fix(security): Tailscale内网(100.64/10)免API_KEY+外部强制校验；修复账号重复提交400(提交锁+唯一约束兜底)

app/core/config.py

@@ -1,7 +1,8 @@
 """应用配置
 
 从项目根目录的 .env 文件加载配置（若存在）。
-API_KEY 留空表示不启用写操作鉴权（适用于纯内网环境）。
+API_KEY 用于保护写操作：Tailscale 内网/本机来源放行，外部来源必须携带正确密钥；
+留空则外部来源一律拒绝（仅内网可用）。
 """
 
 import os
@@ -17,7 +18,8 @@ class Settings:
     """应用配置项"""
 
     APP_NAME: str = os.getenv("APP_NAME", "VPS 资产管理系统")
-    # 写操作（POST/PUT/DELETE）鉴权密钥；留空则不校验
+    # 写操作（POST/PUT/DELETE）鉴权密钥；Tailscale 内网/本机来源忽略校验，
+    # 外部来源必须携带 X-API-Key（留空则外部来源直接拒绝）
     API_KEY: str = os.getenv("API_KEY", "")
     # Agent 上报鉴权密钥；配置后 Agent 上报需携带 X-Agent-Key
     AGENT_KEY: str = os.getenv("AGENT_KEY", "")