feat: harden phase 3 api security

docs/api.md

@@ -27,6 +27,8 @@ T-304 已实现充值回调基线：`POST /api/v1/recharge/callback/wechat` 与
 
 T-305 已实现扫码充值下单与轮询基线：`POST /api/v1/recharge/create` 与 `GET /api/v1/recharge/status` 走用户端 `SessionAuthentication + CSRF`，不接受 API Key；下单创建 pending 订单并锁定汇率/点数，再返回微信 `code_url` 或支付宝 `qr_code`；状态查询只允许订单所属用户访问，并在 pending 时尝试主动查单补入账，查单不可用时保持 pending 等回调。
 
+T-306 已实现对外 API 安全加固：`image_url` 下载只允许 `http` / `https` 公网地址，拒绝私有/回环/链路本地/保留等地址，重定向后重新校验并限制响应大小；全局 DRF 默认认证为空且默认权限为 `IsAuthenticated`，外部 API 与用户端 API 必须显式 opt-in 认证类；生成接口按 API Key / 用户限流，认证失败按 IP 限流；充值创建有 `RECHARGE_MAX_AMOUNT_CNY` 单笔上限。
+
 通用错误响应：
 
 ```json
@@ -54,6 +56,7 @@ T-305 已实现扫码充值下单与轮询基线：`POST /api/v1/recharge/create
 | `no_exchange_rate` | 未配置当前币种汇率，无法创建充值订单 | 400 |
 | `payment_order_create_failed` | 支付平台下单失败 | 502 |
 | `order_not_found` | 充值订单不存在或不属于当前用户 | 404 |
+| `rate_limited` | 请求过于频繁，请稍后再试 | 429 |
 
 ## 对外接口
 
@@ -86,7 +89,7 @@ T-305 已实现扫码充值下单与轮询基线：`POST /api/v1/recharge/create
 }
 ```
 
-要点：别名必须映射到声明 `text` 能力的模型；映射到图片模型时返回 `model_not_allowed`；别名无计费规则返回 `no_pricing_rule`。
+要点：别名必须映射到声明 `text` 能力的模型；映射到图片模型时返回 `model_not_allowed`；别名无计费规则返回 `no_pricing_rule`。若传 `image_url`，服务端只会下载公网 `http` / `https` 图片，并在扣点前拒绝内网、回环、链路本地、元数据地址、跳转到内网的地址和超过大小上限的响应；被拒绝时返回 `bad_request` 且不预扣点。
 
 ### `POST /api/v1/generate/image`
 
@@ -116,7 +119,7 @@ T-305 已实现扫码充值下单与轮询基线：`POST /api/v1/recharge/create
 }
 ```
 
-要点：改图类模型缺原图返回 `bad_request`，不落 500；上游失败返回 `upstream_error` 且**不扣点**（已预扣则退回）。结果默认存对象存储返回 `image_url`，避免同步响应体过大。
+要点：改图类模型缺原图返回 `bad_request`，不落 500；上游失败返回 `upstream_error` 且**不扣点**（已预扣则退回）。结果默认存对象存储返回 `image_url`，避免同步响应体过大。请求里的 `image_url` 适用同标题接口相同的 SSRF 防护和大小上限；内网图片请用 `image_base64`。
 
 ### `GET /api/v1/balance`
 
@@ -221,6 +224,7 @@ query_and_apply_recharge_payment(order_no: str, query_func) -> RechargeResult
 - 微信走 `pay/transactions/native` 取 `code_url`；支付宝走 `trade.precreate` 取 `qr_code`；前端用 qrcode.js 渲染。
 - 走 **Web session** 鉴权（用户端流程），不同于对外 API Key；订单绑定发起用户，防充错账户。
 - 开发 / 测试 `PAYMENT_CALLBACK_MODE=mock` 时返回 mock 二维码票据；生产应使用 `sdk` 模式与真实商户配置。
+- 单笔金额超过 `RECHARGE_MAX_AMOUNT_CNY` 会返回 `bad_request`，不创建 `RechargeOrder`。
 
 ### `GET /api/v1/recharge/status?order_no=...`