[优化] 更新认证机制，使用 OPENFLARE_TOKEN 替代 Bearer Token

docs/reference/api.md

@@ -20,7 +20,7 @@ OpenFlare 的管理端 API 与 Agent API 都使用 JSON。
 
 | 类型 | 约定 |
 | --- | --- |
-| 管理端 API | 由管理端 Session 鉴权 |
+| 管理端 API | 由 `OPENFLARE_TOKEN` 请求头鉴权 |
 | Agent API | 固定放在 `/api/agent/*` |
 | Relay API | 固定放在 `/api/relay/*`，使用 `X-Agent-Token` 鉴权（与 Agent 复用同一 token） |
 | OpenFlared API | 固定放在 `/api/flared/*`，使用 `X-Tunnel-Token` 鉴权（独立的 tunnel_token） |
@@ -29,7 +29,7 @@ OpenFlare 的管理端 API 与 Agent API 都使用 JSON。
 
 ## WAF IP 组接口
 
-管理端 WAF IP 组接口统一要求管理端 Session 鉴权：
+管理端 WAF IP 组接口统一要求管理端 `OPENFLARE_TOKEN` 鉴权：
 
 | 方法 | 路径 | 说明 |
 | --- | --- | --- |
@@ -47,7 +47,13 @@ IP 组 `type` 支持 `manual`、`automatic`、`subscription`。自动型 IP 组
 
 ## 鉴权
 
-管理端继续复用现有登录、角色与 Session。
+管理端登录成功后返回用户 token，后续所有管理端 API 必须在请求头中携带：
+
+```http
+OPENFLARE_TOKEN: <token>
+```
+
+Server 只从 `OPENFLARE_TOKEN` 读取管理端登录凭证，不再通过 Cookie Session 放行管理端 API。角色和用户状态仍以数据库中的当前用户记录为准。
 
 Agent 正式请求统一使用节点专属 `agent_token`，首次接入可使用全局 `discovery_token`。Agent 请求头固定为：
 

docs/reference/configuration.md

@@ -64,7 +64,7 @@ go run . --port 3000 --log-dir ./logs
 | `PORT` | Server 监听端口 | `3000` |
 | `GIN_MODE` | Gin 运行模式 | 非 `debug` 时按 release |
 | `LOG_LEVEL` | 日志等级 | `info` |
-| `SESSION_SECRET` | Session 签名密钥 | 启动时随机生成 |
+| `SESSION_SECRET` | 临时 Session 签名密钥，主要用于 OAuth 状态等非管理端 API 鉴权流程 | 启动时随机生成 |
 | `SQLITE_PATH` | SQLite 数据库文件路径 | `openflare.db` |
 | `DSN` | PostgreSQL DSN，设置后优先于 SQLite | 空 |
 | `SQL_DSN` | 兼容旧命名的 PostgreSQL DSN，优先级低于 `DSN` | 空 |
@@ -76,7 +76,7 @@ go run . --port 3000 --log-dir ./logs
 * `DSN` 与 `SQL_DSN` 同时存在时优先使用 `DSN`。
 * `DSN` 或 `SQL_DSN` 与 `SQLITE_PATH` 同时存在时优先使用 PostgreSQL。
 * 当目标 PostgreSQL 数据库为空且本地 `SQLITE_PATH` 文件存在时，Server 启动阶段会自动迁移 SQLite 数据，并在日志中输出按表迁移进度。
-* `SESSION_SECRET` 生产环境必须显式配置。
+* `SESSION_SECRET` 生产环境建议显式配置，避免 OAuth 授权状态等临时会话在重启后失效；管理端 API 登录凭证不再通过 Cookie Session 传递，而是使用 `OPENFLARE_TOKEN` 请求头。
 * `REDIS_CONN_STRING` 未配置时，相关能力回退为进程内实现。
 
 ## 运行时 Option