新增上游来源
加密保存真实后台应把上游 Key 用 KMS / AES-GCM 等方式加密保存，前端不回显明文，只允许重置或轮换。
上游代理来源管理
这里已经接入一树 API 网关后端：录入上游代理站点和上游 Key 后，后端会加密保存；用户侧用一树生成的 Key 调用统一 `/v1` 接口。多个上游来源会按健康状态、优先级和权重自动切换。
管理员验证
检测中管理员令牌只用于请求后端接口，不会写进静态网页。上游 API Key 只提交一次，后端加密保存，页面不回显明文。
正在连接网关...
多来源池
自动切换暂无上游来源
故障切换策略
健康检查
定时请求 `/models` 或轻量测试接口，记录延迟、错误率和可用模型。
请求路由
优先走健康且优先级最高的来源，可按模型、订阅、用户分组做路由。
自动摘除
上游超时、5xx、余额不足或认证失败时，临时摘除并切到备用来源。
恢复接回
故障来源连续健康后再逐步接回，避免刚恢复就打满流量。
用户 Key 绑定
用户购买订阅后生成一树 API Key。这个 Key 不暴露上游来源，只绑定用户、套餐、可用模型、额度、过期时间和速率限制。
生成后只显示一次暂无用户 Key
Authorization: Bearer yishu_live_xxxxxxxxx加密与权限
上游 Key 必须只在后端加密保存；管理入口要做管理员登录、操作审计、IP 限制和二次确认。前台网站不保存上游密钥。
当前可用范围
当前版本已经具备上游来源管理、上游 Key 加密保存、用户 Key 生成、Bearer Key 校验、`/v1` 代理转发和故障切换。订阅支付、余额扣费、模型级权限和完整审计报表仍属于下一步业务后台。