重构后端，使其更加权责分明

middleware/users.js

@@ -0,0 +1,48 @@
+// middleware/users.js —— users 路由的纯业务规则中间件
+// 与权限/认证无关，只是保护操作者自身不被误操作
+const { pool } = require('../db')
+
+/**
+ * 更新用户时的自保护：
+ * - 不能修改自己的部门
+ * - 不能禁用自己
+ */
+function protectSelfUpdate(req, res, next) {
+  if (Number(req.params.id) === req.user.id) {
+    if (req.body.department_id !== undefined && req.body.department_id !== req.user.department_id) {
+      return res.status(400).json({ code: 400, message: '不能修改自己的部门' })
+    }
+    if (req.body.is_active === 0) {
+      return res.status(400).json({ code: 400, message: '不能禁用自己' })
+    }
+  }
+  next()
+}
+
+/**
+ * 删除用户时的自保护：
+ * - 不能删除自己
+ * - 不能删除最后一个管理员
+ */
+async function protectUserDelete(req, res, next) {
+  if (Number(req.params.id) === req.user.id) {
+    return res.status(400).json({ code: 400, message: '不能删除自己' })
+  }
+
+  const [rows] = await pool.query('SELECT department_id FROM users WHERE id = ?', [req.params.id])
+  if (rows.length > 0) {
+    const [adminDept] = await pool.query('SELECT id FROM departments WHERE name = ?', ['admin'])
+    if (adminDept.length > 0 && rows[0].department_id === adminDept[0].id) {
+      const [[{ cnt }]] = await pool.query(
+        'SELECT COUNT(*) AS cnt FROM users WHERE department_id = ?',
+        [adminDept[0].id]
+      )
+      if (cnt <= 1) {
+        return res.status(400).json({ code: 400, message: '不能删除最后一个管理员' })
+      }
+    }
+  }
+  next()
+}
+
+module.exports = { protectSelfUpdate, protectUserDelete }