diff --git a/admin/src/api/auth.js b/admin/src/api/auth.js
index f761c00..3e2e9b5 100644
--- a/admin/src/api/auth.js
+++ b/admin/src/api/auth.js
@@ -1,8 +1,8 @@
 /**
  * 管理后台认证 API
  *
- * 登录接口：/api/v1/admin/auth/login（管理端专用，后端检查管理员角色）
- * 其他接口：/api/v1/auth/*（与前台共用，通过 JWT 中的 client_type 区分）
+ * 所有接口均使用管理端专属路由：/api/v1/admin/auth/*
+ * 后端对管理端路由做 JWT + admin 角色双重检查
  *
  * Token 在 Redis 中按 client_type 隔离存储：
  * - 管理端：echo:auth:token:admin:{user_id}
@@ -23,16 +23,16 @@ export const login = (data) => {
 
 /**
  * 管理员登出
- * POST /api/v1/auth/logout
+ * POST /api/v1/admin/auth/logout
  */
 export const logout = () => {
-  return request.post('/api/v1/auth/logout')
+  return request.post('/api/v1/admin/auth/logout')
 }
 
 /**
  * 获取管理员个人信息
- * GET /api/v1/auth/profile
+ * GET /api/v1/admin/auth/profile
  */
 export const getProfile = () => {
-  return request.get('/api/v1/auth/profile')
+  return request.get('/api/v1/admin/auth/profile')
 }
diff --git a/admin/src/views/login/index.vue b/admin/src/views/login/index.vue
index 0a75b84..c8dda16 100644
--- a/admin/src/views/login/index.vue
+++ b/admin/src/views/login/index.vue
@@ -10,7 +10,7 @@
   - Loading 状态防重复提交
   - 登录成功跳转仪表盘
   
-  对应 API：POST /api/v1/auth/login
+  对应 API：POST /api/v1/admin/auth/login
 -->
 <template>
   <div class="login-page">
diff --git a/backend/go-service/app/auth/router.go b/backend/go-service/app/auth/router.go
index c8209f1..e53af2f 100644
--- a/backend/go-service/app/auth/router.go
+++ b/backend/go-service/app/auth/router.go
@@ -2,6 +2,8 @@ package auth
 
 import (
 	"github.com/echochat/backend/app/auth/controller"
+	"github.com/echochat/backend/app/constants"
+	"github.com/echochat/backend/pkg/middleware"
 	"github.com/gin-gonic/gin"
 )
 
@@ -14,6 +16,8 @@ func RegisterRoutes(
 	adminCtrl *controller.AdminAuthController,
 	authMiddleware gin.HandlerFunc,
 ) {
+	// ======================== 前台用户端 ========================
+
 	// 前台公开路由（无需认证）
 	public := r.Group("/api/v1/auth")
 	{
@@ -32,9 +36,22 @@ func RegisterRoutes(
 		authed.PUT("/password", ctrl.ChangePassword)
 	}
 
-	// 后台管理认证路由（无需认证，登录后在 Service 层检查管理员角色）
-	admin := r.Group("/api/v1/admin/auth")
+	// ======================== 后台管理端 ========================
+
+	// 管理端公开路由（无需认证，登录后在 Service 层检查管理员角色）
+	adminPublic := r.Group("/api/v1/admin/auth")
 	{
-		admin.POST("/login", adminCtrl.AdminLogin)
+		adminPublic.POST("/login", adminCtrl.AdminLogin)
+	}
+
+	// 管理端需认证路由（JWT + admin 角色双重检查）
+	// 复用 AuthController handler，JWT 中的 client_type=admin 保证 Redis 正确隔离
+	adminAuthed := r.Group("/api/v1/admin/auth")
+	adminAuthed.Use(authMiddleware, middleware.RequireRole(constants.RoleAdmin, constants.RoleSuperAdmin))
+	{
+		adminAuthed.POST("/logout", ctrl.Logout)
+		adminAuthed.GET("/profile", ctrl.GetProfile)
+		adminAuthed.PUT("/profile", ctrl.UpdateProfile)
+		adminAuthed.PUT("/password", ctrl.ChangePassword)
 	}
 }