diff --git a/backend/app/api/v1/endpoints/auth.py b/backend/app/api/v1/endpoints/auth.py
index d40d7bb..da1e198 100644
--- a/backend/app/api/v1/endpoints/auth.py
+++ b/backend/app/api/v1/endpoints/auth.py
@@ -20,7 +20,17 @@ def login_endpoint(data: LoginRequest, request: Request):
     # 登录失败时同样留痕，且能按账号追踪暴力破解。
     # 注意：绝不把 data.password 写进 state / 审计，密码不落库。
     request.state.audit_user = data.username
-    return login(data.username, data.password)
+    result = login(data.username, data.password)
+
+    # 登录成功后补上显示名 / 角色 —— 否则审计里这条记录的「操作人」会退化成账号
+    # （前端按 display_name || user_id 渲染，见 AdminAuditLogPage）。
+    # 能在这里补的原因：中间件是在 call_next 返回【之后】才落库的，此刻写入
+    # request.state 依然会被采集到。
+    # 失败登录走不到这里，保持「只有账号可追责」——这正是想要的语义。
+    if result.user:
+        request.state.audit_display_name = result.user.display_name
+        request.state.audit_role = result.user.role
+    return result
 
 
 @router.post("/refresh", response_model=RefreshResponse)
@@ -29,6 +39,24 @@ def refresh_endpoint(data: RefreshRequest):
     return refresh_access_token(data.refresh_token)
 
 
+@router.post("/logout")
+def logout_endpoint(current_user: dict = Depends(get_current_user)):
+    """登出 —— 仅用于审计留痕。
+
+    JWT 是无状态的，服务端没有可吊销的会话，因此本接口**不做任何令牌失效**
+    （客户端清掉本地 token 即为登出），返回体也没有实际语义。
+
+    它存在的唯一目的：让审计中间件记下「谁在何时退出了系统」。
+    没有这个端点时，前端「退出」只清本地存储、不产生任何请求，
+    退出动作在审计里完全不可见 —— 而"谁在什么时候退掉了系统"
+    在追责场景下和"谁登录了"同等重要。
+
+    挂 Depends(get_current_user) 是为了让 JWT 依赖把操作人写进 request.state
+    （见 auth_service.get_current_user），记录到真实姓名而非「未认证」。
+    """
+    return {"ok": True}
+
+
 @router.get("/me", response_model=UserResponse)
 def get_me(current_user: dict = Depends(get_current_user)):
     """获取当前用户信息（从 Access Token 解析）"""
diff --git a/frontend/src/contexts/AuthContext.tsx b/frontend/src/contexts/AuthContext.tsx
index 7066608..aa4ef32 100644
--- a/frontend/src/contexts/AuthContext.tsx
+++ b/frontend/src/contexts/AuthContext.tsx
@@ -7,7 +7,7 @@ import {
   useEffect,
   type ReactNode,
 } from "react";
-import { login as loginApi, getMe } from "../services/authApi";
+import { login as loginApi, getMe, logout as logoutApi } from "../services/authApi";
 
 // ============================================================
 // 类型
@@ -114,6 +114,11 @@ export function AuthProvider({ children }: { children: ReactNode }) {
   }, []);
 
   const logout = useCallback(() => {
+    // 先上报登出（审计留痕），再做本地清理 —— 顺序不能反：
+    // api 的请求拦截器是从 localStorage 取 token 的，清掉之后就发不出这个请求了。
+    // 刻意不 await、失败也不阻断：JWT 无状态，服务端本就不需要它成功，
+    // 而用户点了「退出」必须退得掉，不能因为一次上报失败就卡住。
+    logoutApi().catch(() => {});
     logoutInternal();
   }, []);
 
diff --git a/frontend/src/services/authApi.ts b/frontend/src/services/authApi.ts
index b6d95f8..fab47e8 100644
--- a/frontend/src/services/authApi.ts
+++ b/frontend/src/services/authApi.ts
@@ -1,4 +1,5 @@
-/** 认证 API — 登录、刷新 Token、获取用户信息 */
+/** 认证 API — 登录、刷新 Token、获取用户信息、登出留痕 */
+import api from "./api";
 import type { UserInfo } from "../contexts/AuthContext";
 import { extractErrorMessage } from "../utils/errorMessage";
 
@@ -52,3 +53,17 @@ export async function getMe(token: string): Promise<UserInfo> {
   }
   return res.json();
 }
+
+/**
+ * 登出上报 —— 唯一目的是【审计留痕】。
+ *
+ * JWT 无状态，服务端不会（也无法）吊销令牌，本地清 token 就是登出。
+ * 但没有这个请求，前端的「退出」动作在审计里完全不可见，所以必须上报一次。
+ *
+ * 刻意走 axios 实例（而非上面几个函数的裸 fetch）：它的请求拦截器会从
+ * localStorage 自动注入 Authorization，从而让后端记录到真实操作人。
+ * ⚠️ 因此调用方必须在清除本地 token 【之前】调用本函数。
+ */
+export async function logout(): Promise<void> {
+  await api.post("/auth/logout");
+}