认证与权限

Bearer 鉴权

每个 API 请求发送 Authorization: Bearer <API Key>。API v1 不接受浏览器 Cookie 代替 Key，也不需要先换取 OIDC Token。

服务端每次实时向中心校验，不缓存成功结果。过期、撤销、未授权本应用或应用未启用时返回 401；中心不可用返回 503。

空间与角色

Key 沿用本人当前所有空间权限。空间成员资格、角色和账号状态在每次请求中检查；不能通过请求字段指定自己是其他用户或管理员。

供应商只允许管理员和主管访问；非管理员只能查询本人的收支。编辑工单原始内容、客户转交、删除跟进等操作沿用网页现有权限。

全局身份通过 issuer 与 sub 绑定，不通过邮箱或昵称合并。Key 管理、授权和撤销统一在账号中心完成。