feat(server): 用户管理与变更历史接口；修复 result_revisions.parent_id 从未写入

server/internal/httpapi/server.go

@@ -207,6 +207,16 @@ func (s *server) routes(mux *http.ServeMux) {
 	mux.HandleFunc("GET /api/audit-logs", s.read(auth.RoleAdmin, s.listAuditLogsHandler))
 	mux.HandleFunc("POST /api/backup", s.write(auth.RoleAdmin, s.backupHandler))
 
+	// 用户管理（系统配置，仅 admin；guest 读 403、写 401）
+	mux.HandleFunc("GET /api/users", s.read(auth.RoleAdmin, s.listUsersHandler))
+	mux.HandleFunc("POST /api/users", s.write(auth.RoleAdmin, s.createUserHandler))
+	mux.HandleFunc("PUT /api/users/{id}", s.write(auth.RoleAdmin, s.updateUserHandler))
+	mux.HandleFunc("POST /api/users/{id}/password", s.write(auth.RoleAdmin, s.resetUserPasswordHandler))
+
+	// 变更历史（recorder 及以上可读）
+	mux.HandleFunc("GET /api/revisions", s.read(auth.RoleRecorder, s.listRevisionsHandler))
+	mux.HandleFunc("GET /api/revisions/{id}", s.read(auth.RoleRecorder, s.getRevisionDetailHandler))
+
 	// 由其他模块负责的接口：先占位，避免落到静态资源处理器。
 	mux.HandleFunc("/api/export/", s.notWired("导出"))
 	mux.HandleFunc("/api/rules/", s.notWired("规则导入导出"))