🚨 安全告警 纠错后自动停用 · append-only

📤 只读数据桥 机器凭证 · 防重放 · 5 秒频控 · 交付留痕

🔌 集成示例 生产 URL · Header · JSON Body

集成方直接使用下面的 HTTPS POST 接口；后台登录 Cookie 不能代替机器用户名和密码。

Content-Type: application/json

{
  "username": "laoyang-local",
  "password": "<机器凭证密码>",
  "request_id": "<每次请求生成的新 UUID>",
  "requested_at": "<当前 ISO-8601 时间，含时区>",
  "start_time": "2026-08-14 14:30:00",
  "end_time": "2026-08-14 15:00:00",
  "limit": 100,
  "cursor": null
}

Content-Type: application/json

{
  "username": "laoyang-local",
  "password": "<机器凭证密码>",
  "request_id": "<每次请求生成的新 UUID>",
  "requested_at": "<当前 ISO-8601 时间，含时区>",
  "model_type": 1,
  "query_date": "2026-08-14",
  "limit": 100,
  "cursor": null
}

• 防旧请求重放：request_id 新查询必须生成新的 UUID；只有重试同一查询才复用原 UUID。若复用旧成功请求的 UUID，接口会按幂等合同返回当时冻结的旧响应（包括旧空结果）。requested_at 必须是带时区的当前时间，并与服务器当前时间相差不超过 ±5 分钟。这里的“5 分钟”是请求新鲜度校验，不是发送间隔。
• 请求频率控制：同一机器凭证 + 来源 IP 调用任意数据桥接口，前后两次请求必须至少间隔 5 秒；过快返回 429，并通过 Retry-After 告知还需等待的秒数。
• 老杨结果来源：同日可读的 exact 自然结果永远优先；没有可读自然结果时，只允许已封存且精确标识为 spec023_capsule_replay 的救援结果。救援响应会返回 result_origin=capsule_replay_recovery、official=false、来源母/子 run、fact、evidence_status=N/A、recovery_fact_status=PASS 和 sentiment_replayed=false，始终 execution_authorized=false，不会冒充正式结果或进入模拟交易。
• 历史自然结果：可读取非当日 exact 自然任务结果。历史事实验收为 FAIL/UNKNOWN 时，顶层和每条记录都会返回 evidence_status、evidence_blocking_reasons。
• 模拟交易时间窗采用左闭右开 [start_time, end_time)，最长 24 小时；时间按上海时区解释。
• 返回核心字段包括 items、next_cursor、snapshot_id、generated_at；有下一页时，把 next_cursor 原样放入下一次相同查询。
• 密码只由集成方安全保存并随 Body 发送；页面、接口和历史均不会回显密码。

🔐 独立机器凭证 不复用后台用户密码

当前管理员可为自己的本地程序创建凭证并设置密码；密码只在创建时输入，接口和历史均不回显。

🧾 吐出记录与历史 append-only · 响应 SHA-256