Function require_admin_from_headers 

pub(crate) async fn require_admin_from_headers(
    headers: &HeaderMap,
) -> Result<SessionUser, (StatusCode, &'static str)>

原生 Axum 路由的 admin 前置校验：cookie → session → role。

这些路由不经过 server fn 上下文，只能从请求头取 session。失败返回 (状态码, 消息)：无会话 cookie 为 401「未登录」，会话无效或查询失败为 401「会话已过期」，非 admin 为 403「权限不足」。响应体格式由调用方决定。