1445043649
4cd2acc192
feat(apps): 新增 headless(API Key) 多租户冒烟测试，并登记进 apps/README
multi_tenant.py 的「server-to-server / 无人值守」版：每个租户先由人类 owner
（cookie 会话）建 service account 并 mint 一把 workspace-scoped key
（POST /api/v1/service-accounts → POST /api/v1/api-keys，plaintext 仅返回一次），
之后所有对话只用 Authorization: Bearer dfk_live_...（独立 Session，免 cookie/CSRF）。
除并发 / 多轮上下文 / 租户隔离（同 cookie 版）外，额外校验两条 headless 专属性质：
- scope 强制：缺 runs:create 的 key 发起 stream 返回 403
- 撤销即失效：DELETE /api/v1/api-keys/{id} 后该 key 立即 401
对 :8001 实跑（DF_TENANTS=4 DF_TURNS=10）全绿。同时更正 apps/README 中
「API Key 鉴权尚未接入」的过时说明。
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>