feat: OTP首次绑定 + 三端登录修复 + 管理端权限修复 (2026-07-08)

OTP首次绑定:
- 新增统一 OTP 路由 /auth/otp-* (otp.py + router.py)
- 坐席端 OTP 绑定面板 (OtpBindPanel.vue)
- 管理端 OTP 管理列表 (MfaManage.vue)
- agent_login 签发半认证 token 支持首次绑定流程

三端登录修复:
- 坐席/管理端去掉'返回扫码登录'按钮
- 管理端改为二维码始终可见+轮询扫码状态
- 员工端 /itdesk/ 改为 alias 直接服务 H5 (不再301重定向)
- docker-compose 添加 h5 volume 挂载

管理端权限修复:
- 扫码登录改用 get_user_roles() 替代写死 roles=['agent']
- get_user_roles() 增加 agents.role 回退
- 新增 GET /admin/roles/user-roles 端点
- 角色管理页加载用户角色分配数据

文档更新:
- OTP PRD + 系统设计文档
- 故障排查手册 v1.1 (新增6案例)
- nginx 生产基准配置

frontend-admin/src/api/admin.ts

@@ -375,6 +375,11 @@ export function getRoles(): Promise<{ data: { code: number; data: Role[]; messag
   return apiClient.get('/admin/roles')
 }
 
+/** 获取用户角色分配列表 */
+export function getUserRoleAssignments(): Promise<{ data: { code: number; data: any[]; message: string } }> {
+  return apiClient.get('/admin/roles/user-roles')
+}
+
 /** 手动分配角色给用户 */
 export function assignRole(
   data: RoleAssignRequest

frontend-admin/src/api/mfa.ts

@@ -1,35 +1,34 @@
 // =============================================================================
-// 企微IT智能服务台 — 管理后台 MFA 管理 API 适配层 (Phase 2.4)
+// 企微IT智能服务台 — 管理后台 OTP 管理 API 适配层 (Phase 2.4 → 迁移)
 // =============================================================================
-// 说明:封装 /api/admin/mfa/* 管理员视角的端点
-// 对应后端: backend/app/api/mfa.py (Phase 2.1, task #17) admin_router 部分
+// 说明:封装 /api/auth/otp-admin-* 管理员视角的端点
+// 对应后端: backend/app/api/auth.py admin OTP 端点
 //
 // 管理员端点:
-//   GET  /api/admin/mfa/users                 — 列出所有用户 MFA 状态
-//   POST /api/admin/mfa/reset/{employee_id}   — 重置指定用户 MFA(丢手机兜底)
+//   GET  /api/auth/otp-admin-users                — 列出所有用户 OTP 状态
+//   POST /api/auth/otp-admin-reset/{employee_id}  — 清除指定用户 OTP 绑定(丢手机兜底)
 //
-// 用户视角的 5 个端点(/api/mfa/*)由 frontend-agent 端 mfa.ts 封装
-// 管理后台如需代理用户操作(管理员自己绑定)也可引用 frontend-agent 的 API
+// 用户视角的端点(/api/auth/otp-*)由 frontend-agent 端 otp.ts 封装
 //
 // 鉴权:
 //   - 全部用 require_role("admin")(管理员)
 //   - 响应格式: {code: 0, data: {}, message: "success"}  业务码 0 表示成功
+//   - CTRT 拦截器已解包，API 函数直接返回 inner data
 //
 // 典型管理员场景:
-//   1. 进入 /mfa-manage → 调 GET /api/admin/mfa/users → 表格展示
-//   2. 搜索 + 过滤 + 分页(支持按 bound/姓名/employee_id)
-//   3. 点"重置 MFA" → 调 POST /api/admin/mfa/reset/{employee_id}
-//   4. 弹 ElMessageBox 二次确认(防误操作) → 调重置端点
+//   1. 进入 /mfa-manage → 调 GET /api/auth/otp-admin-users → 表格展示
+//   2. 搜索 + 过滤 + 分页(支持按 mfa_enabled/姓名/employee_id)
+//   3. 点"清除绑定" → 调 POST /api/auth/otp-admin-reset/{employee_id}
+//   4. 弹 ElMessageBox 二次确认(防误操作) → 调清除端点
 // =============================================================================
 
 import apiClient from './index'
-import type { AxiosResponse } from 'axios'
 
 // --------------------------------------------------------------------------
 // TypeScript 类型定义
 // --------------------------------------------------------------------------
 
-/** 单个用户的 MFA 状态条目 */
+/** 单个用户的 OTP 状态条目 */
 export interface MfaUserStatus {
   /** 员工 ID(企微 userid) */
   employee_id: string
@@ -37,19 +36,17 @@ export interface MfaUserStatus {
   name?: string
   /** 角色列表 */
   roles?: string[]
-  /** 是否已绑定 MFA */
-  bound: boolean
-  /** 是否已启用 MFA(与 bound 等价) */
-  enabled: boolean
+  /** 是否已绑定 OTP (MFA) */
+  mfa_enabled: boolean
   /** 首次绑定时间(ISO 8601,可空) */
-  bound_at?: string | null
+  mfa_bound_at?: string | null
   /** 最近一次验证成功时间(ISO 8601,可空) */
   last_verified_at?: string | null
 }
 
-/** GET /api/admin/mfa/users 响应 */
+/** GET /api/auth/otp-admin-users 响应 */
 export interface MfaUserListData {
-  /** 用户 MFA 状态列表 */
+  /** 用户 OTP 状态列表 */
   items: MfaUserStatus[]
   /** 总数 */
   total: number
@@ -59,7 +56,7 @@ export interface MfaUserListData {
   page_size: number
 }
 
-/** GET /api/admin/mfa/users 查询参数 */
+/** GET /api/auth/otp-admin-users 查询参数 */
 export interface MfaUserListParams {
   /** 按姓名或 employee_id 模糊搜索 */
   keyword?: string
@@ -71,9 +68,9 @@ export interface MfaUserListParams {
   page_size?: number
 }
 
-/** POST /api/admin/mfa/reset/{employee_id} 响应 */
+/** POST /api/auth/otp-admin-reset/{employee_id} 响应 */
 export interface MfaAdminResetData {
-  /** 重置是否成功 */
+  /** 清除是否成功 */
   success: boolean
 }
 
@@ -82,30 +79,30 @@ export interface MfaAdminResetData {
 // --------------------------------------------------------------------------
 
 /**
- * 1) 列出所有用户的 MFA 状态(支持搜索 + 过滤 + 分页)
+ * 1) 列出所有用户的 OTP 状态(支持搜索 + 过滤 + 分页)
  * 管理员在 /mfa-manage 页面调这个
  *
  * @param params 查询参数
- * @returns 分页数据
+ * @returns 分页数据(CTRT 已解包，直接返回 inner data)
  */
 export async function listMfaUsers(
   params: MfaUserListParams = {}
 ): Promise<MfaUserListData> {
-  const response: AxiosResponse = await apiClient.get('/admin/mfa/users', { params })
+  const response: MfaUserListData = await apiClient.get('/auth/otp-admin-users', { params })
   return response
 }
 
 /**
- * 2) 重置指定员工的 MFA 绑定(管理员特权,无 OTP 验证)
+ * 2) 清除指定员工的 OTP 绑定(管理员特权,无 OTP 验证)
  * 使用场景:
- *   - 员工丢手机/换手机 → 管理员在后台"重置 MFA"按钮
+ *   - 员工丢手机/换手机 → 管理员在后台"清除绑定"按钮
  *
  * @param employeeId 员工 ID(企微 userid)
- * @returns 重置结果
+ * @returns 清除结果(CTRT 已解包，直接返回 inner data)
  */
 export async function resetMfa(employeeId: string): Promise<MfaAdminResetData> {
-  const response: AxiosResponse = await apiClient.post(
-    `/admin/mfa/reset/${encodeURIComponent(employeeId)}`
+  const response: MfaAdminResetData = await apiClient.post(
+    `/auth/otp-admin-reset/${encodeURIComponent(employeeId)}`
   )
   return response
 }

frontend-admin/src/components/Sidebar.vue

@@ -50,6 +50,10 @@
         <el-icon><Key /></el-icon>
         <span>角色管理</span>
       </el-menu-item>
+      <el-menu-item index="/mfa-manage">
+        <el-icon><Key /></el-icon>
+        <span>OTP 管理</span>
+      </el-menu-item>
 
       <!-- 🔗 系统集成 -->
       <div class="menu-section-title">🔗 系统集成</div>

frontend-admin/src/router/index.ts

@@ -144,7 +144,7 @@ const routes = [
         path: 'mfa-manage',
         name: 'MfaManage',
         component: () => import('@/views/MfaManage.vue'),
-        meta: { title: 'MFA 管理', requiresAuth: true },
+        meta: { title: 'OTP 管理', requiresAuth: true },
       },
       {
         // 满意度评价统计
@@ -181,6 +181,20 @@ const routes = [
         component: () => import('@/views/dashboard/AutoMetrics.vue'),
         meta: { title: '自动化指标', requiresAuth: true },
       },
+      {
+        // Tier1 知识库迭代 — 提案管理（D7）
+        path: 'knowledge-iteration',
+        name: 'KnowledgeIteration',
+        component: () => import('@/views/KnowledgeIteration.vue'),
+        meta: { title: '知识迭代管理', requiresAuth: true },
+      },
+      {
+        // Tier1 知识库迭代 — RAGFlow 文档摄入（通道 C / P1-5）
+        path: 'ragflow-ingestion',
+        name: 'RagflowIngestion',
+        component: () => import('@/views/RagflowIngestion.vue'),
+        meta: { title: 'RAGFlow文档导入', requiresAuth: true },
+      },
     ],
   },
   {

frontend-admin/src/views/Login.vue

@@ -25,58 +25,62 @@ IT智能服务台 — 管理员登录页 (v1.2, 2026-07-06)
         <p class="login-subtitle">管理后台</p>
       </div>
 
-      <!-- 登录方式选择（企微已登录时显示） -->
-      <div v-if="showLoginOptions" class="login-options">
-        <p class="login-options-title">选择登录方式</p>
-        <div class="login-options-btns">
-          <el-button
-            type="primary"
-            size="large"
-            class="option-btn"
-            :loading="wecomQuickLoading"
-            @click="handleWecomQuickLogin"
-          >
-            <el-icon><Key /></el-icon>
-            企微免密登录
-          </el-button>
-          <el-button
-            size="large"
-            class="option-btn"
-            @click="showQrLogin"
-          >
-            <el-icon><Key /></el-icon>
-            企微扫码登录
-          </el-button>
-          <el-button
-            size="large"
-            class="option-btn"
-            @click="showPasswordLogin"
-          >
-            <el-icon><Lock /></el-icon>
-            账号密码登录
-          </el-button>
-        </div>
+      <!-- 企微免密登录（仅企微内管理员可见） -->
+      <div v-if="wecomUserId" style="text-align: center; margin-bottom: 12px;">
+        <el-button
+          type="primary"
+          size="large"
+          :loading="wecomQuickLoading"
+          @click="handleWecomQuickLogin"
+          class="option-btn"
+          style="width: 100%;"
+        >
+          <el-icon><Key /></el-icon>
+          企微免密登录（{{ wecomUserId }}）
+        </el-button>
       </div>
 
-      <!-- 企微扫码登录面板 -->
-      <div v-if="showQrPanel" class="qr-login">
-        <p class="qr-title">企微扫码登录</p>
-        <div class="qr-code">
-          <img v-if="qrCode" :src="qrCode" alt="扫码登录二维码" />
-          <div v-else class="qr-loading">加载中...</div>
+      <!-- 企微扫码登录面板（始终可见，与坐席端一致） -->
+      <div class="qr-login">
+        <div class="qr-container">
+          <div v-if="qrLoading" class="qr-loading">
+            <el-icon class="is-loading"><Loading /></el-icon>
+            <p>加载中...</p>
+          </div>
+          <div v-else-if="qrCode" class="qr-code">
+            <img :src="qrCode" alt="企微扫码登录" />
+          </div>
+          <div v-else class="qr-error">
+            <p>获取二维码失败</p>
+            <el-button size="small" @click="fetchQrCode">重试</el-button>
+          </div>
         </div>
         <p class="qr-hint">请使用企业微信扫码登录</p>
-        <el-button link type="primary" @click="showPasswordLogin">其他登录方式</el-button>
+
+        <!-- 分隔线 -->
+        <div class="divider">
+          <span>其他登录方式</span>
+        </div>
+
+        <el-button
+          size="large"
+          class="password-login-btn"
+          @click="showPasswordPanel = true"
+        >
+          <span>🔐</span>
+          账号密码登录
+        </el-button>
       </div>
 
-      <!-- 登录表单 -->
-      <el-form
-        ref="formRef"
-        :model="loginForm"
-        :rules="rules"
-        label-position="top"
-        @submit.prevent="handleLogin"
-      >
+      <!-- 账号密码登录表单（与二维码同时展示，无需返回按钮） -->
+      <div v-if="showPasswordPanel" class="password-login">
+        <el-form
+          ref="formRef"
+          :model="loginForm"
+          :rules="rules"
+          label-position="top"
+          @submit.prevent="handleLogin"
+        >
         <el-form-item label="账号" prop="userId">
           <el-input
             v-model="loginForm.userId"
@@ -123,7 +127,8 @@ IT智能服务台 — 管理员登录页 (v1.2, 2026-07-06)
             {{ adminStore.logging ? '登录中...' : (requireOtp ? '验证 OTP' : '登录管理后台') }}
           </el-button>
         </el-form-item>
-      </el-form>
+        </el-form>
+      </div>
 
       <!-- 错误提示 -->
       <el-alert
@@ -149,12 +154,12 @@ IT智能服务台 — 管理员登录页 (v1.2, 2026-07-06)
 // ==========================================================================
 // 依赖导入
 // ==========================================================================
-import { ref, reactive, onMounted } from 'vue'
+import { ref, reactive, onMounted, onUnmounted } from 'vue'
 import { useRouter } from 'vue-router'
 import { ElMessage } from 'element-plus'
 import { useAdminStore } from '@/stores/admin'
 import type { FormInstance, FormRules } from 'element-plus'
-import { User, Lock, Key, InfoFilled, Headset } from '@element-plus/icons-vue'
+import { Loading, User, Lock, Key, InfoFilled, Headset } from '@element-plus/icons-vue'
 
 // ==========================================================================
 // Store
@@ -186,14 +191,8 @@ const errorMsg = ref<string>('')
 // 企微智能检测相关状态（PRD v1.5 §4.5）
 // ==========================================================================
 
-/** 是否显示登录方式选择 */
-const showLoginOptions = ref(false)
-
-/** 是否显示扫码登录面板 */
-const showQrPanel = ref(false)
-
 /** 是否显示账号密码登录 */
-const showPasswordPanel = ref(true)
+const showPasswordPanel = ref(false)
 
 /** 企微用户ID（用于免密登录） */
 const wecomUserId = ref('')
@@ -204,6 +203,14 @@ const wecomQuickLoading = ref(false)
 /** 企微二维码 */
 const qrCode = ref('')
 
+/** 二维码加载中 */
+const qrLoading = ref(false)
+
+/** 轮询定时器 */
+let pollTimer: ReturnType<typeof setInterval> | null = null
+/** 当前二维码票据 */
+let currentTicket = ''
+
 /** 企微检测中 */
 const wecomChecking = ref(false)
 
@@ -236,10 +243,8 @@ async function checkWecomClient(): Promise<void> {
     // 首先尝试使用 UA 检测
     const isWxWork = /wxwork/i.test(navigator.userAgent)
 
-    // 不在企微环境，直接显示账号密码登录
+    // 不在企微环境
     if (!isWxWork) {
-      showLoginOptions.value = false
-      showPasswordPanel.value = true
       wecomChecking.value = false
       return
     }
@@ -256,7 +261,7 @@ async function checkWecomClient(): Promise<void> {
           params: { url: currentUrl }
         })
 
-        const jsConfig = configResponse
+        const jsConfig: any = configResponse
         console.log('[Admin Login] 获取到企微 JS-SDK 配置:', jsConfig)
 
         // 使用 wx.config 配置企微 JS-SDK
@@ -296,34 +301,26 @@ async function checkWecomClient(): Promise<void> {
           const roleResponse = await apiClient.get('/wecom/check-role', {
             params: { userid: userId }
           })
-          const roleData = roleResponse
+          const roleData: any = roleResponse
           console.log('[Admin Login] 用户角色:', roleData)
 
           // 如果是管理员，显示免密登录选项
           if (roleData.role === 'admin') {
-            showLoginOptions.value = true
-            showPasswordPanel.value = false
+            // 企微内管理员可免密登录（按钮将显示在顶部）
           } else {
-            // 非管理员，显示普通登录
-            showLoginOptions.value = false
-            showPasswordPanel.value = true
+            // 非管理员，使用二维码和密码登录
           }
         }
       } catch (e) {
+        // 检测失败，显示普通登录
         console.warn('[Admin Login] 企微 JS-SDK 检测失败:', e)
-        // 检测失败，显示登录选项
-        showLoginOptions.value = true
-        showPasswordPanel.value = true
       }
     } else {
       // 没有企微 JS-SDK
-      showLoginOptions.value = true
-      showPasswordPanel.value = true
+      console.log('[Admin Login] 无企微 JS-SDK，使用默认登录')
     }
   } catch (error) {
     console.error('企微客户端检测失败:', error)
-    showLoginOptions.value = false
-    showPasswordPanel.value = true
   } finally {
     wecomChecking.value = false
   }
@@ -338,14 +335,12 @@ async function handleWecomQuickLogin(): Promise<void> {
   try {
     const apiClient = (await import('@/api')).default
 
-    // 调用后端企微免密登录接口
-    const response = await apiClient.post('/auth_wecom/jsdk-login', {
+    // 拦截器已统一返回 inner data（CTRT-03），response 即 {token, employee_id, name, ...}
+    const result: any = await apiClient.post('/auth_wecom/jsdk-login', {
       userid: wecomUserId.value,
       login_source: 'wecom_jsdk_admin'
     })
 
-    const result = response
-
     if (result?.token) {
       const { token, employee_id, name } = result
 
@@ -373,36 +368,72 @@ async function handleWecomQuickLogin(): Promise<void> {
 }
 
 /**
- * 显示扫码登录
+ * 获取扫码登录二维码
  */
-async function showQrLogin(): Promise<void> {
-  showLoginOptions.value = false
-  showQrPanel.value = true
-  showPasswordPanel.value = false
-
-  // 获取二维码
+async function fetchQrCode(): Promise<void> {
+  qrLoading.value = true
   try {
     const apiClient = (await import('@/api')).default
-    const response = await apiClient.post('/auth_qrcode/create')
-    const result = response
-    if (result.code === 0) {
-      qrCode.value = result.data.qrcode_png_base64
-        ? `data:image/png;base64,${result.data.qrcode_png_base64}`
-        : result.data.qrcode_url
+    const result: any = await apiClient.post('/auth_qrcode/create')
+    if (result.qrcode_png_base64) {
+      qrCode.value = `data:image/png;base64,${result.qrcode_png_base64}`
+    } else if (result.qrcode_url) {
+      qrCode.value = result.qrcode_url
+    }
+    // 保存票据并启动轮询
+    if (result.ticket) {
+      currentTicket = result.ticket
+      startPolling()
     }
   } catch (error) {
     console.error('获取二维码失败:', error)
+  } finally {
+    qrLoading.value = false
   }
 }
 
 /**
- * 显示账号密码登录
+ * 轮询扫码状态
  */
-function showPasswordLogin(): Promise<void> {
-  showLoginOptions.value = false
-  showQrPanel.value = false
-  showPasswordPanel.value = true
-  return Promise.resolve()
+async function pollQrCode(): Promise<void> {
+  if (!currentTicket) return
+  try {
+    const apiClient = (await import('@/api')).default
+    const result: any = await apiClient.get(`/auth_qrcode/poll/${currentTicket}`)
+    if (!result) return
+
+    const { status, token, employee_id, name } = result
+
+    if (status === 'confirmed' && token) {
+      stopPolling()
+      localStorage.setItem('admin_token', token)
+      if (employee_id) localStorage.setItem('admin_user_id', employee_id)
+      adminStore.token = token
+      adminStore.adminUserId = employee_id
+      ElMessage.success('扫码登录成功')
+      router.push('/')
+    } else if (status === 'expired') {
+      stopPolling()
+      qrCode.value = ''
+      ElMessage.warning('二维码已过期，请刷新')
+    }
+  } catch (error) {
+    console.warn('轮询扫码状态失败:', error)
+  }
+}
+
+/** 启动轮询（每 2 秒） */
+function startPolling(): void {
+  stopPolling()
+  pollTimer = setInterval(pollQrCode, 2000)
+}
+
+/** 停止轮询 */
+function stopPolling(): void {
+  if (pollTimer) {
+    clearInterval(pollTimer)
+    pollTimer = null
+  }
 }
 
 /**
@@ -435,9 +466,15 @@ async function handleLogin(): Promise<void> {
   }
 }
 
-// 页面加载时检测企微客户端状态
+// 页面加载时检测企微客户端状态 + 获取二维码
 onMounted(() => {
   checkWecomClient()
+  fetchQrCode()
+})
+
+// 页面卸载时停止轮询
+onUnmounted(() => {
+  stopPolling()
 })
 </script>
 
@@ -590,4 +627,43 @@ onMounted(() => {
   color: var(--text-muted);
   margin-bottom: 12px;
 }
+
+/* 二维码容器 */
+.qr-container {
+  margin-bottom: 12px;
+}
+
+.qr-error {
+  color: var(--text-muted);
+  text-align: center;
+  padding: 20px 0;
+}
+
+/* 分隔线 */
+.divider {
+  display: flex;
+  align-items: center;
+  margin: 16px 0;
+  color: var(--text-muted);
+  font-size: 13px;
+}
+.divider::before,
+.divider::after {
+  content: '';
+  flex: 1;
+  border-bottom: 1px solid var(--border);
+}
+.divider span {
+  padding: 0 12px;
+}
+
+/* 账号密码登录按钮 */
+.password-login-btn {
+  width: 100%;
+}
+
+/* 账号密码登录面板 */
+.password-login {
+  margin-top: 8px;
+}
 </style>

frontend-admin/src/views/MfaManage.vue

@@ -1,20 +1,20 @@
 <!--
 =============================================================================
-企微IT智能服务台 — MFA 管理页 (Phase 2.4, task #20)
+企微IT智能服务台 — OTP 管理页 (Phase 2.4, task #20 → 迁移)
 =============================================================================
-说明:管理员管理所有用户 MFA 绑定的页面
+说明:管理员管理所有用户 OTP 绑定的页面
 
   功能:
-    - 表格列出所有用户的 MFA 状态(已绑/未绑)
+    - 表格列出所有用户的 OTP 状态(已绑/未绑)
     - 搜索(姓名/employee_id)+ 过滤(已绑/未绑/全部)+ 分页
-    - "重置 MFA" 按钮 → 调 POST /api/admin/mfa/reset/{employee_id}
+    - "清除绑定" 按钮 → 调 POST /api/auth/otp-admin-reset/{employee_id}
       (无 OTP 验证,管理员特权,用于员工丢手机兜底)
-    - 重置前 ElMessageBox 二次确认(防误操作)
+    - 清除前 ElMessageBox 二次确认(防误操作)
 
   设计要点:
     - 不在表格里直接显示 secret(安全考虑)
     - 状态列用 el-tag 颜色区分:已绑=success,未绑=info
-    - 重置按钮在已绑行才显示(未绑无需重置)
+    - 清除按钮仅在 mfa_enabled=true 时显示(未绑无需清除)
     - "最近验证时间"列给管理员做审计参考
 -->
 <template>
@@ -22,8 +22,8 @@
     <!-- 页面标题 -->
     <div class="page-header">
       <div>
-        <div class="page-title">MFA 管理</div>
-        <div class="page-desc">管理所有用户的动态令牌(MFA)绑定状态,丢手机兜底重置</div>
+        <div class="page-title">OTP 管理</div>
+        <div class="page-desc">管理所有用户的动态令牌(OTP)绑定状态,丢手机兜底清除</div>
       </div>
     </div>
 
@@ -68,7 +68,7 @@
     </div>
 
     <!-- ============================================================ -->
-    <!-- 用户 MFA 状态表格 -->
+    <!-- 用户 OTP 状态表格 -->
     <!-- ============================================================ -->
     <div class="data-table-wrapper">
       <el-table
@@ -99,16 +99,16 @@
             <span v-if="!row.roles || row.roles.length === 0" class="text-muted">—</span>
           </template>
         </el-table-column>
-        <el-table-column label="MFA 状态" min-width="100">
+        <el-table-column label="OTP 状态" min-width="100">
           <template #default="{ row }">
-            <el-tag :type="row.bound ? 'success' : 'info'" size="small">
-              {{ row.bound ? '已绑定' : '未绑定' }}
+            <el-tag :type="row.mfa_enabled ? 'success' : 'info'" size="small">
+              {{ row.mfa_enabled ? '已绑定' : '未绑定' }}
             </el-tag>
           </template>
         </el-table-column>
-        <el-table-column prop="bound_at" label="首次绑定时间" min-width="160">
+        <el-table-column prop="mfa_bound_at" label="首次绑定时间" min-width="160">
           <template #default="{ row }">
-            <span v-if="row.bound_at">{{ formatTime(row.bound_at) }}</span>
+            <span v-if="row.mfa_bound_at">{{ formatTime(row.mfa_bound_at) }}</span>
             <span v-else class="text-muted">—</span>
           </template>
         </el-table-column>
@@ -121,14 +121,14 @@
         <el-table-column label="操作" width="140" fixed="right">
           <template #default="{ row }">
             <el-button
-              v-if="row.bound"
+              v-if="row.mfa_enabled"
               type="danger"
               size="small"
               link
               :disabled="resettingId === row.employee_id"
               @click="handleResetMfa(row)"
             >
-              {{ resettingId === row.employee_id ? '重置中...' : '重置 MFA' }}
+              {{ resettingId === row.employee_id ? '清除中...' : '清除绑定' }}
             </el-button>
             <span v-else class="text-muted">无需操作</span>
           </template>
@@ -168,7 +168,7 @@ import type { MfaUserStatus } from '@/api/mfa'
 // ============================================================================
 const loading = ref<boolean>(false)
 const users = ref<MfaUserStatus[]>([])
-const resettingId = ref<string>('')  // 正在重置的 employee_id(给按钮 loading 用)
+const resettingId = ref<string>('')  // 正在清除的 employee_id(给按钮 loading 用)
 
 const filters = reactive({
   keyword: '',
@@ -185,10 +185,10 @@ const pagination = reactive({
 // 计算:已绑/未绑数量(基于当前页数据)
 // ============================================================================
 const boundCount = computed<number>(() =>
-  users.value.filter((u) => u.bound).length
+  users.value.filter((u) => u.mfa_enabled).length
 )
 const unboundCount = computed<number>(() =>
-  users.value.filter((u) => !u.bound).length
+  users.value.filter((u) => !u.mfa_enabled).length
 )
 
 // ============================================================================
@@ -216,7 +216,7 @@ async function loadUsers(): Promise<void> {
     // 静默失败,使用空数据
     users.value = []
     pagination.total = 0
-    const msg = err?.response?.data?.message || err?.message || '加载用户 MFA 列表失败'
+    const msg = err?.response?.data?.message || err?.message || '加载用户 OTP 列表失败'
     ElMessage.error(msg)
   } finally {
     loading.value = false
@@ -244,18 +244,18 @@ function handleSizeChange(): void {
 }
 
 /**
- * 重置指定用户的 MFA
+ * 清除指定用户的 OTP 绑定
  * 二次确认 → 调 API → 刷新列表
  */
 async function handleResetMfa(row: MfaUserStatus): Promise<void> {
   const name = row.name || row.employee_id
   try {
     await ElMessageBox.confirm(
-      `确认重置 ${name} 的 MFA 绑定?\n\n重置后该用户需要重新绑定才能使用 MFA 功能(用于员工丢手机兜底)。\n此操作不可恢复,请谨慎操作。`,
-      '重置 MFA 确认',
+      `确认清除 OTP 绑定？\n\n坐席「${name} (${row.employee_id})」的 OTP 二次验证将被清除。\n该坐席下次登录时需重新绑定。`,
+      '清除 OTP 绑定确认',
       {
         type: 'warning',
-        confirmButtonText: '确认重置',
+        confirmButtonText: '确认清除',
         cancelButtonText: '取消',
         confirmButtonClass: 'el-button--danger',
       }
@@ -268,11 +268,11 @@ async function handleResetMfa(row: MfaUserStatus): Promise<void> {
   resettingId.value = row.employee_id
   try {
     await resetMfa(row.employee_id)
-    ElMessage.success(`已重置 ${name} 的 MFA 绑定`)
+    ElMessage.success(`已清除 ${name} 的 OTP 绑定`)
     // 刷新当前页
     await loadUsers()
   } catch (err: any) {
-    const msg = err?.response?.data?.message || err?.message || '重置失败'
+    const msg = err?.response?.data?.message || err?.message || '清除失败'
     ElMessage.error(msg)
   } finally {
     resettingId.value = ''

frontend-admin/src/views/Roles.vue

@@ -350,6 +350,7 @@ import {
   assignRole,
   revokeRole,
   getRoleMappingRules,
+  getUserRoleAssignments,
   createRoleMappingRule,
   deleteRoleMappingRule,
 } from '@/api/admin'
@@ -409,14 +410,15 @@ const ruleForm = reactive({
 onMounted(async () => {
   loading.value = true
   try {
-    const [rolesRes, rulesRes] = await Promise.all([
+    const [rolesRes, rulesRes, userRolesRes] = await Promise.all([
       getRoles(),
       getRoleMappingRules(),
+      getUserRoleAssignments(),
     ])
     roles.value = rolesRes.data.data
     mappingRules.value = rulesRes.data.data
+    userRoles.value = userRolesRes.data.data || []
   } catch {
-    // 使用默认 demo 数据
     roles.value = getDefaultRoles()
     mappingRules.value = getDefaultMappingRules()
   } finally {
@@ -657,12 +659,14 @@ async function handleDeleteRule(rule: RoleMappingRule): Promise<void> {
 /** 刷新全部数据 */
 async function loadData(): Promise<void> {
   try {
-    const [rolesRes, rulesRes] = await Promise.all([
+    const [rolesRes, rulesRes, userRolesRes] = await Promise.all([
       getRoles(),
       getRoleMappingRules(),
+      getUserRoleAssignments(),
     ])
     roles.value = rolesRes.data.data
     mappingRules.value = rulesRes.data.data
+    userRoles.value = userRolesRes.data.data || []
   } catch {
     // 静默失败，保留现有数据
   }