认证方式
平台支持四种 API Key 传递方式，按优先级依次匹配。
所有 /take 请求必须携带有效的 API Key。平台按下列顺序解析（命中即停止）：
| 优先级 | 方式 | 示例 |
|---|---|---|
| 1 | Query access_key | ?access_key=sk_live_xxx |
| 2 | Query api_key | ?api_key=sk_live_xxx |
| 3 | Header Authorization | Authorization: Bearer sk_live_xxx |
| 4 | Header X-Api-Key | X-Api-Key: sk_live_xxx |
请勿将密钥提交到公开仓库。生产环境建议使用 Header 方式，避免 Key 出现在访问日志的 URL 中。
管理接口
以下接口需要 Supabase 登录会话（浏览器 Cookie），不能使用 API Key 单独调用：
公开统计与演示接口见 公开接口。