修复升级后站主降级为 reader：EnsureOwner 纠正历史身份行的角色

多用户之前以 admin 会话评论会留下 provider=admin、role=reader 的历史行，
升级后 EnsureOwner 找到该行时未纠正角色，站主登录即拿 reader 角色，
用户管理 403。现在 GetOwner 优先取 owner 行，EnsureOwner 登录即把
历史行纠正成 owner。存量会话角色每请求查库，重启后重登一次即恢复。

backend/internal/store/store.go

@@ -1897,6 +1897,15 @@ func (s *Store) EnsureOwner(handle string) (model.Reader, error) {
 			}
 			cur.Handle = handle
 		}
+		// 老库升级路径：站主在评论区的历史身份行 role 可能是 reader
+		// （多用户之前用 admin 会话评论时自动建的）。登录即纠正成 owner，
+		// 否则升级后站主拿到的会话是 reader 角色，用户管理直接 403。
+		if cur.Role != model.RoleOwner {
+			if _, uerr := s.db.Exec(s.db.Q(`UPDATE users SET role = 'owner' WHERE id = ?`), cur.ID); uerr != nil {
+				return model.Reader{}, uerr
+			}
+			cur.Role = model.RoleOwner
+		}
 		return cur, nil
 	}
 	if !errors.Is(err, ErrNotFound) {
@@ -1913,7 +1922,8 @@ func (s *Store) EnsureOwner(handle string) (model.Reader, error) {
 // （老库里站主行只有 provider='admin'，没有 role）。
 func (s *Store) GetOwner() (model.Reader, error) {
 	r, err := scanReader(s.db.QueryRow(s.db.Q(
-		`SELECT ` + userCols + ` FROM users WHERE role = 'owner' OR provider = 'admin' ORDER BY id LIMIT 1`)))
+		`SELECT ` + userCols + ` FROM users WHERE role = 'owner' OR provider = 'admin'
+		ORDER BY CASE WHEN role = 'owner' THEN 0 ELSE 1 END, id LIMIT 1`)))
 	if errors.Is(err, sql.ErrNoRows) {
 		return model.Reader{}, ErrNotFound
 	}