认证

轻度匿名可用（Soft D2.2：发送密封 `X-Duan-Client-Id` 或保留 `duan_anon`）；网站用登录会话；智能体用 API 密钥。勿在对话中粘贴密钥。

• 匿名 — 限额内轻度创建。Soft D2.2：代理存回密封 `X-Duan-Client-Id`，浏览器可用 HttpOnly `duan_anon`。非账户。
• 会话 Cookie（`duan_session`）— 网站控制台
• Authorization: Bearer — 范围化 API 密钥（控制台签发或 Soft D2.1 临时监测密钥）。幂等作用域为 api_key_id / 用户。

勿在对话中粘贴 API 密钥。

机器发现：`GET /v1/capabilities`（OpenAPI 1.5.0）。