refactor(account): 统一账号管理API、完善权限检查和操作审计

- 合并 customer_account 和 shop_account 路由到统一的 account 接口
- 新增统一认证接口 (auth handler)
- 实现越权防护中间件和权限检查工具函数
- 新增操作审计日志模型和服务
- 更新数据库迁移 (版本 39: account_operation_log 表)
- 补充集成测试覆盖权限检查和审计日志场景

README.md

@@ -183,6 +183,24 @@ default:
 
 ## 核心功能
 
+### 账号管理重构（2025-02）
+
+统一了账号管理和认证接口架构，消除了路由冗余，修复了越权漏洞，添加了完整的操作审计。
+
+**重要变更**：
+- 账号管理路由简化为 `/api/admin/accounts/*`（所有账号类型共享同一套接口）
+- 账号类型通过请求体的 `user_type` 字段区分（2=平台，3=代理，4=企业）
+- 认证接口统一为 `/api/auth/*`（合并后台和 H5）
+- 新增三层越权防护机制（路由层拦截 + Service 层权限检查 + GORM 自动过滤）
+- 新增操作审计日志系统（记录所有账号操作：create/update/delete/assign_roles/remove_role）
+
+**文档**：
+- [迁移指南](docs/account-management-refactor/迁移指南.md) - 前端接口迁移步骤
+- [功能总结](docs/account-management-refactor/功能总结.md) - 重构内容和安全提升
+- [API 文档](docs/account-management-refactor/API文档.md) - 详细接口说明
+
+---
+
 - **认证中间件**：基于 Redis 的 Token 认证
 - **限流中间件**：基于 IP 的限流，支持可配置的限制和存储后端
 - **结构化日志**：使用 Zap 的 JSON 日志和自动日志轮转