服务端强制降级注册 role — 防御 admin/teacher 注册漏洞

症状

根因

错误签名

fix(p1-1): 服务端强制降级注册 role — 防御 admin/teacher 注册漏洞 === 漏洞 ===
POST /auth/register 直接把 UserCreate 里的 role 字段传给 store.create()，
客户端可以发 {username:'hacker', role:'admin'} 直接注册管理员。

注释里写了'普通注册只能选 student'但没实现。

=== 修复 ===
auth_api.py register() 第一行加 data.role = UserRole.STUDENT
客户端提交的 role 一律忽略，服务端强制降级。

=== 测试 ===
- test_201_admin_role_ignored: role=admin → 返回 + 存储层均为 STUDENT
- test_201_teacher_role_ignored: role=teacher → 同上
- 全量 pytest: 378 passed (原 376 + 新 2)

技术信息