[优化] 更新认证机制，使用 OPENFLARE_TOKEN 替代 Bearer Token

docs/reference/api.md

@@ -20,7 +20,7 @@ OpenFlare 的管理端 API 与 Agent API 都使用 JSON。
 
 | 类型 | 约定 |
 | --- | --- |
-| 管理端 API | 由管理端 Session 鉴权 |
+| 管理端 API | 由 `OPENFLARE_TOKEN` 请求头鉴权 |
 | Agent API | 固定放在 `/api/agent/*` |
 | Relay API | 固定放在 `/api/relay/*`，使用 `X-Agent-Token` 鉴权（与 Agent 复用同一 token） |
 | OpenFlared API | 固定放在 `/api/flared/*`，使用 `X-Tunnel-Token` 鉴权（独立的 tunnel_token） |
@@ -29,7 +29,7 @@ OpenFlare 的管理端 API 与 Agent API 都使用 JSON。
 
 ## WAF IP 组接口
 
-管理端 WAF IP 组接口统一要求管理端 Session 鉴权：
+管理端 WAF IP 组接口统一要求管理端 `OPENFLARE_TOKEN` 鉴权：
 
 | 方法 | 路径 | 说明 |
 | --- | --- | --- |
@@ -47,7 +47,13 @@ IP 组 `type` 支持 `manual`、`automatic`、`subscription`。自动型 IP 组
 
 ## 鉴权
 
-管理端继续复用现有登录、角色与 Session。
+管理端登录成功后返回用户 token，后续所有管理端 API 必须在请求头中携带：
+
+```http
+OPENFLARE_TOKEN: <token>
+```
+
+Server 只从 `OPENFLARE_TOKEN` 读取管理端登录凭证，不再通过 Cookie Session 放行管理端 API。角色和用户状态仍以数据库中的当前用户记录为准。
 
 Agent 正式请求统一使用节点专属 `agent_token`，首次接入可使用全局 `discovery_token`。Agent 请求头固定为：