docs(api): api-client v0.51 补管理面契约 + api-reference 去假陈述 + 帧名口径统一（裁决 15.4.2/15.4.3/10.4.5/08.4.2）

- api-client.md v0.51 同版补记 D 组：X-API-Key 已接线（管理面与用户侧已认证端点同时接受该头，恒 owner 级、fail-closed）、新增 owner-profile GET/PUT（owner-only，写带审计）、persona systemPrompt 改必填；§2.0 owner-only 档 35 → 37 条
- api-client.md 修正 /admin/users 条（签发/吊销 key 已实现，POST 创建用户仍诚实 501）与 M10 待办（主人档案保存已落地）
- api-reference.md §0.1 与 §8.4 两处「X-API-Key 未接入」假陈述改为指针（契约以 api-client 为准），版本指针 v0.49 → v0.51
- gateway 帧可见性测试的虚项改为真实帧名常量 wsSubagentResult（此前写的是 bus 主题拼法 subagent.result），测试说明帧名与 topic 的分工

Docs/api-reference.md

@@ -1,6 +1,6 @@
 # Cyrene v2 后端 API 参考（api-reference.md）
 
-> **权威归属（先读这条）**：**契约以 `Docs/api-client.md` 为准**——那是版本化的跨平台客户端契约，每个端点的形状 / 语义 / 版本变更都记在那里（当前 `v0.49`）。**本文件是内部与运维参考**：端点全集索引 + 示例 + 部署细节。**凡是与 api-client 重复的契约性描述，一律以 api-client 为准（本文件不再维护第二份契约）；发现两者不一致时，改本文件而不是改 api-client。**
+> **权威归属（先读这条）**：**契约以 `Docs/api-client.md` 为准**——那是版本化的跨平台客户端契约，每个端点的形状 / 语义 / 版本变更都记在那里（当前 `v0.51`）。**本文件是内部与运维参考**：端点全集索引 + 示例 + 部署细节。**凡是与 api-client 重复的契约性描述，一律以 api-client 为准（本文件不再维护第二份契约）；发现两者不一致时，改本文件而不是改 api-client。**
 > **本文件的正确用法**：查「有哪些端点、大致形状、错误码、部署注意事项」可以；**写客户端代码时请以 `Docs/api-client.md` 为准**，本文件的字段表 / 示例可能滞后。
 > **历史包袱（如实）**：本文件长期自称「全部后端 API 的唯一详细参考 / 超详细主文档 / 每变更必同步」，但实际**系统性滞后于实现与 api-client**（2026-10-03 的 16 路 design-vs-code 审计结论）。本次已修正与实现**直接矛盾**的陈述、并把若干复述型段落改为引用 api-client；**仍未登记的端点 / WS 事件清单见 `DevDocs/audit/00-总览.md` §4④**，属后续「文档补全」批次，本文件暂不补全。
 > **其余仍成立**：所有字段名、取值、鉴权规则、状态码最终**以代码为准**（`internal/services/gateway/*.go`）；契约变更版本化（REST 走 `/api/v1`，破坏性变更升 v2），不得破坏既有客户端（版本化承诺本身记在 api-client §5）。
@@ -34,7 +34,7 @@
   - **握手 `history` 回放**：**仅 `owner`/`admin`** 连接收到（`internal/services/gateway/ws_history.go` 的 `replayHistory` 首行门）。
   - **下行帧**：只有 7 个**不含内容**的状态机信号（`session_busy`/`pending_ack`/`pending_drain`/`session_idle`/`session_interrupted`/`pending_full`/`session_read`）发给所有已认证连接；**其余全部**（正文 / 推理 / 工具 / 持久化与编辑删除的消息 / `graph_update` / `subagent_event` / `task_output` / `mood` / `device_update` / `reminder` …）**仅发 `owner`+`admin`**；未登记的新帧类型默认只发 owner/admin（`internal/services/gateway/ws_frame_scope.go` 的 `frameReachesAll`，fail-closed）。
   - **口径**：`viewer` = **可连接、可读 12 条只读监控 REST、可收 7 个状态机信号帧**；除此以外 WS 上拿不到任何内容、也发不出任何指令。
-- **API Key（`X-API-Key`）**：⚠️ **当前实现未接入**。认证/授权中间件 `Authorize` 只校验 `Authorization: Bearer <JWT>`。`POST /api/v1/admin/users/apikey` 会**签发**一个明文 API key（仅返回一次），`GET /api/v1/admin/users` 会列出其掩码，但**网关的鉴权中间件目前不接受 `X-API-Key` 头**（`auth.APIKey.Verify/Lookup` 仅在单元测试中调用）。本文档按代码如实标注：**所有端点实际鉴权 = Bearer JWT**。若未来把 API key 接入中间件，需同步更新本档。
+- **API Key（`X-API-Key`）**：**API key 已接入鉴权（v0.51，见 api-client.md §认证）**——已认证端点同时接受该头，命中签发表即通过且一律 `owner` 级，带该头时只走 key 分支（未知/已吊销/空值回 `401`、不回落 Bearer）；WS 握手仍只认 Bearer。
 
 ### 0.2 X-API-Version 头
 
@@ -1213,10 +1213,10 @@ TOKEN=$(curl -s -X POST http://<host>:8080/api/v1/auth/login \
 
 ### 8.4 里程碑与未实现集合（诚实标注）
 
-- **已真实实现**：登录/健康检查/聊天（同步+流式）/会话（列表/新建/删除/消息分页）/人格/管理读（personas/sessions/memories/plugins/channels/iot/llm/users/automations/backthink/rag/observability×4：metrics/trace/audit/logs）/管理写（人格/API key/设备控制/自动化/LLM 保存·测试/渠道连接·断开·身份测试/渠道配置·删除/KOOK 面板/微信扫码/记忆添加·检索/插件安装·卸载/RAG 导入·删除/系统设置 4 项）。
-- **仍为后置 M10（返回 `501 not_implemented`，不伪造）**：新增用户（无用户表/登录）、IoT 场景与规则（无模型/存储）、主人档案保存、编辑环境变量/重启服务/检查更新、完整会话转录导出（当前导出身份元数据）。
+- **已真实实现**：登录/健康检查/聊天（同步+流式）/会话（列表/新建/删除/消息分页）/人格/管理读（personas/sessions/memories/plugins/channels/iot/llm/users/automations/backthink/rag/observability×4：metrics/trace/audit/logs）/管理写（人格/API key/设备控制/自动化/LLM 保存·测试/渠道连接·断开·身份测试/渠道配置·删除/KOOK 面板/微信扫码/记忆添加·检索/插件安装·卸载/RAG 导入·删除/主人档案读写（`GET`/`PUT /api/v1/admin/owner-profile`，v0.51）/系统设置 4 项）。
+- **仍为后置 M10（返回 `501 not_implemented`，不伪造）**：新增用户（无用户表/登录）、IoT 场景与规则（无模型/存储）、编辑环境变量/重启服务/检查更新、完整会话转录导出（当前导出身份元数据）。
 - **语义/向量增强**：`memory.search` 的 `semantic` 当前恒为 `false`——**向量索引已由组合根注入**（`cmd/cyrene/wire.go` 的 `memory.WithVectorIndex`），但**索引内当前无向量**（生产无写入），故语义打分返回空，属诚实反映而非伪造；RAG `embedded` 反映部署是否配置向量增强；**配置了增强必须真实走语义/向量路径（红线，非空壳）**。
-- **API key 认证**：`X-API-Key` 当前未被 `Authorize` 中间件校验（见 §0.1 注）；key 的签发/吊销/列表已真实生效。
+- **API key 认证**：`X-API-Key` **已接入鉴权**（v0.51，见 §0.1 注与 api-client.md §认证）——命中签发表即通过、一律 `owner` 级（取消 role 分级），带该头时只走 key 分支（坏 key 回 `401`、不回落 Bearer）；签发/吊销/列表同样真实生效。
 
 ### 8.5 客户端接入快速索引