认证

MasterOS 的 API 目前使用单一机制：一个 httpOnly session cookie，由 POST /v1/auth/verify-login-code（或一个 OAuth 回调）设置，并被 API reference 中所有要求 session 认证的端点读取。

目前还没有单独的 API 密钥或 bearer-token 方案——来自你自己脚本或服务器的请求，需要以与浏览器相同的方式进行认证，即登录并复用得到的 cookie。一个专门面向第三方/server-to-server 集成的 API 密钥机制已在计划中，但尚未构建——参见 Integrations。

限流

验证码请求、验证码校验和密码重置请求会按 IP 地址和按邮箱/账户分别独立限流，因此单靠绕开其中一个限制是行不通的。

密码重置

无论该邮箱是否已注册，POST /v1/auth/forgot-password 始终返回相同的响应，因此调用者无法借此枚举出真实存在的账户。重置 token 本身仅可使用一次，并在一个固定的时间窗口后过期。