请求合同

客户端把成功业务码配置为 0，错误提示读取 message。租户和平台使用各自的前缀，刷新 Cookie 也分开。请求带精确 Origin 和 X-App-Request。

access 放在内存。只有受保护接口返回 401001 时，才刷新一次并重试原来的请求。重试会重新生成请求号。401002、403 和刷新失败都不循环刷新。

mustChangePassword 为 true 时，在请求 me、codes、menus 之前进入改密页。改密页允许的是刷新、退出和本人改密。

开发环境发送明文 JSON。生产环境先读取 GET /api/security/config。发现失败、密文损坏或响应请求号对不上时，请求失败，不降级成明文。GET 的查询放进 X-Fago-Payload，写请求使用 application/jose。每次重试都重新加密，不复用旧密文。

写操作失败时保留表单。版本冲突 409001 要求先刷新再提交。网络结果不确定时先重新查询，不自动再提交一次。

字段、分页和加密后的业务结构见 接口与错误码 与 参数、分页与响应。合同源文件是仓库根目录 api/openapi.yaml。修改合同后要重新生成前端类型并一起提交。

租户受保护请求的最小请求头（与 登录与会话 一致）：

GET /api/admin/v1/auth/me
Origin: http://127.0.0.1:5174
X-App-Request: admin
Authorization: Bearer <access>
X-Request-Id: <客户端生成的请求号>

工作流大正文继续走同一JWE封装与认证客户端。只有精确登记的定义/表单/草稿/发起POST，及精确实例/激活/任务的decision、return POST使用512KiB业务正文额度；领域JSON仍256KiB。 普通管理接口16KiB、精确文件上传8MiB不变；相似路径、编码别名、跨realm或非POST不能继承额度。完整步骤与严格JSON编辑边界见工作流管理。