修复 SuperAgent Open API CSRF 请求头

docs/project/requirements/M007-agentbus-superagent-auto-dispatch-v1.md

@@ -56,6 +56,7 @@ AgentBus WebSocket 收到邮件
 2026-07-12 导入的 `OPEN_AGENT_API_JAVA_SSE_CLIENT.md` 对 Java SSE 调用提出新的强约束。本项目后续 Open API client 必须满足：
 
 - 请求 `messages/stream?include_trace=true` 时生成稳定 `X-Request-ID`。
+- Open API 请求必须携带 CSRF double-submit：`X-CSRF-Token` 与 `Cookie: csrf_token=<same-token>` 使用后端临时随机值，不写入配置文件或环境变量。
 - 同一业务 SourceMessage 的 `idempotency_key` 在所有尝试中保持不变。
 - 初始 POST 成功后保存响应头 `Content-Location`，解析并保存 SuperAgent `run_id`。
 - SSE 必须按帧解析 `event:`、`data:`、`id:` 和 heartbeat comment。