高的用户
 * - 最高只能删除同级用户
 * - 不能删除最后一个总经理
 */
async function protectUserDelete(req, res, next) {
  const targetId = Number(req.params.id)
  const operatorLevel = req.user.role_level || 4

  // 不能删除自己
  if (targetId === req.user.id) {
    return res.status(400).json({ code: 400, message: '不能删除自己' })
  }

  try {
    const [rows] = await pool.query('SELECT role_level, department_id FROM users WHERE id = ?', [targetId])
    if (rows.length === 0) {
      return res.status(404).json({ code: 404, message: '用户不存在' })
    }

    const targetLevel = rows[0].role_level || 4

    // 不能删除比自己级别高的用户（数字越小级别越高）
    if (targetLevel < operatorLevel) {
      return res.status(403).json({ code: 403, message: '不能删除比自己级别高的用户' })
    }

    // 最高只能删除同级
    // 这个逻辑已经在上面的检查中覆盖了（targetLevel >= operatorLevel 才能继续）

    // 不能删除最后一个总经理
    if (targetLevel === 1) {
      const [[{ cnt }]] = await pool.query(
        'SELECT COUNT(*) AS cnt FROM users WHERE role_level = 1'
      )
      if (cnt <= 1) {
        return res.status(400).json({ code: 400, message: '不能删除最后一个总经理' })
      }
    }

    next()
  } catch (e) {
    console.error('[protectUserDelete] error:', e)
    return res.status(500).json({ code: 500, message: e.message })
  }
}

module.exports = { protectSelfUpdate, protectUserDelete }