认证与鉴权

本项目的试卷和文件接口不实现登录页，由部署环境或现有登录/网关提供 token。

服务端从环境变量读取：

EXAM_API_TOKEN

前端发送：

Authorization: Bearer <token>

也兼容 safeDocs 风格：

client-cookie: <token>
client-cookie: session=<token>

没有配置 EXAM_API_TOKEN 时返回：

{
  "error": "服务端未配置 EXAM_API_TOKEN，无法校验请求",
  "code": "AUTH_NOT_CONFIGURED"
}

HTTP 状态码：503。

token 错误或缺失返回：

{
  "error": "鉴权失败",
  "code": "UNAUTHORIZED"
}

HTTP 状态码：401。