fix: 落实 #3867-#3870 合并审计的全部跟进项

透传规则（跟进 #3868/#3870，refs #3857）：
- CC/Messages 4 条协议转换路径改用共享 helper，走语义状态推断 +
  body 归一化，使按错误码配置的透传规则也能命中（原先传 0 恒不命中）
- helper 增加 platform 参数：本服务同时承载 openai/grok 平台账号，
  规则须按 account.Platform 匹配，消除硬编码平台错配
- /v1/responses 两条路径命中透传规则时补记 ops 上游错误事件，
  对齐 CC/Messages 与 antigravity 先例，消除监控盲区

用户角色管理（跟进 #3869）：
- 补齐 EN 语言包缺失的 admin.users.form.roleLabel
- 新增"最后一个管理员不可降级"守卫，覆盖跨管理员互降致零 admin 锁死
- 角色变更/创建管理员落审计日志（含操作者 actor_admin_id）

backend/internal/handler/admin/user_handler.go

@@ -276,6 +276,7 @@ func (h *UserHandler) Create(c *gin.Context) {
 		Concurrency:   req.Concurrency,
 		RPMLimit:      req.RPMLimit,
 		AllowedGroups: req.AllowedGroups,
+		ActorAdminID:  getAdminIDFromContext(c),
 	})
 	if err != nil {
 		response.ErrorFrom(c, err)
@@ -320,6 +321,7 @@ func (h *UserHandler) Update(c *gin.Context) {
 		Status:        req.Status,
 		AllowedGroups: req.AllowedGroups,
 		GroupRates:    req.GroupRates,
+		ActorAdminID:  getAdminIDFromContext(c),
 	})
 	if err != nil {
 		response.ErrorFrom(c, err)