认证与授权

REST API 支持限额内匿名调用：客户端需原样保存并回传 X-Duan-Client-Id，浏览器也可保留 duan_anon Cookie。网站使用登录会话；程序可使用 API 密钥。MCP 的创建操作需要注册账号，并通过 API 密钥或 OAuth 授权。请勿在聊天中粘贴密钥。

• 匿名调用：可在限额内创建短链。客户端需原样保存并回传服务端提供的 X-Duan-Client-Id；浏览器也可使用 HttpOnly Cookie duan_anon。匿名标识不代表已注册账号。
• 会话 Cookie（`duan_session`）— 网站控制台
• Authorization: Bearer：使用在控制台创建、具有限定权限的 API 密钥。幂等作用域按 api_key_id / 用户区分。
• OAuth 访问令牌：在浏览器中完成授权后，通过 Authorization: Bearer 使用，仅适用于 MCP 工具，不适用于 REST /v1。采用公共客户端模式和 PKCE S256。未指定 scope 时，仅授予 links:read 权限。
• OAuth 使用公共客户端的授权码模式，并采用 PKCE S256，无需 client secret。支持 authorization_code 和 refresh_token 两种授权类型。流程为：POST /oauth/register → GET /oauth/authorize → 在浏览器中确认授权 → POST /oauth/token。发现文档位于 /.well-known/oauth-authorization-server 和 /.well-known/oauth-protected-resource。A2A Agent Card 位于 /.well-known/agent-card.json，只是静态发现文档，不是 A2A 消息端点。访问令牌有效期为 1 小时。刷新时返回同一枚刷新令牌，有效期自本次刷新起延长 30 天，且自该授权创建起不超过 365 天。POST /oauth/revoke 吊销访问令牌或刷新令牌。不支持隐式授权、客户端凭证模式、设备码模式或令牌内省。
• 可授予的 OAuth 权限范围（scope）为 links:create、links:read、links:update 和 batches:create；不授予 links:disable 或 analytics:read。未指定 scope 时，令牌仅获得 links:read 权限。换取令牌时只能缩小已授权范围，不能扩大。

勿在对话中粘贴 API 密钥。

机器可通过 GET /v1/capabilities 查询当前可用功能；接口文档版本为 OpenAPI 1.6.2。