AccessToken 默认非管理员权限

internal/apps/admin/errs.go

@@ -8,6 +8,7 @@ package admin
 // 管理后台错误消息常量
 const (
 	AdminRequired          = "未经授权访问"
+	TokenAdminRequired     = "该访问令牌没有管理员权限，无法访问管理端点" //nolint:gosec // false positive: this is an error message, not hardcoded credentials
 	InvalidAuthSourceID    = "认证源 ID 无效"
 	InvalidCursorParam     = "无效的 cursor 参数"
 	InvalidTaskExecutionID = "无效的任务执行记录 ID"

internal/apps/admin/middlewares.go

@@ -25,6 +25,15 @@ func LoginAdminRequired() gin.HandlerFunc {
 
 		user, _ := util.GetFromContext[*model.User](c, oauth.UserObjKey)
 
+		// 如果是通过 Access Token 鉴权，需要检查令牌本身是否具有管理员权限
+		if tokenAuth, _ := util.GetFromContext[bool](c, oauth.TokenAuthKey); tokenAuth {
+			tokenAdmin, _ := util.GetFromContext[bool](c, oauth.TokenAdminKey)
+			if !tokenAdmin {
+				c.AbortWithStatusJSON(http.StatusNotFound, gin.H{"error_msg": TokenAdminRequired, "data": nil})
+				return
+			}
+		}
+
 		if !user.IsAdmin {
 			c.AbortWithStatusJSON(http.StatusNotFound, gin.H{"error_msg": AdminRequired, "data": nil})
 			return