看起来你这是典型的权限校验环节翻车——管理员账号明明登录成功了，但后端在处理/api/users这类核心接口时，没识别出当前会话是管理员身份，直接给你扔了403禁止访问。我帮你从前后端两个方向拆解排查点，一步步定位问题：

一、先检查前端请求的会话一致性 #

你登录时加了withCredentials: true，这个操作是对的，但要确认两个细节：

• 登录请求的域名（http://127.0.0.1:5000）和后续请求/api/users的域名必须完全一致，不能一个用127.0.0.1、一个用localhost，不然浏览器会认为是跨域，不会携带会话Cookie
• 登录成功后，打开浏览器F12开发者工具→应用（Application）→Cookie，看看5000端口下有没有后端设置的会话Cookie（比如sessionid），而且后续请求/api/users时，请求头里有没有带这个Cookie（看网络（Network）标签里的请求头Cookie字段）

二、重点排查后端的权限校验逻辑 #

403错误基本是后端的权限拦截器/装饰器出了问题，按这个顺序查：

1. 管理员登录接口是否正确标记会话权限 #

你的管理员走的是/api/admin/login接口，一定要确认这个接口在验证账号密码正确后，确实在会话里写入了管理员身份标识。拿Flask后端举例（你对应自己用的框架调整）：

from flask import session, jsonify

@api.route('/admin/login', methods=['POST'])
def admin_login():
    # 先验证email和password是否匹配管理员账号
    admin = Admin.query.filter_by(email=request.json['email']).first()
    if admin and check_password_hash(admin.password, request.json['password']):
        # 关键：给会话打上管理员标记
        session['is_admin'] = True
        session['user_id'] = admin.id
        return jsonify({"msg": "管理员登录成功"})
    return jsonify({"msg": "账号密码错误"}), 401

如果这里没写session['is_admin'] = True，后面的权限校验根本不知道当前是管理员，直接就拦了。

2. /api/users接口的权限校验是否逻辑错误 #

这个接口的拦截逻辑大概率有问题，比如：

• 是不是只校验了普通用户的登录状态，完全没考虑管理员？比如只写了if not session.get('user_id'): return 403，但管理员的会话里虽然有user_id，但权限校验没放行
• 是不是把权限判断写反了？比如写成了if session.get('is_admin'): return 403（这就完全搞反了，把管理员拦在外头）
• 是不是用错了权限装饰器？比如普通用户接口用@login_required，管理员接口应该用专门的@admin_required装饰器，要是混用了就会直接返回403

3. 后端跨域配置是否允许携带Cookie #

如果你的前端和后端是跨域部署（比如前端在3000端口，后端在5000端口），一定要确认后端的CORS配置开了supports_credentials=True，不然前端的Cookie传不到后端，后端就识别不出当前是管理员。还是拿Flask举例：

from flask_cors import CORS

# 注意要指定前端的源，同时开supports_credentials
CORS(app, supports_credentials=True, origins="http://127.0.0.1:3000")

快速定位问题的小技巧 #

你可以先在后端的/api/users接口里加个调试日志，把当前会话的所有内容打出来，比如：

@api.route('/api/users')
def get_users():
    # 调试用：打印当前会话的所有内容
    print("当前会话内容：", session)
    # 原来的权限校验逻辑
    ...

• 如果打印出来的会话里没有is_admin: True，那就是管理员登录接口没给会话打标记，赶紧补
• 如果打印出来有is_admin: True，但还是返回403，那就是权限校验的逻辑写错了，仔细检查判断条件

（可选）你的前端登录逻辑小优化 #

你现在是分两个接口处理普通用户和管理员登录，其实可以合并成一个接口，后端根据账号的角色自动判断，这样既简洁，也不容易出现会话不一致的问题。不过这个是优化点，先把当前的403问题解决了再说。

备注：内容来源于stack exchange，提问作者Shubham Jamadade