重启、数据保留与隐私边界
幂等元数据保留 10 分钟，唯一约束为 (owner_session_hash, idempotency_key)；数据库里没有输入、prompt 或生成正文列。结果只存在进程内存。重启后数据库可能仍有「已成功」记录，但内存结果已消失，接口返回 RESULT_UNAVAILABLE，提示使用新 key 主动重新生成，绝不自动再次调用供应商。
正式接口需要 AI_PROVIDER / AI_BASE_URL / AI_API_KEY / AI_MODEL / SESSION_SECRET；public 配置只出现名称。客户端不能发送任意 system prompt、供应商 URL、模型名或 API key。教程中的 vendor.example.invalid 只是测试域名，不代表已联调真实供应商。