更新日志
只记 你会在意的变更
人工挑选，不自动同步全部提交。条目按日期倒序，每条都能点进 PR 看具体改动；破坏性变更单独标出。
公共池配额闸门上线：每日 20,000 tokens，超额即提示配 Key
公共模型改为只读配置，新增用量账本与按日聚合；配额闸门与全站预算熔断同时生效，配置支持热更新，不用重启。
租户数据行级隔离：tenant_id + PostgreSQL RLS 覆盖全表
会话、消息、配置、技能、沙盒归属统一带 tenant_id，隔离由数据库强制执行；逐个 id 入口补上租户归属断言，越权请求在校验层就返回 404。
敏感字段信封加密：每条记录独立 DEK，支持 KEK 轮换
模型 Key、MCP 令牌等落库前加密，格式带版本与 key_id；接口只返回掩码，日志与审计里同类字段统一脱敏，并提供回填与轮换脚本。
运行时加固：有界连接池、租户级限流、优雅停机
长连接不再无上限增长，单租户请求按窗口限流；滚动发布时先摘流量再收尾，跑着的会话不会被硬切断。
登录换成 Clerk 托管，首登自动建独立租户
登录页、会话换取、租户停用拦截一起改；用户镜像 webhook 加每日全量兜底，Clerk 侧改邮箱名称不用等下次登录才同步。
文档拆成对内 / 对外两个产品，双语文档站上线
内部文档只留在仓库、不进构建产物；公开文档加 frontmatter 门禁、中英文件一致性与敏感信息扫描。
完整历史见 GitHub commits；订阅 RSS：/rss