[优化] 更新认证机制，使用 OPENFLARE_TOKEN 替代 Bearer Token

docs/deployment/server.md

@@ -91,7 +91,7 @@ docker run -d \
 启动参数说明：
 * **`-p 3000:3000`**：映射宿主机 `3000` 端口到容器内 `3000` 端口。
 * **`-v $(pwd)/openflare-data:/data`**：挂载本地目录到容器的 `/data`，确保数据库文件 `openflare.db` 在重启或重建容器时不丢失。
-* **`SESSION_SECRET`**：必须配置的 Session 密钥签名哈希。
+* **`SESSION_SECRET`**：建议配置的临时 Session 签名密钥，主要用于 OAuth 状态等非管理端 API 鉴权流程；管理端 API 登录凭证通过 `OPENFLARE_TOKEN` 请求头传递。
 
 ---
 

docs/design/architecture.md

@@ -79,7 +79,7 @@ Agent 本地 Pages 部署目录
 
 * Gin 提供 HTTP 服务。
 * GORM 访问 SQLite 或 PostgreSQL。
-* 现有登录体系提供管理端 Session。
+* 现有登录体系签发管理端用户 Token，管理端 API 通过 `OPENFLARE_TOKEN` 请求头鉴权。
 * 认证源与外部账号绑定支持 GitHub OAuth 和标准 OIDC。
 * Go Server 托管 `openflare_server/web` 静态构建产物。
 

docs/guide/troubleshooting.md

@@ -9,7 +9,7 @@
 | 现象 | 先看哪里 |
 | --- | --- |
 | 管理端打不开 | Server 容器或进程日志、端口监听 |
-| 登录异常 | 默认账号、Session Secret、浏览器请求、Server 日志 |
+| 登录异常 | 默认账号、OPENFLARE_TOKEN、浏览器请求、Server 日志 |
 | 数据无法保存 | 数据库连接、SQLite 文件权限、PostgreSQL 健康状态 |
 | Agent 离线 | Agent 日志、Token、Server 地址、网络连通性 |
 | 发布后节点未更新 | 激活版本、节点 heartbeat、应用记录 |
@@ -85,8 +85,8 @@ NEXT_DEV_BACKEND_URL=http://127.0.0.1:3000 pnpm dev
 
 1. 确认连接的是预期数据库，避免 `SQLITE_PATH` 或 `DSN` 指向了另一个环境。
 2. 查看 Server 日志中使用的是 `sqlite` 还是 `postgres`。
-3. 如果部署在多副本或反向代理后，确认 `SESSION_SECRET` 固定且各实例一致。
-4. 清理浏览器 Cookie 后重新登录。
+3. 在浏览器开发者工具中确认管理端 API 请求携带 `OPENFLARE_TOKEN` 请求头。
+4. 清理浏览器本地存储中的旧 `openflare_token` 后重新登录。
 
 ### 应急重置管理员密码
 

docs/guildline/development-constraints.md

@@ -167,19 +167,19 @@ v1-v7 视为历史初始基线，不再维护逐版本升级文件。v8-v17 是
   - Client 心跳返回 tunnel 配置版本摘要。
   - Client 可拉取完整配置（relay 列表 + frpc 代理定义）。
   - Client 上报配置应用结果。
-* **Admin Tunnel 管理 API** - `/api/tunnels/*`，要求 Admin Session。
+* **Admin Tunnel 管理 API** - `/api/tunnels/*`，要求管理端 `OPENFLARE_TOKEN`。
   - CRUD tunnel 实体（创建、查询、更新、删除）。
   - Token 管理（生成、轮换）。
   - 强制同步（触发 Client 立即拉取新配置）。
-* **Admin Pages 管理 API** - `/api/pages/*`，要求 Admin Session。
+* **Admin Pages 管理 API** - `/api/pages/*`，要求管理端 `OPENFLARE_TOKEN`。
   - CRUD Pages 项目，包括 SPA fallback 启用状态与回退路径。
   - 上传 zip 部署包、查看部署历史、激活部署、删除非激活部署。
 * **Agent Pages 下载 API** - `/api/agent/pages/*`，使用 `X-Agent-Token` 认证。
   - Agent 仅能按激活配置引用的部署 ID 拉取静态部署包，不提供任意文件读取或远程命令入口。
 * 总览与节点详情优先使用专用聚合接口。
 * 管理端变更类接口统一使用 `POST`；只读接口使用 `GET`。
-* 管理端继续复用现有登录、角色与 Session。
-* 第三方登录统一通过认证源 API 进入，认证源管理接口必须要求 Root Session。
+* 管理端登录成功后返回用户 token；管理端 API 只允许从 `OPENFLARE_TOKEN` 请求头读取登录凭证，不得通过 Cookie Session 放行。
+* 第三方登录统一通过认证源 API 进入，认证源管理接口必须要求 Root 级 `OPENFLARE_TOKEN`。
 * `/api/status` 只能返回已启用认证源的公开字段，不得返回 Client Secret。
 * 第三方账号未绑定且注册关闭时，应提供绑定已有账号流程，不得自动创建用户。
 * Agent/Relay/Client 正式请求统一使用对应的专属 token（`agent_token` / `relay_token`（即 agent_token） / `tunnel_token`）。

docs/reference/api.md

@@ -20,7 +20,7 @@ OpenFlare 的管理端 API 与 Agent API 都使用 JSON。
 
 | 类型 | 约定 |
 | --- | --- |
-| 管理端 API | 由管理端 Session 鉴权 |
+| 管理端 API | 由 `OPENFLARE_TOKEN` 请求头鉴权 |
 | Agent API | 固定放在 `/api/agent/*` |
 | Relay API | 固定放在 `/api/relay/*`，使用 `X-Agent-Token` 鉴权（与 Agent 复用同一 token） |
 | OpenFlared API | 固定放在 `/api/flared/*`，使用 `X-Tunnel-Token` 鉴权（独立的 tunnel_token） |
@@ -29,7 +29,7 @@ OpenFlare 的管理端 API 与 Agent API 都使用 JSON。
 
 ## WAF IP 组接口
 
-管理端 WAF IP 组接口统一要求管理端 Session 鉴权：
+管理端 WAF IP 组接口统一要求管理端 `OPENFLARE_TOKEN` 鉴权：
 
 | 方法 | 路径 | 说明 |
 | --- | --- | --- |
@@ -47,7 +47,13 @@ IP 组 `type` 支持 `manual`、`automatic`、`subscription`。自动型 IP 组
 
 ## 鉴权
 
-管理端继续复用现有登录、角色与 Session。
+管理端登录成功后返回用户 token，后续所有管理端 API 必须在请求头中携带：
+
+```http
+OPENFLARE_TOKEN: <token>
+```
+
+Server 只从 `OPENFLARE_TOKEN` 读取管理端登录凭证，不再通过 Cookie Session 放行管理端 API。角色和用户状态仍以数据库中的当前用户记录为准。
 
 Agent 正式请求统一使用节点专属 `agent_token`，首次接入可使用全局 `discovery_token`。Agent 请求头固定为：
 

docs/reference/configuration.md

@@ -64,7 +64,7 @@ go run . --port 3000 --log-dir ./logs
 | `PORT` | Server 监听端口 | `3000` |
 | `GIN_MODE` | Gin 运行模式 | 非 `debug` 时按 release |
 | `LOG_LEVEL` | 日志等级 | `info` |
-| `SESSION_SECRET` | Session 签名密钥 | 启动时随机生成 |
+| `SESSION_SECRET` | 临时 Session 签名密钥，主要用于 OAuth 状态等非管理端 API 鉴权流程 | 启动时随机生成 |
 | `SQLITE_PATH` | SQLite 数据库文件路径 | `openflare.db` |
 | `DSN` | PostgreSQL DSN，设置后优先于 SQLite | 空 |
 | `SQL_DSN` | 兼容旧命名的 PostgreSQL DSN，优先级低于 `DSN` | 空 |
@@ -76,7 +76,7 @@ go run . --port 3000 --log-dir ./logs
 * `DSN` 与 `SQL_DSN` 同时存在时优先使用 `DSN`。
 * `DSN` 或 `SQL_DSN` 与 `SQLITE_PATH` 同时存在时优先使用 PostgreSQL。
 * 当目标 PostgreSQL 数据库为空且本地 `SQLITE_PATH` 文件存在时，Server 启动阶段会自动迁移 SQLite 数据，并在日志中输出按表迁移进度。
-* `SESSION_SECRET` 生产环境必须显式配置。
+* `SESSION_SECRET` 生产环境建议显式配置，避免 OAuth 授权状态等临时会话在重启后失效；管理端 API 登录凭证不再通过 Cookie Session 传递，而是使用 `OPENFLARE_TOKEN` 请求头。
 * `REDIS_CONN_STRING` 未配置时，相关能力回退为进程内实现。
 
 ## 运行时 Option