refactor(后端): 清掉 Django 遗留的死列与手工级联，角色字符串收成一份

三条迁移，一次部署（0008/0009 含 DROP COLUMN，需要 OJ2_ALLOW_DESTRUCTIVE=1）：

- 0008 删 IP 相关：比赛 IP 白名单（前端本来就没有输入框，detail.vue 无条件置空）、
  submission.ip（前端从未显示过）、以及一次都没被调用过的 IP 限流桶。
  judge_server.ip 是运维数据，保留。
- 0009 删九个只有 Django 时代写过、OJ2 一次都没读过的列：user 的 auth_token /
  open_api / open_api_appkey / session_keys，user_profile 的 blog / github /
  school / major / language。open_api 后台连开关都没有，那段「已经开着就不重置
  appkey」的逻辑从上线起没进过 if。判据是「全仓零读取」而不是「看着没用」——
  raw_password 同样刺眼却是在用的，别一起清掉。
- 0010 给 17 条外键补上删除动作，不再是 Django 留下的一律 NO ACTION。父行消失后
  必然无意义、且不构成学生留痕的走 CASCADE（中间表、题单/教程/成就的组成部分、
  user_profile 与 user_stat）；需要人看见的继续拦着——submission.problem_id、
  以及 user 的绝大多数外键，删用户撞外键会被 handler 翻译成「请改为禁用账号」，
  这是有意的：全 CASCADE 会静默抹掉成就与进度，而 submission.user_id 压根没有
  外键，结果是一半删一半留。六处手工级联随之删掉。

角色字符串收进 packages/contract/src/roles.ts：原先 ADMIN_ROLES / TEACHER_ROLES
在两个文件各抄一份、学生口径在四个文件各写一遍、前端 USER_TYPE 是第三份副本。
AuthUser.adminType 与 drizzle 的列都收窄成联合类型，二十多处 `=== "Super Admin"`
从此受编译器管着（$type 是纯 TS 层的，generate 确认不产生任何 SQL 变更）。

顺带删掉 db/relations.ts —— drizzle-kit pull 的产物，全仓零引用。

一处行为变化：后台用户列表传非法的 ?type= 回 400，不再静默返回空列表；界面上的
下拉只有合法值，打不到这条。

验证：tsc / vue-tsc / vite build / check:routes 全过；三条迁移在 dev 库执行，
并逐条建 fixture 走 HTTP 接口验过删除连坐与拦截（题单五张子表连坐、user_badge
二级连坐、删有提交的题目仍 409、删有表情的用户仍 409）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01AeJoYc2t2d7cThVqMBYrBF

apps/web/src/admin/api.ts

@@ -175,7 +175,6 @@ export function editUser(user: User) {
     problemPermission: user.problemPermission,
     realName: user.realName ?? null,
     isDisabled: user.isDisabled,
-    openApi: user.openApi,
     password: user.password ?? "",
   })
 }
@@ -312,7 +311,6 @@ function toContestBody(contest: Contest | BlankContest) {
     endTime: contest.endTime,
     password: contest.password || null,
     visible: contest.visible,
-    allowedIpRanges: contest.allowedIpRanges ?? [],
   }
 }
 

apps/web/src/admin/contest/detail.vue

@@ -58,7 +58,6 @@ const contest = reactive<BlankContest & { id: number }>({
   endTime: "",
   password: "",
   visible: false,
-  allowedIpRanges: [],
 })
 
 async function getContestDetail() {
@@ -79,7 +78,6 @@ async function getContestDetail() {
   contest.endTime = data.endTime
   contest.password = data.password
   contest.visible = data.visible
-  contest.allowedIpRanges = []
 
   // 显示
   startTime.value = Date.parse(data.startTime)

apps/web/src/admin/user/list.vue

@@ -183,7 +183,6 @@ function createNewUser() {
     problemPermission: "None",
     createTime: null,
     lastLogin: null,
-    openApi: false,
     isDisabled: false,
     rawPassword: null,
     className: null,

apps/web/src/utils/constants.ts

@@ -132,18 +132,9 @@ export const CONTEST_STATUS: {
   },
 }
 
-export const USER_TYPE = {
-  REGULAR_USER: "Regular User",
-  STUDENT_ADMIN: "Student Admin",
-  TEACHER_ADMIN: "Teacher Admin",
-  SUPER_ADMIN: "Super Admin",
-}
-
-export const PROBLEM_PERMISSION = {
-  NONE: "None",
-  OWN: "Own",
-  ALL: "All",
-}
+// 角色与题目权限的字符串在 `@oj2/contract` 的 roles.ts 定义，这里只是转出去，
+// 调用方照旧写 `USER_TYPE.SUPER_ADMIN`。原先这里是这批字符串的第三份手抄副本。
+export { USER_TYPE, PROBLEM_PERMISSION } from "@oj2/contract"
 
 export const STORAGE_KEY = {
   AUTHED: "authed",

apps/web/src/utils/functions.ts

@@ -1,3 +1,4 @@
+import { toAdminType } from "@oj2/contract"
 import { getTime, intervalToDuration, parseISO, type Duration } from "date-fns"
 import { User } from "./types"
 import { USER_TYPE } from "./constants"
@@ -176,7 +177,9 @@ export function getUserRole(role: User["adminType"]): {
     },
   }
 
-  return roleMap[role] || roleMap[USER_TYPE.REGULAR_USER]
+  // role 是从接口来的裸字符串，toAdminType 把认不出来的值归到「普通」，
+  // 归一逻辑和后端共用同一个函数（@oj2/contract 的 roles.ts）
+  return roleMap[toAdminType(role)]
 }
 
 export function unique<T>(arr: T[]): T[] {

apps/web/src/utils/types.ts

@@ -360,7 +360,7 @@ export type {
 /** 后台比赛。oj 侧的 contestSchema 永远不含 password，后台要能看到（告诉学生） */
 export type Contest = AdminContest
 
-/** 学生侧的比赛：不含 password / visible / allowedIpRanges */
+/** 学生侧的比赛：不含 password / visible */
 export type { Contest as OjContest } from "@oj2/contract"
 
 export type BlankContest = Omit<