门禁兼容修复

docs/architecture/chat-api-v1.md

@@ -66,6 +66,8 @@ busy
 - 进度只允许安全字符组成的 `run.*` / `tool.*` 事件，以及工具名和状态；消息 delta、Provider ID、工具参数和结果不向客户端透传。
 - 错误映射为稳定代码，不回显 Provider 响应正文、URL、Session、堆栈或 Secret。
 - API 默认关闭；启用必须同时具备有效 SuperAgent 配置和独立 Chat Bearer。
+- Chat 凭证默认至少 32 个可打印 ASCII 字符。为兼容已经交付且无法立即更换的旧客户端短凭证，只有在受控测试/迁移窗口显式设置 `FIRE_SAFETY_CHAT_ALLOW_LEGACY_SHORT_TOKEN=true` 才允许短值；无论开关如何，凭证都必须非空、不超过 4096 字节且仅含 ASCII `0x21-0x7e`（无空格、控制字符或 Unicode）。该开关同时适用于原生 Bearer 和兼容 `xtoken`，不影响 MCP 的至少 32 字符门禁；三种凭证必须不同。轮换后恢复 `false`，新环境不得开启。
+- 开关启用时只记录不含 Secret 的安全 warning，提醒运维在迁移完成后关闭兼容。
 
 ## 5. 伸缩与后续替换点