diff --git a/app/admin/events/AdminGuard.tsx b/app/admin/events/AdminGuard.tsx
index 1f558eb5..e2a805fa 100644
--- a/app/admin/events/AdminGuard.tsx
+++ b/app/admin/events/AdminGuard.tsx
@@ -3,13 +3,17 @@
 /**
  * 前端管理员页的权限包装器。
  *
- * 做的事：
+ * 行为：
  * - 未登录：跳 /login
- * - 登录但不是 admin：渲染 403 提示
- * - 是 admin：渲染 children
+ * - 登录但不满足 required 角色：渲染 403 提示
+ * - 通过：渲染 children
  *
- * 注意这个只是 UX 层的保护——真正的安全由后端 @SaCheckRole("admin") 兜底。
- * 用户只要能绕过这里也拿不到数据，后端直接返回 401/403。
+ * required 取值：
+ *   "admin"      → roles 包含 admin（superadmin 也通过，因为他们 roles 里也会带 admin）
+ *   "superadmin" → roles 必须包含 superadmin
+ *
+ * 这个只是 UX 层保护——真正的安全由后端 @SaCheckRole(...) 兜底，绕过 UI
+ * 也拿不到数据。
  */
 
 import { useEffect } from "react";
@@ -17,13 +21,23 @@ import { useRouter } from "next/navigation";
 import { useAuth } from "@/lib/use-auth";
 import type { ReactNode } from "react";
 
-export function AdminGuard({ children }: { children: ReactNode }) {
+interface Props {
+  children: ReactNode;
+  /** 默认 "admin"（事件管理等通用后台页）；用户管理页传 "superadmin" */
+  required?: "admin" | "superadmin";
+}
+
+export function AdminGuard({ children, required = "admin" }: Props) {
   const { user, status } = useAuth();
   const router = useRouter();
 
   useEffect(() => {
     if (status === "unauthenticated") {
-      router.replace("/login?next=/admin/events");
+      // 注意：登录页 / SignInButton 当前没实现 next 参数透传（走 GitHub OAuth
+      // 走 /oauth/render/github，回调后固定落在首页 #token=xxx）。这里就不带
+      // ?next=，避免"看起来支持其实不生效"的迷惑。登录成功后用户需自己再点
+      // 个人主页里的"管理员界面"按钮返回这里。
+      router.replace("/login");
     }
   }, [status, router]);
 
@@ -39,18 +53,24 @@ export function AdminGuard({ children }: { children: ReactNode }) {
 
   if (status === "unauthenticated") return null;
 
-  const isAdmin = user?.roles?.includes("admin") ?? false;
-  if (!isAdmin) {
+  const roles = user?.roles ?? [];
+  const passes = required === "superadmin"
+    ? roles.includes("superadmin")
+    : roles.includes("admin"); // superadmin 在 seed 里也会带 admin，所以这里一起通过
+  if (!passes) {
     return (
       <main className="pt-32 pb-16 min-h-screen flex items-center justify-center px-6">
         <div className="max-w-lg border border-[#CC0000] p-8 text-center">
           <div className="font-mono text-[10px] uppercase tracking-[0.3em] text-[#CC0000] mb-3">
             403 · Forbidden
           </div>
-          <h1 className="font-serif text-2xl font-black mb-3">你不是管理员</h1>
+          <h1 className="font-serif text-2xl font-black mb-3">
+            {required === "superadmin" ? "需要超级管理员权限" : "你不是管理员"}
+          </h1>
           <p className="text-sm text-neutral-600 dark:text-neutral-400 leading-relaxed">
-            管理员界面仅对 <code>roles</code> 包含 <code>admin</code>{" "}
-            的账号开放。 如果你认为这是误报，联系站点维护者。
+            {required === "superadmin"
+              ? "此页面仅对 superadmin 开放。如果你认为这是误报，联系站点维护者。"
+              : "管理员界面仅对 roles 包含 admin 的账号开放。如果你认为这是误报，联系站点维护者。"}
           </p>
         </div>
       </main>
diff --git a/app/admin/events/[id]/edit/page.tsx b/app/admin/events/[id]/edit/page.tsx
index 8a367af4..cd09da75 100644
--- a/app/admin/events/[id]/edit/page.tsx
+++ b/app/admin/events/[id]/edit/page.tsx
@@ -21,21 +21,34 @@ interface Param {
 export default function EditEventPage({ params }: Param) {
   // React 19 的 new-style async params：用 use() 同步解包 Promise
   const { id } = use(params);
-  const eventId = Number(id);
+  // 路由参数不受控，可能是 "abc"、"12ab" 之类非法字符串。
+  // 必须"整串都是正整数"严格校验——不能用 parseInt，因为 "12ab" 会被宽松解析成
+  // 12 从而错误编辑到 id=12 的活动。用正则 ^[1-9]\d*$ 拒绝前导零 / 非数字字符 /
+  // 负号 / 小数点，非法时传 null 让下游渲染错误态，不打请求。
+  const eventId = /^[1-9]\d*$/.test(id) ? Number(id) : null;
 
   return (
     <AdminGuard>
-      <EditEventInner eventId={eventId} />
+      <EditEventInner eventId={eventId} rawId={id} />
     </AdminGuard>
   );
 }
 
-function EditEventInner({ eventId }: { eventId: number }) {
+function EditEventInner({
+  eventId,
+  rawId,
+}: {
+  eventId: number | null;
+  rawId: string;
+}) {
   const [event, setEvent] = useState<EventView | null>(null);
-  const [loading, setLoading] = useState(true);
-  const [error, setError] = useState<string | null>(null);
+  const [loading, setLoading] = useState(eventId !== null);
+  const [error, setError] = useState<string | null>(
+    eventId === null ? `非法的活动 id: ${rawId}` : null,
+  );
 
   useEffect(() => {
+    if (eventId === null) return;
     let cancelled = false;
     (async () => {
       try {
@@ -63,7 +76,7 @@ function EditEventInner({ eventId }: { eventId: number }) {
         </Link>
         <header className="mt-4 border-t-4 border-[var(--foreground)] pt-6 mb-8">
           <div className="font-mono text-[10px] uppercase tracking-[0.3em] text-neutral-500">
-            Admin · Events · Edit #{eventId}
+            Admin · Events · Edit #{eventId ?? rawId}
           </div>
           <h1 className="font-serif text-3xl md:text-4xl font-black uppercase mt-2 tracking-tight">
             编辑活动
diff --git a/app/admin/events/layout.tsx b/app/admin/events/layout.tsx
index 5ab7c002..30c8f8b2 100644
--- a/app/admin/events/layout.tsx
+++ b/app/admin/events/layout.tsx
@@ -1,25 +1,11 @@
 import type { ReactNode } from "react";
-import { Header } from "@/app/components/Header";
-import { Footer } from "@/app/components/Footer";
 
 /**
- * Admin 活动后台的共享 layout：
- * 因为 Header / Footer 是 Server Component（用 next-intl 的 getTranslations），
- * 不能直接在 "use client" 的 page.tsx 里渲染（会触发
- * "getTranslations is not supported in Client Components" 500）。
- * 所以把 Header / Footer 提到这个 Server Component layout 里，
- * 让 admin page 自己是纯 client 组件只管渲染内容区。
+ * /admin/events/* 子树的 layout。
+ *
+ * 之前这里单独挂 Header / Footer 是因为当时还没有 /admin/layout.tsx。现在根 admin
+ * 已经有共享 layout，这层只是透传，保留文件是为了 Next 路由分段还能命中。
  */
-export default function AdminEventsLayout({
-  children,
-}: {
-  children: ReactNode;
-}) {
-  return (
-    <>
-      <Header />
-      {children}
-      <Footer />
-    </>
-  );
+export default function AdminEventsLayout({ children }: { children: ReactNode }) {
+  return <>{children}</>;
 }
diff --git a/app/admin/layout.tsx b/app/admin/layout.tsx
new file mode 100644
index 00000000..117aded8
--- /dev/null
+++ b/app/admin/layout.tsx
@@ -0,0 +1,25 @@
+import type { ReactNode } from "react";
+import { Header } from "@/app/components/Header";
+import { Footer } from "@/app/components/Footer";
+
+/**
+ * /admin/* 的共享 layout。
+ *
+ * 和 app/admin/events/layout.tsx 同样的问题：Header / Footer 是 Server Component
+ * （用 next-intl/server.getTranslations），不能嵌在 "use client" 的页面里，否则
+ * 报 "getTranslations is not supported in Client Components" 500。
+ * 提到这一层 Server Component layout，让各个 admin 页面本身保持 client 组件。
+ *
+ * 注意：之前 app/admin/events/layout.tsx 是为 events 子树单独做的。现在引入
+ * /admin 根 layout 之后，二者嵌套 Header / Footer 会重复。events 那层 layout
+ * 相应精简为空透传（见该文件）。
+ */
+export default function AdminLayout({ children }: { children: ReactNode }) {
+  return (
+    <>
+      <Header />
+      {children}
+      <Footer />
+    </>
+  );
+}
diff --git a/app/admin/page.tsx b/app/admin/page.tsx
new file mode 100644
index 00000000..9f51bbf7
--- /dev/null
+++ b/app/admin/page.tsx
@@ -0,0 +1,102 @@
+"use client";
+
+/**
+ * /admin — 管理员后台首页。
+ *
+ * 根据登录用户的 role 决定卡片显隐：
+ *   admin       → 看到"活动管理"
+ *   superadmin  → 额外看到"用户管理"
+ *
+ * 权限由 <AdminGuard required="admin"> 统一把守——superadmin 必然有 admin 角色，
+ * 所以不会被挡；非 admin 直接 403。
+ */
+
+import Link from "next/link";
+import { useAuth } from "@/lib/use-auth";
+import { AdminGuard } from "./events/AdminGuard";
+
+export default function AdminHomePage() {
+  return (
+    <AdminGuard>
+      <AdminHomeInner />
+    </AdminGuard>
+  );
+}
+
+function AdminHomeInner() {
+  const { user } = useAuth();
+  const isSuperadmin = user?.roles?.includes("superadmin") ?? false;
+
+  return (
+    <main className="pt-32 pb-16 bg-[var(--background)] min-h-screen">
+      <div className="max-w-4xl mx-auto px-6 lg:px-8">
+        <header className="border-t-4 border-[var(--foreground)] pt-6 mb-10">
+          <div className="font-mono text-[10px] uppercase tracking-[0.3em] text-neutral-500">
+            Admin · Home
+          </div>
+          <h1 className="font-serif text-3xl md:text-4xl font-black uppercase mt-2 tracking-tight">
+            管理员后台
+          </h1>
+          <p className="mt-3 text-sm text-neutral-600 dark:text-neutral-400 leading-relaxed">
+            选择要管理的模块。真正的权限控制在后端，前端按钮只是入口。
+          </p>
+        </header>
+
+        <div className="grid grid-cols-1 md:grid-cols-2 gap-6">
+          <AdminCard
+            title="活动管理"
+            description="创建、编辑、归档社群活动（Coffee Chat / Mock / Career Journey 等）。"
+            href="/admin/events"
+            badge="Admin+"
+          />
+          {isSuperadmin && (
+            <AdminCard
+              title="用户管理"
+              description="给其他登录用户授予 / 撤销 admin 角色。"
+              href="/admin/users"
+              badge="Superadmin only"
+              accent
+            />
+          )}
+        </div>
+      </div>
+    </main>
+  );
+}
+
+function AdminCard({
+  title,
+  description,
+  href,
+  badge,
+  accent,
+}: {
+  title: string;
+  description: string;
+  href: string;
+  badge: string;
+  accent?: boolean;
+}) {
+  return (
+    <Link
+      href={href}
+      className={`block border p-6 transition-colors group ${
+        accent
+          ? "border-[#CC0000] hover:bg-[#CC0000] hover:text-white"
+          : "border-[var(--foreground)] hover:bg-[var(--foreground)] hover:text-[var(--background)]"
+      }`}
+    >
+      <div
+        className={`font-mono text-[10px] uppercase tracking-[0.3em] mb-2 ${
+          accent ? "text-[#CC0000] group-hover:text-white" : "text-neutral-500 group-hover:text-[var(--background)]"
+        }`}
+      >
+        {badge}
+      </div>
+      <h2 className="font-serif text-xl font-black uppercase tracking-tight mb-2">
+        {title}
+      </h2>
+      <p className="text-sm leading-relaxed opacity-80">{description}</p>
+    </Link>
+  );
+}
diff --git a/app/admin/users/lib.ts b/app/admin/users/lib.ts
new file mode 100644
index 00000000..84e3c447
--- /dev/null
+++ b/app/admin/users/lib.ts
@@ -0,0 +1,63 @@
+"use client";
+
+/**
+ * Admin Users API client（client-only，需要 satoken header）。
+ */
+
+export interface AdminUserView {
+  id: number;
+  username: string;
+  displayName: string | null;
+  email: string | null;
+  avatarUrl: string | null;
+  githubId: number | null;
+  enabled: boolean;
+  roles: string[];
+}
+
+interface ApiResponse<T> {
+  success: boolean;
+  data?: T;
+  message?: string;
+}
+
+function token(): string | null {
+  if (typeof window === "undefined") return null;
+  return localStorage.getItem("satoken");
+}
+
+async function request<T>(url: string, init: RequestInit = {}): Promise<T> {
+  const t = token();
+  const res = await fetch(url, {
+    ...init,
+    headers: {
+      "content-type": "application/json",
+      accept: "application/json",
+      ...(t ? { satoken: t } : {}),
+      ...(init.headers ?? {}),
+    },
+  });
+  const json = (await res.json()) as ApiResponse<T>;
+  if (!res.ok || !json.success) {
+    throw new Error(json.message ?? `请求失败 ${res.status}`);
+  }
+  if (json.data === undefined) {
+    throw new Error("后端返回 success 但没有 data");
+  }
+  return json.data;
+}
+
+export function listAdminUsers(q?: string): Promise<AdminUserView[]> {
+  const qs = q ? `?q=${encodeURIComponent(q)}` : "";
+  return request<AdminUserView[]>(`/api/admin/users${qs}`);
+}
+
+export function setUserAdminRole(
+  userId: number,
+  admin: boolean,
+): Promise<AdminUserView> {
+  return request<AdminUserView>(`/api/admin/users/${userId}/admin`, {
+    method: "PUT",
+    body: JSON.stringify({ admin }),
+  });
+}
diff --git a/app/admin/users/page.tsx b/app/admin/users/page.tsx
new file mode 100644
index 00000000..8a5161b5
--- /dev/null
+++ b/app/admin/users/page.tsx
@@ -0,0 +1,257 @@
+"use client";
+
+/**
+ * /admin/users — 超管用户管理。
+ *
+ * 权限：AdminGuard required="superadmin"。
+ * 功能：
+ *   - 搜索框（按 username / displayName / email 模糊匹配，前端和后端都做）
+ *   - 列表每行一个 checkbox 切换 admin 角色，乐观更新 + 失败回滚
+ *   - superadmin 行禁用 checkbox（产品规则：不通过 API 降级 superadmin）
+ *   - 自己的行禁用 checkbox（防止唯一超管把自己摘 admin 锁死）
+ */
+
+import { useEffect, useMemo, useState } from "react";
+import Link from "next/link";
+import { useAuth } from "@/lib/use-auth";
+import { AdminGuard } from "../events/AdminGuard";
+import { listAdminUsers, setUserAdminRole, type AdminUserView } from "./lib";
+
+export default function AdminUsersPage() {
+  return (
+    <AdminGuard required="superadmin">
+      <AdminUsersInner />
+    </AdminGuard>
+  );
+}
+
+function AdminUsersInner() {
+  const { user: me } = useAuth();
+  const [users, setUsers] = useState<AdminUserView[]>([]);
+  const [loading, setLoading] = useState(true);
+  const [error, setError] = useState<string | null>(null);
+  const [keyword, setKeyword] = useState("");
+  const [togglingId, setTogglingId] = useState<number | null>(null);
+
+  const load = async () => {
+    setLoading(true);
+    setError(null);
+    try {
+      const list = await listAdminUsers();
+      setUsers(list);
+    } catch (e) {
+      setError(e instanceof Error ? e.message : "加载失败");
+    } finally {
+      setLoading(false);
+    }
+  };
+
+  useEffect(() => {
+    void load();
+  }, []);
+
+  // 前端再做一遍模糊过滤，减少输入即时反馈的 API 调用频率
+  const filtered = useMemo(() => {
+    const kw = keyword.trim().toLowerCase();
+    if (!kw) return users;
+    return users.filter((u) =>
+      [u.username, u.displayName, u.email]
+        .filter((v): v is string => typeof v === "string")
+        .some((s) => s.toLowerCase().includes(kw)),
+    );
+  }, [users, keyword]);
+
+  const onToggle = async (u: AdminUserView, nextAdmin: boolean) => {
+    setTogglingId(u.id);
+    // 乐观更新
+    const prev = users;
+    setUsers((xs) =>
+      xs.map((x) =>
+        x.id === u.id
+          ? {
+              ...x,
+              roles: nextAdmin
+                ? Array.from(new Set([...x.roles, "admin", "user"]))
+                : x.roles.filter((r) => r !== "admin"),
+            }
+          : x,
+      ),
+    );
+    try {
+      const updated = await setUserAdminRole(u.id, nextAdmin);
+      setUsers((xs) => xs.map((x) => (x.id === updated.id ? updated : x)));
+    } catch (e) {
+      setUsers(prev);
+      alert(e instanceof Error ? e.message : "操作失败");
+    } finally {
+      setTogglingId(null);
+    }
+  };
+
+  return (
+    <main className="pt-32 pb-16 bg-[var(--background)] min-h-screen">
+      <div className="max-w-6xl mx-auto px-6 lg:px-8">
+        <Link
+          href="/admin"
+          className="font-mono text-[10px] uppercase tracking-widest text-neutral-500 hover:text-[#CC0000] transition-colors"
+        >
+          ← 返回管理员首页
+        </Link>
+
+        <header className="mt-4 border-t-4 border-[var(--foreground)] pt-6 mb-8 flex flex-wrap items-end justify-between gap-4">
+          <div>
+            <div className="font-mono text-[10px] uppercase tracking-[0.3em] text-neutral-500">
+              Superadmin · Users
+            </div>
+            <h1 className="font-serif text-3xl md:text-4xl font-black uppercase mt-2 tracking-tight">
+              用户管理
+            </h1>
+            <p className="mt-2 text-sm text-neutral-600 dark:text-neutral-400 leading-relaxed max-w-2xl">
+              勾选 admin 即赋予管理员角色；取消即撤销。superadmin 角色不允许在这里改，
+              只能走 DB。
+            </p>
+          </div>
+          <div className="flex flex-col gap-1.5 min-w-[240px]">
+            <label
+              htmlFor="user-search"
+              className="font-mono text-[10px] uppercase tracking-widest text-neutral-500"
+            >
+              搜索
+            </label>
+            <input
+              id="user-search"
+              type="search"
+              value={keyword}
+              onChange={(e) => setKeyword(e.target.value)}
+              placeholder="username / displayName / email"
+              className="border border-[var(--foreground)] px-3 py-2 bg-[var(--background)] text-[var(--foreground)] font-sans text-sm focus:outline-none focus:border-[#CC0000]"
+            />
+          </div>
+        </header>
+
+        {loading && (
+          <p className="font-mono text-xs text-neutral-500">加载中…</p>
+        )}
+        {error && (
+          <div className="border border-[#CC0000] p-4 text-sm text-[#CC0000] font-mono mb-6">
+            {error}
+          </div>
+        )}
+
+        {!loading && filtered.length === 0 && !error && (
+          <div className="border border-dashed border-[var(--foreground)] p-10 text-center text-neutral-500 font-sans text-sm">
+            没有匹配的用户。
+          </div>
+        )}
+
+        {filtered.length > 0 && (
+          <table className="w-full border-collapse border border-[var(--foreground)] text-sm">
+            <thead>
+              <tr className="border-b border-[var(--foreground)] bg-neutral-100 dark:bg-neutral-900">
+                <Th>#</Th>
+                <Th>用户</Th>
+                <Th>Email</Th>
+                <Th>Roles</Th>
+                <Th className="text-center">Admin</Th>
+              </tr>
+            </thead>
+            <tbody>
+              {filtered.map((u) => {
+                const isAdmin = u.roles.includes("admin");
+                const isSuper = u.roles.includes("superadmin");
+                const isSelf = me != null && u.id === me.id;
+                // 禁用规则：superadmin 永不允许改；自己也不能给自己去 admin
+                const disabled =
+                  togglingId === u.id || isSuper || (isSelf && isAdmin);
+                return (
+                  <tr
+                    key={u.id}
+                    className="border-b border-[var(--foreground)]/40 hover:bg-neutral-50 dark:hover:bg-neutral-900/50"
+                  >
+                    <td className="px-3 py-3 font-mono text-xs text-neutral-500">
+                      {u.id}
+                    </td>
+                    <td className="px-3 py-3">
+                      <div className="flex items-center gap-2">
+                        {u.avatarUrl && (
+                          // eslint-disable-next-line @next/next/no-img-element
+                          <img
+                            src={u.avatarUrl}
+                            alt={u.username}
+                            className="w-7 h-7 border border-[var(--foreground)] object-cover"
+                          />
+                        )}
+                        <div className="flex flex-col">
+                          <span className="font-serif text-sm font-semibold">
+                            {u.displayName || u.username}
+                          </span>
+                          <span className="font-mono text-[10px] text-neutral-500">
+                            @{u.username}
+                          </span>
+                        </div>
+                      </div>
+                    </td>
+                    <td className="px-3 py-3 font-mono text-xs text-neutral-500">
+                      {u.email ?? "—"}
+                    </td>
+                    <td className="px-3 py-3">
+                      <div className="flex flex-wrap gap-1">
+                        {u.roles.map((r) => (
+                          <span
+                            key={r}
+                            className={`font-mono text-[9px] uppercase tracking-widest border px-1.5 py-0.5 ${
+                              r === "superadmin"
+                                ? "border-[#CC0000] text-[#CC0000]"
+                                : r === "admin"
+                                  ? "border-[var(--foreground)]"
+                                  : "border-neutral-400 text-neutral-500"
+                            }`}
+                          >
+                            {r}
+                          </span>
+                        ))}
+                      </div>
+                    </td>
+                    <td className="px-3 py-3 text-center">
+                      <input
+                        type="checkbox"
+                        checked={isAdmin}
+                        disabled={disabled}
+                        onChange={(e) => onToggle(u, e.target.checked)}
+                        aria-label={`toggle admin for ${u.username}`}
+                        className="w-4 h-4 accent-[#CC0000] cursor-pointer disabled:cursor-not-allowed disabled:opacity-40"
+                        title={
+                          isSuper
+                            ? "superadmin 角色不允许通过 API 修改"
+                            : isSelf && isAdmin
+                              ? "不能给自己撤销 admin"
+                              : undefined
+                        }
+                      />
+                    </td>
+                  </tr>
+                );
+              })}
+            </tbody>
+          </table>
+        )}
+      </div>
+    </main>
+  );
+}
+
+function Th({
+  children,
+  className,
+}: {
+  children: React.ReactNode;
+  className?: string;
+}) {
+  return (
+    <th
+      className={`text-left px-3 py-2 font-mono text-[10px] uppercase tracking-widest ${className ?? ""}`}
+    >
+      {children}
+    </th>
+  );
+}
diff --git a/app/components/ActivityTicker.tsx b/app/components/ActivityTicker.tsx
index ee378e5e..9f720f98 100644
--- a/app/components/ActivityTicker.tsx
+++ b/app/components/ActivityTicker.tsx
@@ -1,19 +1,17 @@
+import Link from "next/link";
 import { cn } from "@/lib/utils";
 import { fetchHomepageEvents, type HomepageEvent } from "@/lib/events-fetch";
 
 /**
  * 首页顶部活动轮播。
  *
- * 数据源已经从 data/event.json 迁移到后端 /api/events（管理员在 /admin/events 维护）。
- * BACKEND_URL 不可用 / 后端抖动时自动 fallback 到 event.json，保证首屏不会空白。
+ * 数据源：后端 /api/events（管理员在 /admin/events 维护）。
+ * 后端失败时返回空数组，组件 return null 不渲染轮播（整条不显示）。
  *
  * 为什么是 Server Component：
  * - 没有交互状态（纯 CSS 跑马灯动画）
  * - SSR 时已经能拿到数据，避免 client fetch 造成首屏闪烁
  * - revalidate: 300 让 Neon 压力稳定在每 5min 一次 SSR
- *
- * MAX_ITEMS 和 ROTATION_MS 原先在 event.json 的 settings 字段，迁后端后没对应列，
- * 直接在这里作为常量；如果真需要动态，再开一张 events_settings 表。
  */
 
 const MAX_ITEMS = 3;
@@ -76,16 +74,11 @@ function TickerItem({
   event: HomepageEvent;
   isLast: boolean;
 }) {
-  // 优先跳详情页（有 id 时），否则老行为：直接 Discord / playback
-  const href =
-    event.id != null
-      ? `/events/${event.id}`
-      : event.deprecated
-        ? event.playback ||
-          "https://involutionhell.com/docs/jobs/event-keynote/event-takeway"
-        : event.discord;
-
-  const isInternal = href.startsWith("/");
+  // 轮播点击始终跳站内详情页（后端必然返回带 id 的 EventView）
+  const href = `/events/${event.id}`;
+  const linkLabel = `${event.name} — ${event.deprecated ? "Archives Available" : "Event Active"}`;
+  const linkClass =
+    "font-sans text-xs font-bold uppercase tracking-widest hover:text-[#CC0000]";
 
   return (
     <div className="flex items-center gap-4 whitespace-nowrap">
@@ -94,15 +87,10 @@ function TickerItem({
           Update
         </span>
       ) : null}
-      <a
-        href={href}
-        target={isInternal ? undefined : "_blank"}
-        rel={isInternal ? undefined : "noopener noreferrer"}
-        className="font-sans text-xs font-bold uppercase tracking-widest hover:text-[#CC0000]"
-      >
-        {event.name} —{" "}
-        {event.deprecated ? "Archives Available" : "Event Active"}
-      </a>
+      {/* 站内链接：用 next/link 保留 client-side navigation + prefetch */}
+      <Link href={href} className={linkClass}>
+        {linkLabel}
+      </Link>
       <span className="text-neutral-400 font-mono text-[10px]">&bull;</span>
       <span className="font-mono text-[10px] text-neutral-500 uppercase">
         Edition 1.0.0
diff --git a/app/components/float-window/FloatWindow.tsx b/app/components/float-window/FloatWindow.tsx
index 522fdba8..2bc0fbf5 100644
--- a/app/components/float-window/FloatWindow.tsx
+++ b/app/components/float-window/FloatWindow.tsx
@@ -2,7 +2,6 @@
 
 import { useState, useCallback } from "react";
 import { usePathname } from "next/navigation";
-import Image from "next/image";
 import { motion, AnimatePresence } from "motion/react";
 import type { HomepageEvent } from "@/lib/events-fetch";
 import { cn } from "@/lib/utils";
@@ -119,13 +118,19 @@ export function FloatWindow({ event }: FloatWindowProps) {
             {/* Content */}
             <div className="p-0">
               {/* 图片区域 - 默认为灰度（暗黑模式除外） */}
+              {/*
+                用原生 <img> 不走 next/image：活动后台允许管理员填外链封面 URL，
+                next/image 需要提前把外链域名加到 next.config.mjs remotePatterns 白名单，
+                否则运行时会 500，把 FloatWindow 整个挂掉。原生 <img> 只负责渲染，
+                安全性由后端 EventRequest.coverUrl 做 URL scheme 校验承担。
+                /events 列表页也是这个策略，保持一致。
+              */}
               <div className="relative aspect-[16/9] border-b border-[#111111] dark:border-[#F9F9F7] overflow-hidden group">
-                <Image
+                {/* eslint-disable-next-line @next/next/no-img-element */}
+                <img
                   src={currentEvent.coverUrl}
                   alt={currentEvent.name}
-                  fill
-                  className="object-cover transition-all duration-500"
-                  sizes="280px"
+                  className="absolute inset-0 w-full h-full object-cover transition-all duration-500"
                   draggable={false}
                 />
                 {/* 突发新闻徽章 */}
diff --git a/app/events/[id]/page.tsx b/app/events/[id]/page.tsx
index b853a4f2..875c8d8f 100644
--- a/app/events/[id]/page.tsx
+++ b/app/events/[id]/page.tsx
@@ -253,16 +253,27 @@ function toYoutubeEmbed(url: string | null | undefined): string | null {
   if (!url) return null;
   try {
     const u = new URL(url);
-    if (u.hostname === "youtu.be") {
+    // 严格白名单：只匹配 youtu.be 精确、或 youtube.com / youtube-nocookie.com
+    // 精确 + *.youtube.com / *.youtube-nocookie.com 子域名。
+    // 之前用 endsWith("youtube.com") 会把 evilyoutube.com 也判对，放进 iframe 后
+    // 相当于把任意第三方站点嵌进详情页。
+    const isYoutuBe = u.hostname === "youtu.be";
+    const isYoutubeHost =
+      u.hostname === "youtube.com" ||
+      u.hostname === "www.youtube.com" ||
+      u.hostname.endsWith(".youtube.com");
+    const isYoutubeNocookieHost =
+      u.hostname === "youtube-nocookie.com" ||
+      u.hostname === "www.youtube-nocookie.com" ||
+      u.hostname.endsWith(".youtube-nocookie.com");
+
+    if (isYoutuBe) {
       return `https://www.youtube.com/embed/${u.pathname.slice(1)}`;
     }
-    if (
-      u.hostname.endsWith("youtube.com") ||
-      u.hostname.endsWith("youtube-nocookie.com")
-    ) {
+    if (isYoutubeHost || isYoutubeNocookieHost) {
       const videoId = u.searchParams.get("v");
       if (videoId) return `https://www.youtube.com/embed/${videoId}`;
-      // 已经是 /embed/ 路径
+      // 已经是 /embed/ 路径（此时原 URL 就是白名单内 host + /embed/xxx，可直接返回）
       if (u.pathname.startsWith("/embed/")) return url;
     }
   } catch {
@@ -272,8 +283,10 @@ function toYoutubeEmbed(url: string | null | undefined): string | null {
 }
 
 function formatDateTime(iso: string): string {
+  // Invalid Date 检查同 /events/page.tsx 的 formatDate：new Date() 不抛。
+  const d = new Date(iso);
+  if (Number.isNaN(d.getTime())) return iso;
   try {
-    const d = new Date(iso);
     return d.toLocaleString("zh-CN", {
       year: "numeric",
       month: "short",
diff --git a/app/events/page.tsx b/app/events/page.tsx
index 55e27396..b63a4469 100644
--- a/app/events/page.tsx
+++ b/app/events/page.tsx
@@ -185,8 +185,11 @@ function EventCard({ event }: { event: EventView }) {
 }
 
 function formatDate(iso: string): string {
+  // new Date(iso) 遇到非法字符串不 throw，只会返回一个 getTime() === NaN 的 Invalid Date，
+  // 直接调 toLocaleDateString 会输出字面量 "Invalid Date"，所以必须显式检查。
+  const d = new Date(iso);
+  if (Number.isNaN(d.getTime())) return iso;
   try {
-    const d = new Date(iso);
     return d.toLocaleDateString("zh-CN", {
       year: "numeric",
       month: "short",
diff --git a/app/u/[username]/AdminLinkIfOwnerAdmin.tsx b/app/u/[username]/AdminLinkIfOwnerAdmin.tsx
index 25eb27ab..018dd65a 100644
--- a/app/u/[username]/AdminLinkIfOwnerAdmin.tsx
+++ b/app/u/[username]/AdminLinkIfOwnerAdmin.tsx
@@ -36,7 +36,7 @@ export function AdminLinkIfOwnerAdmin({ ownerGithubId, ownerUsername }: Props) {
 
   return (
     <Link
-      href="/admin/events"
+      href="/admin"
       className="font-mono text-[11px] uppercase tracking-widest px-2 py-1 border border-[#CC0000] text-[#CC0000] hover:bg-[#CC0000] hover:text-white transition-colors font-bold"
       data-umami-event="profile_admin_click"
     >
diff --git a/lib/events-fetch.ts b/lib/events-fetch.ts
index 22dd7d78..b1f76f88 100644
--- a/lib/events-fetch.ts
+++ b/lib/events-fetch.ts
@@ -3,28 +3,25 @@
  *
  * 做的事：
  * 1. 调后端 /api/events 拿 published + archived 列表
- * 2. 转成首页 ActivityTicker / FloatWindow 原本认识的老 schema（name / discord / playback /
- *    coverUrl / deprecated），这样这两个组件内部渲染逻辑不需要大改
- * 3. 后端挂了 / BACKEND_URL 没配 → fallback 到 data/event.json，保证首页不会因为后端抖动白屏
+ * 2. 转成首页 ActivityTicker / FloatWindow 原本认识的老 schema
+ *    （name / discord / playback / coverUrl / deprecated），组件渲染逻辑不大改
  *
- * 为什么保留 event.json：
- * - 开发环境没启后端时，首页还能跑
- * - 生产 fallback 场景（后端挂了一会儿），首屏轮播不至于完全消失
- * - JSON 是静态构建时就在的，没有运行时开销
+ * 失败策略：
+ *   前后端分离架构下，后端可用是硬前提。任何失败（BACKEND_URL 未配 / 网络异常 /
+ *   非 2xx / JSON 解析错）都返回空数组，让 ActivityTicker 和 FloatWindow 渲染出空态
+ *   或直接不出现，同时把异常打到 server log 供排查。不再维护 data/event.json 兜底。
  */
 
 import type { EventView } from "@/app/events/types";
-import eventsJson from "@/data/event.json";
 
-/** Hero / FloatWindow 老版本识别的字段结构（沿用 ActivityEvent schema） */
+/** Hero / FloatWindow 识别的字段结构 */
 export interface HomepageEvent {
+  id: number;
   name: string;
   discord: string;
   playback?: string;
   coverUrl: string;
   deprecated: boolean;
-  /** 新加字段：后端返回的 id，给 "详情" 链接用。JSON fallback 时为 null */
-  id: number | null;
 }
 
 interface ApiResponse<T> {
@@ -34,11 +31,10 @@ interface ApiResponse<T> {
 }
 
 /**
- * 把后端 EventView 映射成 HomepageEvent 老 schema。
- * - discord: 直接用 discordLink；没有时拿活动详情页 URL 兜底
- * - playback: 直接用 playbackUrl
- * - coverUrl: 后端 coverUrl 可能为 null；fallback 到一张默认 placeholder
- * - deprecated: status=archived 或已过 endTime 时为 true
+ * 把后端 EventView 映射成 HomepageEvent。
+ * - discord: 优先 discordLink；没有时回落到站内详情页
+ * - coverUrl: 后端可能为 null，用一张默认 placeholder
+ * - deprecated: status=archived|cancelled 或已过 endTime
  */
 function toHomepageEvent(ev: EventView): HomepageEvent {
   return {
@@ -52,40 +48,14 @@ function toHomepageEvent(ev: EventView): HomepageEvent {
   };
 }
 
-/** 从 data/event.json fallback（后端不可用时用）。和老组件期待的结构 1:1。 */
-function fallbackFromJson(): HomepageEvent[] {
-  // event.json 没 id，给 null 占位；order 保持 JSON 里顺序
-  interface JsonItem {
-    name: string;
-    discord: string;
-    playback?: string;
-    coverUrl: string;
-    deprecated: boolean;
-  }
-  const items = (eventsJson as { events: JsonItem[] }).events;
-  return items.map((e) => ({
-    id: null,
-    name: e.name,
-    discord: e.discord,
-    playback: e.playback,
-    coverUrl: e.coverUrl,
-    deprecated: e.deprecated,
-  }));
-}
-
 /**
- * 拿首页要用的活动列表。
- * - 成功：按"未过期 → 已过期"排序后返回
- * - 失败：fallback 到 JSON
- * 失败原因记日志，不向外抛，避免首页 SSR 500
+ * 拿首页要用的活动列表。任何失败都返回空数组（记日志，不向外抛，避免首页 SSR 500）。
  */
 export async function fetchHomepageEvents(): Promise<HomepageEvent[]> {
   const backendUrl = process.env.BACKEND_URL;
   if (!backendUrl) {
-    console.warn(
-      "[fetchHomepageEvents] BACKEND_URL 未配置，使用 event.json fallback",
-    );
-    return fallbackFromJson();
+    console.warn("[fetchHomepageEvents] BACKEND_URL 未配置，返回空列表");
+    return [];
   }
 
   try {
@@ -98,22 +68,27 @@ export async function fetchHomepageEvents(): Promise<HomepageEvent[]> {
     });
     if (!res.ok) {
       console.warn(
-        `[fetchHomepageEvents] 后端 ${res.status} ${res.statusText}，走 JSON fallback`,
+        `[fetchHomepageEvents] 后端 ${res.status} ${res.statusText}`,
       );
-      return fallbackFromJson();
+      return [];
     }
     const json = (await res.json()) as ApiResponse<EventView[]>;
-    if (!json.success || !json.data || json.data.length === 0) {
-      // 后端虽然返回成功但是空数据，还是走 fallback 保持首页有内容
-      return fallbackFromJson();
+    if (!json.success || !json.data) {
+      // success=false 或缺少 data 分支：以前直接 return [] 会丢掉排障信息，
+      // 补一条 warn 携带 message / success / hasData，让 server log 能定位
+      console.warn("[fetchHomepageEvents] 后端返回业务失败或数据缺失", {
+        message: json.message,
+        success: json.success,
+        hasData: json.data !== undefined,
+      });
+      return [];
     }
-    const items = json.data
+    return json.data
       .map(toHomepageEvent)
       // 未过期的活动排前面
       .sort((a, b) => Number(a.deprecated) - Number(b.deprecated));
-    return items;
   } catch (err) {
-    console.warn("[fetchHomepageEvents] 网络异常走 JSON fallback:", err);
-    return fallbackFromJson();
+    console.warn("[fetchHomepageEvents] 网络异常:", err);
+    return [];
   }
 }
diff --git a/next.config.mjs b/next.config.mjs
index 4103349f..567d8058 100644
--- a/next.config.mjs
+++ b/next.config.mjs
@@ -77,6 +77,15 @@ const config = {
         source: "/api/admin/events/:path*",
         destination: `${backendUrl}/api/admin/events/:path*`,
       },
+      {
+        // 超管用户管理（后端 @SaCheckRole("superadmin") 做权限校验）
+        source: "/api/admin/users",
+        destination: `${backendUrl}/api/admin/users`,
+      },
+      {
+        source: "/api/admin/users/:path*",
+        destination: `${backendUrl}/api/admin/users/:path*`,
+      },
     ];
   },
   images: {
@@ -158,15 +167,20 @@ const finalConfig = withNextIntl(withMDX(config));
 // widenClientFileUpload 扩大 source map 扫描范围，保证前端错误堆栈能解出来。
 // disableLogger 树摇掉 Sentry 自带 logger，减小 bundle 体积。
 //
-// 守门条件：只有在存在 SENTRY_AUTH_TOKEN 时才启用 withSentryConfig。
-// 贡献者 clone 仓库后没配 Sentry env 也能直接 `pnpm build` / `pnpm dev`，
-// 不会因为 webpack 插件缺凭据而构建失败。生产 Vercel 那边 env 齐全，正常上报。
-const enableSentry = Boolean(process.env.SENTRY_AUTH_TOKEN);
+// 守门条件：三件套 AUTH_TOKEN + ORG + PROJECT 必须同时齐全才启用（Copilot CR）。
+// 以前只看 AUTH_TOKEN 并给 org/project 硬编码 fallback，导致谁本地只设 token
+// 不设 org/project 时会把 source map 错传到默认项目污染错误归因。现在要么配齐，
+// 要么完全跳过 webpack 插件 —— 贡献者 clone 仓库后零配置也能 `pnpm build`。
+const enableSentry = Boolean(
+  process.env.SENTRY_AUTH_TOKEN &&
+    process.env.SENTRY_ORG &&
+    process.env.SENTRY_PROJECT,
+);
 
 export default enableSentry
   ? withSentryConfig(finalConfig, {
-      org: process.env.SENTRY_ORG || "involutionhell",
-      project: process.env.SENTRY_PROJECT || "sentry-bole-notebook",
+      org: process.env.SENTRY_ORG,
+      project: process.env.SENTRY_PROJECT,
       silent: !process.env.CI,
       widenClientFileUpload: true,
       disableLogger: true,