修复 SuperAgent Open API CSRF 请求头

docs/project/requirements/M004-debug-eml-superagent-upload-v1.md

@@ -268,7 +268,7 @@ POST /api/open/agent-sessions/{sessionId}/messages/stream
 第一版建议：
 
 - 后端使用 `DEERFLOW_BASE_URL` 和 `DEERFLOW_OPEN_API_KEY` 调用 SuperAgent。
-- 状态变更请求使用 CSRF double-submit：`X-CSRF-Token` 和 `Cookie: csrf_token=<same-token>`。
+- 状态变更请求使用 CSRF double-submit：`X-CSRF-Token` 和 `Cookie: csrf_token=<same-token>`；当前共享 Open API client 已自动生成临时随机 token 并同时写入 header / cookie。
 - 创建 session 时使用 `SUPERAGENT_DEBUG_EML_EXTERNAL_SUBJECT_ID` 作为 `external_subject_id`。
 - `idempotency_key` 使用 `debug_run_id` 派生，保证同一次 Debug 运行不会重复创建不可追溯请求。
 - 发送消息时把 AgentBus-like payload 序列化为 JSON 文本，并附加中文指令，要求 SuperAgent 输出结构化 JSON。