[优化] 更新认证机制，使用 OPENFLARE_TOKEN 替代 Bearer Token

docs/guildline/development-constraints.md

@@ -167,19 +167,19 @@ v1-v7 视为历史初始基线，不再维护逐版本升级文件。v8-v17 是
   - Client 心跳返回 tunnel 配置版本摘要。
   - Client 可拉取完整配置（relay 列表 + frpc 代理定义）。
   - Client 上报配置应用结果。
-* **Admin Tunnel 管理 API** - `/api/tunnels/*`，要求 Admin Session。
+* **Admin Tunnel 管理 API** - `/api/tunnels/*`，要求管理端 `OPENFLARE_TOKEN`。
   - CRUD tunnel 实体（创建、查询、更新、删除）。
   - Token 管理（生成、轮换）。
   - 强制同步（触发 Client 立即拉取新配置）。
-* **Admin Pages 管理 API** - `/api/pages/*`，要求 Admin Session。
+* **Admin Pages 管理 API** - `/api/pages/*`，要求管理端 `OPENFLARE_TOKEN`。
   - CRUD Pages 项目，包括 SPA fallback 启用状态与回退路径。
   - 上传 zip 部署包、查看部署历史、激活部署、删除非激活部署。
 * **Agent Pages 下载 API** - `/api/agent/pages/*`，使用 `X-Agent-Token` 认证。
   - Agent 仅能按激活配置引用的部署 ID 拉取静态部署包，不提供任意文件读取或远程命令入口。
 * 总览与节点详情优先使用专用聚合接口。
 * 管理端变更类接口统一使用 `POST`；只读接口使用 `GET`。
-* 管理端继续复用现有登录、角色与 Session。
-* 第三方登录统一通过认证源 API 进入，认证源管理接口必须要求 Root Session。
+* 管理端登录成功后返回用户 token；管理端 API 只允许从 `OPENFLARE_TOKEN` 请求头读取登录凭证，不得通过 Cookie Session 放行。
+* 第三方登录统一通过认证源 API 进入，认证源管理接口必须要求 Root 级 `OPENFLARE_TOKEN`。
 * `/api/status` 只能返回已启用认证源的公开字段，不得返回 Client Secret。
 * 第三方账号未绑定且注册关闭时，应提供绑定已有账号流程，不得自动创建用户。
 * Agent/Relay/Client 正式请求统一使用对应的专属 token（`agent_token` / `relay_token`（即 agent_token） / `tunnel_token`）。