# Website API 契约

网站模式与原本机 Bearer 模式分别启动，不自动降级。前缀 `/api/decision/v1`。

| 路径                                            | 方法   | 语义                                                                  |
| ----------------------------------------------- | ------ | --------------------------------------------------------------------- |
| `/session`                                      | POST   | 同源 JSON 空对象建立/恢复会话，返回 CSRF、版本、设置状态；不调用模型  |
| `/session`                                      | DELETE | CSRF 保护，取消任务、销毁凭据和订阅进程                               |
| `/status`                                       | GET    | 当前会话状态、配置版本，不延长空闲寿命                                |
| `/models`                                       | GET    | DeepSeek 固定型号及服务端缓存的 OpenRouter 结构化模型目录             |
| `/configuration`                                | PUT    | 原子更新 `{llm:{provider,model,apiKey?},jev:{apiKey?}}`，拒绝其他字段 |
| `/plan`,`/decide`,`/test`,`/cancel`             | POST   | 沿用既有契约，作用域仅当前会话                                        |
| `/codex/status`,`/codex/models`,`/codex/limits` | GET    | 会话独立订阅状态，无账号时不启动 CLI                                  |
| `/codex/login`,`/codex/cancel`,`/codex/logout`  | POST   | 官方设备码登录、取消、退出；拒绝任意 RPC                              |

生产 Cookie 为 `__Host-cadworld-session; Secure; HttpOnly; SameSite=Strict; Path=/`，无 Domain。修改/推理携带 `X-CSRF-Token` 和 `X-Config-Version`，精确 Origin/Host 校验。开发 HTTP 只接受显式 `--website-dev` 与回环来源，用不同 Cookie 名，不改变生产要求。代理只信任配置的来源 IP，覆盖外来转发头。

省略 apiKey 表示同提供方保留内存密钥，换提供方必须重填；清除通过销毁整个会话完成。配置草稿不改变后台，保存不推理。并发标签页以配置版本拒绝旧配置。错误只返回稳定错误码，不回显上游文本。

会话空闲 30 分钟、最长 8 小时，状态轮询不续期。最多 128 会话，单会话 1 推理、全局 8 推理、2 Codex 账号；会话/IP/全局限流分别生效。浏览器模型 ZIP 不上传。真实 API/订阅验收必须由用户显式授权，不加载仓库 `.env`。