开放接口

网页登录用手机号收验证码（POST /api/auth/phone/start → phone/verify）， 拿到的就是会话令牌。验证码由 CloudBase 平台认证下发与校验，走云开发默认短信通道。 两者都只在签发时返回一次明文，服务端只保存哈希——丢失无法找回，只能重新签发。 另外：请求头里的平台透传字段（如 x-userid）可被客户端伪造，不作鉴权依据。

1. 注册账号：POST /api/auth/register，只需要用户名与密码。
2. 登录拿会话令牌：POST /api/auth/login，返回 token。
3. 用会话令牌签发 Key：POST /api/auth/api-keys，显式列出需要的 scopes。
4. 之后每次调用带 X-API-Key 即可，不再需要账号密码。

程序这条路刻意保留用户名密码：网页端可以用手机号收验证码， 但脚本与 AI 代理没法伸手去拿短信。自动化要的是不需要人参与就能重放的凭据。

# 1) 注册
curl -X POST https://site.zhuxh.cn/api/auth/register \
  -H 'content-type: application/json' \
  -d '{"username":"yourname","password":"至少十位的密码"}'

# 2) 登录，取回会话令牌
curl -X POST https://site.zhuxh.cn/api/auth/login \
  -H 'content-type: application/json' \
  -d '{"username":"yourname","password":"至少十位的密码"}'
# → {"ok":true,"token":"hm1_…","expires_at":"…"}

# 3) 用会话令牌签发 API Key（scopes 必须逐项列出）
curl -X POST https://site.zhuxh.cn/api/auth/api-keys \
  -H "Authorization: Bearer hm1_…" \
  -H 'content-type: application/json' \
  -d '{"name":"my-bot","scopes":"search:read,post:read"}'
# → {"ok":true,"key":"hmg_…"}  ← 只返回这一次

# 4) 之后用 Key 调用
curl 'https://site.zhuxh.cn/api/posts/search?q=签名' \
  -H "X-API-Key: hmg_…"

不接受通配符 *，必须逐项列举。 一个能发帖的 Key 不应该顺带获得其他能力；每账号最多 5 个有效 Key， rate_limit 可按 Key 单独设定（1–1000 次，默认 60）。