fix(qa): 第五轮系统性质量保障缺陷修复 + 单元/集成测试

安全/鉴权：登出清服务端 httpOnly 令牌、登录 IP 限流前置 bcrypt、停用账号
令牌在 6 个内联 role handler 失效、admin/items 存在性 oracle 认证前置、
同意偏好 sanitize fail-closed、api-crypto 按 HTTP 方法判体。

CMS：workflow 状态更新+审计收进交互式 $transaction（失败即回滚）、编辑器
richtext 走 textarea 防换行损毁、array/object 子字段按作用域读写防污染、
about/contact/erp-upgrade 补 ISR revalidate 与路由映射。

UI/a11y：AnimatedCounter 入视口前显起点、CLS 累计上报、MetricCard 动画入
effect 并卸载取消 rAF、后台状态四态映射/搜索防抖+序号守卫/媒体单 input/
吞错改横幅/表单 label-aria 关联。

新增对应判别性单测与 pagination/rate-limit/client-ip/sanitize/validate-content-data
等模块及 tests-integration 真库集成层。

src/app/api/admin/stats/route.ts

@@ -1,13 +1,16 @@
 import { NextRequest } from 'next/server';
 import { prisma } from '@/lib/db';
-import { authenticateRequest } from '@/lib/auth';
-import { success, unauthorized, internalError } from '@/lib/api-response';
+import { requirePermission } from '@/lib/permissions';
+import { success, internalError } from '@/lib/api-response';
 import { withCrypto } from '@/lib/api-crypto';
 
 // GET /api/admin/stats - 获取仪表盘统计数据
 export const GET = withCrypto(async (request: NextRequest) => {
-  const user = authenticateRequest(request);
-  if (!user) return unauthorized();
+  // 原实现只验「有没有会话」，而本路由会返回跨全部模型的最近内容条目（title/modelCode/status），
+  // 任何登录账号（含零权限角色）都能读到受保护草稿 ⇒ 升级为 content-model 读权限（N-19）。
+  const permission = await requirePermission(request, 'content-model', 'read');
+  if ('response' in permission) return permission.response;
+  const user = permission.user;
 
   try {
     const [modelCount, itemCount, zoneCount, userCount, pendingReviewCount, unreadCount] = await Promise.all([