Core：配置、权限、审计与系统管理
API 逐项需求、源码归属、字段与验收条件
当前固定源码下本组共 36 项方法 + 路径。下列为接口需求 v0.1，Owner 为 Core，计划阶段为 CE-02/04；均未宣称 OceanWay 已运行。原路径/字段默认沿用，变化须进入差异台账。
每项适用统一接口需求规则，并列出上游字段声明、控制器观察与具体补差。OpenAPI 没列必填不表示运行时可缺省；观察到的 JSON key 也不等于可写入字段。下载完整接口台账及上游管理规范、模型规范可查看完整嵌套 Schema。
CORE-ADMIN-001 · GET /api/about
用途与归属：获取关于信息。优先沿用，迁入/适配后验收。
鉴权：未挂 User/Admin/Token 认证；按处理器及配置校验。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：200 成功（上游未声明响应 Schema）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:33；controller.GetAbout controller/misc.go:186；上游 api.json 中 GET /api/about。
CORE-ADMIN-002 · GET /api/audit
用途与归属：GetAuditLogs。优先沿用，迁入/适配后验收。
鉴权：Admin 员工身份；authz.AuditRead。
请求：处理器读取：query.username, query.category, query.token_ref, query.exclude_token_ref, query.request_id, query.success, query.p, query.page_size。自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；处理器使用 common.ApiSuccess 包络；代码 JSON/映射中观察到 end_timestamp, start_timestamp（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:309；controller.GetAuditLogs controller/access_token.go:66。
CORE-ADMIN-003 · GET /api/audit/self
用途与归属：GetAuditLogs。优先沿用，迁入/适配后验收。
鉴权：客户登录身份（沿用上游 UserAuth 支持范围）。
请求：处理器读取：query.username, query.category, query.token_ref, query.exclude_token_ref, query.request_id, query.success, query.p, query.page_size。自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；处理器使用 common.ApiSuccess 包络；代码 JSON/映射中观察到 end_timestamp, start_timestamp（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:310；controller.GetAuditLogs controller/access_token.go:66。
CORE-ADMIN-004 · GET /api/authz/catalog
用途与归属：GetPermissionCatalog。优先沿用，迁入/适配后验收。
鉴权：Admin 员工身份。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 data, message, resources, roles, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/authz-router.go:17；controller.GetPermissionCatalog controller/authz.go:15。
CORE-ADMIN-005 · GET /api/custom-oauth-provider/
用途与归属：GetCustomOAuthProviders。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 data, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:229；controller.GetCustomOAuthProviders controller/custom_oauth.go:75。
CORE-ADMIN-006 · POST /api/custom-oauth-provider/
用途与归属：CreateCustomOAuthProvider。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：Body 类型：controller.CreateCustomOAuthProviderRequest controller/custom_oauth.go:117；允许写入字段按处理器白名单，不把整个数据库结构直接开放。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 data, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:231；controller.CreateCustomOAuthProvider controller/custom_oauth.go:216。
CORE-ADMIN-007 · DELETE /api/custom-oauth-provider/:id
用途与归属：DeleteCustomOAuthProvider。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：Path：id（必填；以实际路由名为准）。处理器读取：path.id。自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:233；controller.DeleteCustomOAuthProvider controller/custom_oauth.go:405。
CORE-ADMIN-008 · GET /api/custom-oauth-provider/:id
用途与归属：GetCustomOAuthProvider。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：Path：id（必填；以实际路由名为准）。处理器读取：path.id。自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 data, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:230；controller.GetCustomOAuthProvider controller/custom_oauth.go:95。
CORE-ADMIN-009 · PUT /api/custom-oauth-provider/:id
用途与归属：UpdateCustomOAuthProvider。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：Path：id（必填；以实际路由名为准）。处理器读取：path.id。Body 类型：controller.UpdateCustomOAuthProviderRequest controller/custom_oauth.go:272；允许写入字段按处理器白名单，不把整个数据库结构直接开放。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 data, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:232；controller.UpdateCustomOAuthProvider controller/custom_oauth.go:294。
CORE-ADMIN-010 · POST /api/custom-oauth-provider/discovery
用途与归属：FetchCustomOAuthDiscovery。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：Body 类型：controller.FetchCustomOAuthDiscoveryRequest controller/custom_oauth.go:138；允许写入字段按处理器白名单，不把整个数据库结构直接开放。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 data, discovery, message, success, well_known_url（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:228；controller.FetchCustomOAuthDiscovery controller/custom_oauth.go:144。
CORE-ADMIN-011 · GET /api/home_page_content
用途与归属：获取首页内容。优先沿用，迁入/适配后验收。
鉴权：未挂 User/Admin/Token 认证；按处理器及配置校验。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：200 成功（上游未声明响应 Schema）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:35；controller.GetHomePageContent controller/misc.go:212；上游 api.json 中 GET /api/home_page_content。
CORE-ADMIN-012 · GET /api/notice
用途与归属：获取公告。优先沿用，迁入/适配后验收。
鉴权：未挂 User/Admin/Token 认证；按处理器及配置校验。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：200 成功（上游未声明响应 Schema）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:30；controller.GetNotice controller/misc.go:179；上游 api.json 中 GET /api/notice。
CORE-ADMIN-013 · GET /api/option/
用途与归属：获取系统选项。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：200 成功（上游未声明响应 Schema）；代码 JSON/映射中观察到 data, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:206；controller.GetOptions controller/option.go:84；上游 api.json 中 GET /api/option/。
CORE-ADMIN-014 · PUT /api/option/
用途与归属：更新系统选项。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：Body 类型：controller.OptionUpdateRequest controller/option.go:134；允许写入字段按处理器白名单，不把整个数据库结构直接开放。
返回：200 成功（上游未声明响应 Schema）；处理器使用 common.ApiSuccess 包络；代码 JSON/映射中观察到 AudioCompletionRatio, AudioRatio, AutomaticDisableStatusCodes, AutomaticRetryStatusCodes, CreateCacheRatio, EmailDomainRestrictionEnabled, GitHubOAuthEnabled, GroupRatio, ImageRatio, LinuxDOOAuthEnabled, ModelRequestRateLimitGroup, QuotaForInvitee, TelegramOAuthEnabled, TurnstileCheckEnabled, WeChatAuthEnabled, code, key, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:207；controller.UpdateOption controller/option.go:183；上游 api.json 中 PUT /api/option/。
CORE-ADMIN-015 · PUT /api/option/passkey/domains
用途与归属：UpdatePasskeyDomains。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：处理器匿名请求字段：rp_id:*string（条件必填看处理器）, legacy_rp_ids:*string（条件必填看处理器）, origins:*string（条件必填看处理器）, preview:bool（条件必填看处理器）, removal_confirmation:string（条件必填看处理器）。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；处理器使用 common.ApiSuccess 包络。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:208；controller.UpdatePasskeyDomains controller/option.go:139。
CORE-ADMIN-016 · POST /api/option/rest_model_ratio
用途与归属：重置模型倍率。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：Body/表单由下方处理器定义；上游未提供完整 Schema，本项要求迁入时补出字段白名单、必填、类型、默认和限制，缺失不作为“任意 JSON”开放。
返回：200 成功（上游未声明响应 Schema）；代码 JSON/映射中观察到 message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:216；controller.ResetModelRatio controller/pricing.go:79；上游 api.json 中 POST /api/option/rest_model_ratio。
CORE-ADMIN-017 · POST /api/option/waffo-pancake/save
用途与归属：SaveWaffoPancake。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：Body 类型：controller.saveWaffoPancakeRequest controller/topup_waffo_pancake.go:109；允许写入字段按处理器白名单，不把整个数据库结构直接开放。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 data, message, product_id, store_id（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:219；controller.SaveWaffoPancake controller/topup_waffo_pancake.go:125。
CORE-ADMIN-018 · DELETE /api/performance/disk_cache
用途与归属：ClearDiskCache。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:239；controller.ClearDiskCache controller/performance.go:143。
CORE-ADMIN-019 · POST /api/performance/gc
用途与归属：ForceGC。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：Body/表单由下方处理器定义；上游未提供完整 Schema，本项要求迁入时补出字段白名单、必填、类型、默认和限制，缺失不作为“任意 JSON”开放。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:241；controller.ForceGC controller/performance.go:169。
CORE-ADMIN-020 · DELETE /api/performance/logs
用途与归属：CleanupLogFiles。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：处理器读取：query.mode, query.value。自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 by_count, by_days, data, deleted_count, failed_files, freed_bytes, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:243；controller.CleanupLogFiles controller/performance.go:268。
CORE-ADMIN-021 · GET /api/performance/logs
用途与归属：GetLogFiles。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；处理器使用 common.ApiSuccess 包络。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:242；controller.GetLogFiles controller/performance.go:232。
CORE-ADMIN-022 · POST /api/performance/reset_stats
用途与归属：ResetPerformanceStats。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：Body/表单由下方处理器定义；上游未提供完整 Schema，本项要求迁入时补出字段白名单、必填、类型、默认和限制，缺失不作为“任意 JSON”开放。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:240；controller.ResetPerformanceStats controller/performance.go:159。
CORE-ADMIN-023 · GET /api/performance/stats
用途与归属：GetPerformanceStats。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 data, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:238；controller.GetPerformanceStats controller/performance.go:83。
CORE-ADMIN-024 · GET /api/privacy-policy
用途与归属：获取隐私政策。优先沿用，迁入/适配后验收。
鉴权：未挂 User/Admin/Token 认证；按处理器及配置校验。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：200 成功（上游未声明响应 Schema）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:32；controller.GetPrivacyPolicy controller/misc.go:197；上游 api.json 中 GET /api/privacy-policy。
CORE-ADMIN-025 · GET /api/setup
用途与归属：获取初始化状态。优先沿用，迁入/适配后验收。
鉴权：未挂 User/Admin/Token 认证；按处理器及配置校验。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：200 成功（上游未声明响应 Schema）；代码 JSON/映射中观察到 data, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:24；controller.GetSetup controller/setup.go:27；上游 api.json 中 GET /api/setup。
CORE-ADMIN-026 · POST /api/setup
用途与归属：初始化系统。优先沿用，迁入/适配后验收。
鉴权：未挂 User/Admin/Token 认证；按处理器及配置校验。
请求：Body 字段（application/json）：username:string [规范未列必填]; password:string [规范未列必填]。
返回：200 成功（上游未声明响应 Schema）；代码 JSON/映射中观察到 message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:25；controller.PostSetup controller/setup.go:46；上游 api.json 中 POST /api/setup。
CORE-ADMIN-027 · GET /api/status
用途与归属：获取系统状态。优先沿用，迁入/适配后验收。
鉴权：未挂 User/Admin/Token 认证；按处理器及配置校验。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：200 成功（上游未声明响应 Schema）；代码 JSON/映射中观察到 HeaderNavModules, SidebarModulesAdmin, announcements_enabled, api_info_enabled, chats, checkin_enabled, custom_currency_exchange_rate, custom_currency_symbol, data, data_export_default_time, default_collapse_sidebar, default_use_auto_group, demo_site_enabled, discord_client_id, discord_oauth, display_in_currency, docs_link, email_verification, enable_batch_update, enable_data_export, enable_drawing, enable_task, faq_enabled, footer_html, github_client_id, github_oauth, linuxdo_client_id, linuxdo_minimum_trust_level, linuxdo_oauth, logo, message, mj_notify_enabled, oidc_authorization_endpoint, oidc_client_id, oidc_display_name, oidc_enabled, passkey_allow_insecure, passkey_attachment, passkey_display_name, passkey_login, passkey_origins, passkey_rp_id, passkey_rp_ids, passkey_user_verification, password_login_enabled, password_login_encryption_enabled, password_register_enabled, price, privacy_policy_enabled, quota_display_type, quota_per_unit, register_enabled, self_use_mode_enabled, server_address, setup, start_time, stripe_unit_price, success, system_name, telegram_bot_name, telegram_oauth, telegram_oauth_configured, theme, turnstile_check, turnstile_site_key, uptime_kuma_enabled, usd_exchange_rate, user_agreement_enabled, version, wechat_login, wechat_qrcode（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:26；controller.GetStatus controller/misc.go:44；上游 api.json 中 GET /api/status。
CORE-ADMIN-028 · GET /api/status/test
用途与归属：测试系统状态。优先沿用，迁入/适配后验收。
鉴权：Admin 员工身份。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：200 成功（上游未声明响应 Schema）；代码 JSON/映射中观察到 http_stats, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：默认读取可重试；但上游存在 GET 执行动作/签发凭据，必须按处理器确认。不得把方法名作为安全重试的唯一依据。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:29；controller.TestStatus controller/misc.go:25；上游 api.json 中 GET /api/status/test。
CORE-ADMIN-029 · GET /api/system-info/instances
用途与归属：ListSystemInstances。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 data, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:331；controller.ListSystemInstances controller/system_info.go:13。
CORE-ADMIN-030 · DELETE /api/system-info/instances/:node_name
用途与归属：DeleteStaleSystemInstance。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：Path：node_name（必填；以实际路由名为准）。处理器读取：path.node_name。自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；处理器使用 common.ApiSuccess 包络；代码 JSON/映射中观察到 deleted_count（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:333；controller.DeleteStaleSystemInstance controller/system_info.go:45。
CORE-ADMIN-031 · DELETE /api/system-info/stale-instances
用途与归属：DeleteStaleSystemInstances。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；处理器使用 common.ApiSuccess 包络；代码 JSON/映射中观察到 deleted_count（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:332；controller.DeleteStaleSystemInstances controller/system_info.go:33。
CORE-ADMIN-032 · GET /api/system-task/:task_id
用途与归属：GetSystemTask。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：Path：task_id（必填；以实际路由名为准）。处理器读取：path.task_id。自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 data, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:326；controller.GetSystemTask controller/system_task.go:89。
CORE-ADMIN-033 · GET /api/system-task/current
用途与归属：GetCurrentSystemTask。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：处理器读取：query.type。自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 data, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:325；controller.GetCurrentSystemTask controller/system_task.go:37。
CORE-ADMIN-034 · GET /api/system-task/list
用途与归属：ListSystemTasks。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：处理器读取：query.limit。自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：上游 OpenAPI 无本项响应规范；按处理器返回值补齐成功、拒绝和错误结构；代码 JSON/映射中观察到 data, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：OPENAPI-MISSING：源码已注册，上游 OpenAPI 无匹配操作。
来源：router/api-router.go:324；controller.ListSystemTasks controller/system_task.go:68。
CORE-ADMIN-035 · POST /api/system-task/log-cleanup
用途与归属：创建日志清理任务。优先沿用，迁入/适配后验收。
鉴权：Root 管理身份。
请求：OpenAPI 参数：query.target_timestamp:integer（必填）。处理器读取：query.target_timestamp。Body/表单由下方处理器定义；上游未提供完整 Schema，本项要求迁入时补出字段白名单、必填、类型、默认和限制，缺失不作为“任意 JSON”开放。
返回：200 成功创建任务或返回参数错误（上游未声明响应 Schema）；代码 JSON/映射中观察到 data, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：沿用原行为，不擅自要求所有旧接口新增 Idempotency-Key；创建/财务动作必须定义重复点击和响应丢失结果，客户端不得无条件自动重试。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:323；controller.CreateLogCleanupSystemTask controller/system_task.go:14；上游 api.json 中 POST /api/system-task/log-cleanup。
CORE-ADMIN-036 · GET /api/uptime/status
用途与归属：获取Uptime Kuma状态。优先沿用，迁入/适配后验收。
鉴权：未挂 User/Admin/Token 认证；按处理器及配置校验。
请求：自动提取未发现请求体字段；是否接受 Body 及约束仍以处理器为准。
返回：200 成功（上游未声明响应 Schema）；代码 JSON/映射中观察到 data, message, success（仅为字面键观察，含分支/内部映射，不等同完整响应契约）。
业务与副作用：按配置项/操作收敛权限，不能因沿用 /api/option/ 就将全部供应配置交给客户平台。重要变更记录操作者、对象和结果；对现有高权限接口优先保持收敛访问，不凭前端菜单控制权限。
幂等、重试与异常：读取可有界重试，不新建调用或扣款；结果为空、权限失败与查询未知分开。 保留原 HTTP 状态、业务 success/message 或模型 error 包络，不将所有失败改成同一状态。区分参数、身份、权限、余额、限流、上游与执行未知；敏感栈和供应凭据不返回客户。
验收需求：成功与空态；缺失/非法字段；未登录/跨账户/无权限；限流；资源不存在；重试与状态冲突；数据库提交后响应丢失（写操作）；返回字段与既有协议兼容。
迁入差异：RESPONSE-SCHEMA-MISSING：上游响应未定义结构；以处理器和兼容用例补齐。
来源：router/api-router.go:27；controller.GetUptimeKumaStatus controller/uptime_kuma.go:131；上游 api.json 中 GET /api/uptime/status。