# 群组管理员移除合同

适用版本：当前开发版。

群组详情页的“踢出管理员”不是通用按用户名踢人接口的别名。它必须通过
`POST /api/panel/groups/{id}/admins/{userId}/kick` 调用专用服务，并且只对群组生效。
前端只传本地群组记录 ID 和 Telegram 用户 ID；不得把 Telegram `access_hash`、用户名或
永久封禁选项暴露为该行内操作的合同。

服务端必须先由 `GroupManagementService` 选择执行账号，再由 `IGroupService` 实时读取
管理员列表和目标用户的 `access_hash`。在任何写入前必须拒绝：

- 目标是创建者；
- 目标已经不是管理员；
- 目标就是执行账号本人；
- 无法取得目标的 `access_hash`；
- 执行账号不是管理员，或在超级群中缺少“添加管理员”和“封禁用户”权限。

对基础群组按 `撤销管理员 -> 删除成员` 执行；对超级群按
`Channels_EditAdmin(空权限) -> Channels_EditBanned(60 秒)` 执行。两步都必须使用已有的
Telegram 请求超时控制，禁止因第一次请求超时而自动重放整个流程。

两步操作不是 Telegram 原子事务。若降权成功、踢出失败，
`GroupAdminRemovalResult` 必须保留 `AdminRightsRemoved=true`，端点返回 `409` 和明确中文提示；
前端无论响应成功还是冲突都刷新管理员列表，不能把该状态显示为普通全失败后立即重试。

该操作不改变数据库结构，但会同步目标属于本系统账号时的已有群组关联：踢出成功或目标已不在群组时
删除对应关联；仅降权成功时保留成员关联，并将 `IsCreator`、`IsAdmin` 都更新为 `false`。同步仅更新已
匹配 Telegram 用户 ID 的关联，不会为外部管理员创建账号或关联记录。

验收前提是使用非生产测试群，至少覆盖：创建者没有操作按钮且服务端拒绝、无用户名管理员可被
成功移除、缺少权限的执行账号被拒绝、成功后管理员列表消失，以及降权后踢出失败时的部分成功
提示。失败排查先看管理员实时状态和执行账号权限，再检查 Telegram 限流、Session 和代理；不要
退回到通用 `batch/kick` 接口绕过 `access_hash` 与创建者保护。

该功能没有数据库迁移。回滚只会撤回专用端点和界面按钮，无法自动恢复 Telegram 侧已经完成的
降权或踢出，也不会自动还原已同步的本系统账号群组关联；操作前后的管理员列表和 Telegram 审计结果
应作为人工回滚依据。