门禁兼容修复

docs/project/integrations/superagent-openapi.md

@@ -74,6 +74,9 @@ FIRE_SAFETY_SUPERAGENT_OPEN_API_KEY=<secret>
 
 FIRE_SAFETY_CHAT_ENABLED=true
 FIRE_SAFETY_CHAT_AUTH_TOKEN=<another-secret-at-least-32-printable-ascii-characters>
+# Keep false for new environments. Only set true during a controlled migration
+# when an already-issued legacy Chat credential is shorter than 32 characters.
+FIRE_SAFETY_CHAT_ALLOW_LEGACY_SHORT_TOKEN=false
 FIRE_SAFETY_CHAT_ALLOWED_ORIGINS=http://localhost:5173
 ```
 
@@ -105,7 +108,7 @@ go run ./cmd/superagent-probe
 - [`../../workflows/user-chat.md`](../../workflows/user-chat.md)
 - [`../../specs/fire-safety-ymd-chat-api-v1.md`](../../specs/fire-safety-ymd-chat-api-v1.md)
 
-`FIRE_SAFETY_CHAT_AUTH_TOKEN` 是独立的首版联调凭证：原生接口将其作为 Bearer，兼容入口将其作为 `xtoken`。它不是最终用户登录；浏览器会暴露静态 Token，因此公网真实用户入口仍必须接入身份提供方、动态授权、限流和审计。
+`FIRE_SAFETY_CHAT_AUTH_TOKEN` 是独立的首版联调凭证：原生接口将其作为 Bearer，兼容入口将其作为 `xtoken`。默认要求至少 32 个字符；如果旧客户端已经拿到且无法立即更换的凭证较短，只能在受控测试/迁移窗口显式设置 `FIRE_SAFETY_CHAT_ALLOW_LEGACY_SHORT_TOKEN=true`。此时仍要求凭证非空、不超过 4096 字节，并且仅含 ASCII `0x21-0x7e`（无空格、控制字符或 Unicode）；该开关不影响 MCP Token 的至少 32 个字符门禁，三种凭证仍必须不同。轮换后恢复 `false`，新环境不得开启；服务会记录不含 Secret 的安全 warning 提醒清理。它不是最终用户登录；浏览器会暴露静态 Token，因此公网真实用户入口仍必须接入身份提供方、动态授权、限流和审计。
 
 ## 8. 与 MCP 的关系