fix(auth): 登录速率限制与用户会话隔离增强

- auth_routes: 新增内存级登录速率限制（5min/10次），防止暴力破解
- auth_routes: 统一 DEV_MODE 判断收归 config.py 集中管理
- auth_routes: update_user 增加用户存在性校验
- gateway: require_role 装饰器恢复实际角色校验（原为占位实现）
- session_routes: get_user_sessions 统一传入 limit=20 参数
- session: get_history SQL 增加 id DESC 排序，修复同秒消息顺序错乱

🤖 Generated with [Qoder][https://qoder.com]

auth/gateway.py

@@ -20,12 +20,12 @@
 
 ## 模式说明
 
-开发模式 (DEV_MODE=true，默认):
+开发模式 (DEV_MODE=true):
 - 支持 mock token 模拟用户：Authorization: Bearer mock-token-admin
 - 无 Header 时自动使用开发测试用户
 - 适用于前端测试和开发调试
 
-生产模式 (DEV_MODE=false):
+生产模式 (DEV_MODE=false，默认):
 - 不需要 Header，直接放行
 - 权限由后端完全控制，通过 collections 参数传入
 - RAG 服务完全无状态，只负责问答检索
@@ -34,17 +34,11 @@
 from functools import wraps
 from flask import request, jsonify
 from typing import Dict, Optional
-import os
-from pathlib import Path
-from dotenv import load_dotenv
-
-# 加载 .env 文件（从项目根目录）
-env_path = Path(__file__).parent.parent / '.env'
-load_dotenv(env_path)
+from config import DEV_MODE
 
 
 # ==================== 模拟用户数据（开发环境）====================
-# 用于前端模拟登录测试，仅 DEV_MODE=true 时生效
+# 用于前端模拟登录测试，仅 DEV_MODE=true 时生效（需在 .env 中显式开启）
 MOCK_USERS = {
     'admin': {
         'user_id': 'admin001',
@@ -83,19 +77,19 @@ def require_gateway_auth(f):
     """
     网关认证装饰器 - 从 Header 读取用户信息
 
-    开发模式 (DEV_MODE=true，默认):
+    开发模式 (DEV_MODE=true):
     - 支持 mock token: Authorization: Bearer mock-token-admin
     - 无 Header 时自动使用开发测试用户（admin 角色）
 
-    生产模式 (DEV_MODE=false):
+    生产模式 (DEV_MODE=false，默认):
     - 不需要 Header，直接放行
     - 用户信息设为默认值
     - 权限由后端通过 collections 参数控制
     """
     @wraps(f)
     def decorated(*args, **kwargs):
-        # 开发模式开关（默认开启，生产环境设置 DEV_MODE=false）
-        dev_mode = os.environ.get('DEV_MODE', 'true').lower() != 'false'
+        # 开发模式开关（统一由 config.py 管理）
+        dev_mode = DEV_MODE
 
         # 开发模式：支持 mock token
         if dev_mode:
@@ -202,11 +196,24 @@ def can_delete_collection(role: str) -> bool:
 
 def require_role(*roles):
     """
-    兼容旧代码 - 权限由后端管理，此装饰器不再执行权限验证
+    角色验证装饰器（开发和生产环境均生效）
+
+    需搭配 @require_gateway_auth 使用（先设置 current_user，再验证角色）。
+
+    开发模式: 检查 mock token 对应用户的角色
+    生产模式: 检查网关注入的 X-User-Role Header
     """
     def decorator(f):
         @wraps(f)
         def decorated(*args, **kwargs):
+            if roles:
+                user = get_current_user()
+                if user is None or user.get('role') not in roles:
+                    from flask import jsonify
+                    return jsonify({
+                        "error": "权限不足，需要角色: {}".format(', '.join(roles)),
+                        "status": "FORBIDDEN"
+                    }), 403
             return f(*args, **kwargs)
         return decorated
     return decorator
@@ -214,11 +221,12 @@ def require_role(*roles):
 
 def require_collection_permission(operation: str):
     """
-    兼容旧代码 - 权限由后端管理，此装饰器不再执行权限验证
+    集合权限验证装饰器（开发模式下为占位实现，生产环境权限由网关控制）
     """
     def decorator(f):
         @wraps(f)
         def decorated(*args, **kwargs):
+            # 生产环境下权限由网关/后端统一管控，此处放行
             return f(*args, **kwargs)
         return decorated
     return decorator