认证与安全
模型 API 使用 Bearer API key：
Authorization: Bearer <api-key>API key Secret 只在创建时返回一次。服务端保存不可逆 HMAC，不保存可恢复明文。
- API key 必须属于一个 workspace。
- 模型授权同时受主账号已购范围和 workspace 授权约束。
- 主账号、子账号、workspace 或 key 被停用后，调用立即失败。
- 可配置来源 CIDR、RPM、TPM、普通并发、streaming 并发和人民币自然月消费限额。
轮换期间可以短期保留新旧两把 active key。确认新 key 已生效后，应撤销旧 key；撤销不可恢复。