API

所有账户接口使用 Authorization: Bearer <短期令牌>，响应均为 Cache-Control: no-store。

交换 Access 身份

POST /api/auth/exchange

Cloudflare Access 必须先验证请求。成功后返回短期令牌；令牌应只保存在内存。

读取账户

GET /api/account/me

返回角色、账户状态、当日额度、重置时间和待审报告数量。

查询来源

POST /api/v1/check
Content-Type: application/json

{ "target": "https://sample.test/path" }

只返回 hit / miss 和额度信息。旧 GET /check 暂时兼容，响应带弃用信息。

提交证据

POST /api/v1/reports
Content-Type: application/json

{
  "domain": "suspect.example",
  "evidence": "可复核的链接、行为与上下文说明……",
  "attack_tags": ["coordinated-promotion"]
}

投稿不会自动进入运行名单。