feat: 大量优化和bug修复

server/utils/auth.ts

@@ -4,7 +4,6 @@ import { randomBytes } from "node:crypto";
 import { betterAuth } from "better-auth";
 import { prismaAdapter } from "better-auth/adapters/prisma";
 import type { H3Event } from "h3";
-import { toWebRequest } from "h3";
 
 import { prisma } from "~~/server/utils/db";
 
@@ -36,6 +35,12 @@ export const auth = betterAuth({
         required: false,
         // 客户端（signup/updateUser）不能设置此字段，只由 databaseHooks 写入
         input: false
+      },
+      role: {
+        type: "string",
+        required: false,
+        // 角色只由服务端管理员设置，不允许客户端修改
+        input: false
       }
     }
   },
@@ -60,8 +65,24 @@ export const auth = betterAuth({
 /**
  * 从 H3 事件中读取 Better Auth session
  *
- * 封装 toWebRequest 转换，避免在每个 handler 中重复导入和调用
+ * 只复制 headers，不调用 toWebRequest(event)。
+ * 对 POST/PUT 请求，toWebRequest 会包装 body stream；全局鉴权中调用后，
+ * 后续 handler 再 readBody(event) 可能长时间挂起。
  * 未登录或 session 无效时返回 null
  */
+const getHeaderSnapshot = (event: H3Event) => {
+  const headers = new Headers();
+
+  for (const [key, value] of Object.entries(event.node.req.headers)) {
+    if (Array.isArray(value)) {
+      for (const item of value) headers.append(key, item);
+    } else if (value !== undefined) {
+      headers.set(key, value);
+    }
+  }
+
+  return headers;
+};
+
 export const getAuthSession = (event: H3Event) =>
-  auth.api.getSession({ headers: toWebRequest(event).headers });
+  auth.api.getSession({ headers: getHeaderSnapshot(event) });