客户端调用 /v1/* 时必须在 Authorization: Bearer <令牌> 或 X-Access-Token 头中携带才会被转发。 Java 侧对应 captcha.apiKey。更新后立即生效并写入 config.json。