feat(auth,gateway,user): X-API-Key 真接线 + key 一律超管 + owner 档案真落盘（裁决 15.4.2/15.4.3/10.4.5/08.4.2）

- 15.4.2：管理 API 与 Bearer 共用同一 Authorize 路径，X-API-Key 命中签发表即过门；未知/已吊销/空值 401 且不回落 Bearer（fail-closed）
- 15.4.3：key 表去掉角色维度，任一有效 key 鉴权后即 owner；签发接口取消 role 分级（不再读请求体）
- 10.4.5：新增 GET/PUT /api/v1/admin/owner-profile（owner-only，PUT 带审计 owner.profile.update），0600 原子落盘 + 活档案热替换；前端主人档案改接真实 API，读不到即禁用保存，删掉硬编码默认档案
- 08.4.2：persona 的 identity.systemPrompt 必填，缺失/空白 400 显式报错，不再派生回落

internal/auth/apikey_test.go

@@ -14,7 +14,7 @@ func newTestAPIKey() *APIKey {
 func TestAPIKey_GenerateVerify(t *testing.T) {
 	t.Parallel()
 	k := newTestAPIKey()
-	key, err := k.Generate(RoleAdmin)
+	key, err := k.Generate()
 	if err != nil {
 		t.Fatalf("Generate error: %v", err)
 	}
@@ -24,20 +24,45 @@ func TestAPIKey_GenerateVerify(t *testing.T) {
 	if !k.Verify(key) {
 		t.Errorf("Verify(%q) = false, want true", key)
 	}
+	// 裁决 15.4.3：任何有效 key 都是超管级，不按 role 分档。
 	role, ok := k.Lookup(key)
-	if !ok || role != RoleAdmin {
-		t.Errorf("Lookup(%q) = (%q,%v), want (admin,true)", key, role, ok)
+	if !ok || role != RoleOwner {
+		t.Errorf("Lookup(%q) = (%q,%v), want (owner,true)", key, role, ok)
+	}
+}
+
+// TestAPIKey_GenerateIgnoresLegacyRole 钉住「key 不做角色分级」这条裁决的
+// 可观察后果：即使调用方沿旧签名传了 admin/viewer，签出来的 key 仍然是
+// 超管级，且表里不留任何角色维度。
+func TestAPIKey_GenerateIgnoresLegacyRole(t *testing.T) {
+	t.Parallel()
+	k := newTestAPIKey()
+	for _, want := range []Role{RoleAdmin, RoleViewer} {
+		key, err := k.Generate(want)
+		if err != nil {
+			t.Fatalf("Generate(%q) error: %v", want, err)
+		}
+		role, ok := k.Lookup(key)
+		if !ok || role != RoleOwner {
+			t.Fatalf("Generate(%q) → Lookup = (%q,%v), want (owner,true)", want, role, ok)
+		}
+	}
+	// 列表也一律如实报 owner，面板据此没有分级可显示。
+	for _, s := range k.List() {
+		if s.Role != RoleOwner {
+			t.Fatalf("List() entry role = %q, want owner", s.Role)
+		}
 	}
 }
 
 func TestAPIKey_GenerateUnique(t *testing.T) {
 	t.Parallel()
 	k := newTestAPIKey()
-	a, err := k.Generate(RoleViewer)
+	a, err := k.Generate()
 	if err != nil {
 		t.Fatalf("Generate error: %v", err)
 	}
-	b, err := k.Generate(RoleViewer)
+	b, err := k.Generate()
 	if err != nil {
 		t.Fatalf("Generate error: %v", err)
 	}
@@ -68,7 +93,7 @@ func TestAPIKey_VerifyUnknown(t *testing.T) {
 func TestAPIKey_Revoke(t *testing.T) {
 	t.Parallel()
 	k := newTestAPIKey()
-	key, err := k.Generate(RoleViewer)
+	key, err := k.Generate()
 	if err != nil {
 		t.Fatalf("Generate error: %v", err)
 	}
@@ -85,8 +110,8 @@ func TestAPIKey_RevokeAll(t *testing.T) {
 	t.Parallel()
 	k := newTestAPIKey()
 	keys := make([]string, 0, 3)
-	for _, role := range []Role{RoleOwner, RoleAdmin, RoleViewer} {
-		key, err := k.Generate(role)
+	for range 3 {
+		key, err := k.Generate()
 		if err != nil {
 			t.Fatalf("Generate error: %v", err)
 		}