API：认证与约定

原则

• 使用 机构级或服务级凭证，不要用个人登录 Cookie 做批处理。
• 密钥只放在服务端环境变量或密钥库，禁止写入前端或公开仓库。
• 按最小权限开通：只读同步与读写同步分开凭证更佳。
• 轮换密钥后，旧密钥应尽快失效。

常见失败

细节以当前环境的鉴权方案为准。