[bug] user date issue and permissions

[miraserver]

1. Date account issue.
   Clear data not save by admin. If u set up date of account issue unlimited by default and next setup, example 22/11/25 save it
   after want clear (make unlimited back) so u go to account and set back to dd/mm/year - new setup not saved. U cant setup account again as unlimited. Think is bug

2. User Permission.
   I don't know maybe this can be normal but its strange. User can setup ur self account and have all permissions like

• data of issue (he can setup or delete date of issue (delete date not work)
• limits (he can setup new limits
• setting of ur token, web access and etc

and he have permission ADD NEW TOKENS 2 levels. Mean here will be one MAIN limits for both tokens? Or...

[claude]

感谢反馈！我已经分析了这两个问题：

问题 1：日期清除无法保存

问题原因：前端表单使用空字符串表示"永不过期"，但实际需要传递 undefined 或 null 才能清除数据库中的日期字段。

目前的逻辑流程：

• 用户清空日期输入框 → 表单值为空字符串 ""
• KeyFormSchema 的 transform 将空字符串转为 undefined ✅
• editKey action 接收到 undefined 后传递给 repository ✅
• 问题所在：src/actions/keys.ts:117 只在值不为 undefined 时才更新数据库

解决方案：修改 src/repository/key.ts:107 的判断逻辑，允许 undefined 值清除日期字段。

问题 2：普通用户权限过大

经过代码审查，我发现当前系统的权限控制是正确的：

后端权限保护（Server Actions）

在 src/actions/keys.ts 中：

• 添加 Key（第 40 行）：用户只能给自己添加 Key，管理员可以给所有人添加
• 编辑 Key（第 109 行）：用户只能编辑自己的 Key，管理员可以编辑所有 Key
• 删除 Key（第 147 行）：用户只能删除自己的 Key，管理员可以删除所有 Key

前端 UI 权限控制

在 src/app/dashboard/_components/user/key-actions.tsx:22-29 中：

// 权限检查：只有管理员或Key的拥有者才能编辑/删除
const canManageKey =
  currentUser && (currentUser.role === "admin" || currentUser.id === keyOwnerUserId);

// 如果没有权限，不显示任何操作按钮
if (!canManageKey) {
  return null;
}

实际行为

普通用户看到的所有设置项（日期、限额、Web UI 登录权限等）都是自己账户的设置，这是设计上的预期行为：

• ✅ 用户可以管理自己的 Key（添加、编辑、删除）
• ✅ 用户可以设置自己 Key 的过期时间和限额
• ❌ 用户无法修改自己的用户级别配置（RPM、每日额度、供应商分组）
• ❌ 用户无法看到或管理其他用户的 Key

这种设计允许用户自主管理自己的 API Key，是合理的权限模型。如果需要完全禁止用户自行管理，需要重新设计权限系统。

---

您提到的"用户可以修改所有设置"可能是误解。请确认：

1. 普通用户登录后是否能看到其他用户的数据？（不应该）
2. 普通用户是否能修改用户级别的配置（RPM、每日额度）？（不应该）

如果确实存在权限泄露，请提供更详细的复现步骤（如截图显示普通用户修改了其他用户的数据）。

我会先修复问题 1（日期清除），然后根据您的反馈决定是否调整权限策略。