feat: add portal api key management

docs/routes.md

@@ -12,9 +12,9 @@
 | `/recharge` | GET/POST | 发起充值：选金额→展示支付二维码→轮询到账 | session |
 | `/records/recharge` | GET | 充值记录 | session |
 | `/records/usage` | GET | 点数使用（消费/调用）记录 | session |
-| `/apikeys` | GET/POST | API Key 管理：列表 / 生成 / 删除（明文只显示一次） | session |
+| `/apikeys` | GET/POST | API Key 管理：列表 / 生成 / 删除（删除即吊销，明文只显示一次） | session |
 
-T-501 已落地 `/signup`、`/login`、`/logout` 与最小 `/dashboard`。`/dashboard` 当前只作为登录后的落点展示剩余点数；充值汇总、充值记录与消费记录留给 T-503。
+T-501 已落地 `/signup`、`/login`、`/logout` 与最小 `/dashboard`。T-502 已落地 `/apikeys`：登录用户只能管理自己的 Key，生成后明文只显示一次，列表只显示 prefix，删除为吊销 `revoked`。`/dashboard` 当前只作为登录后的落点展示剩余点数与 API Key 管理入口；充值汇总、充值记录与消费记录留给 T-503。
 
 ## API 路由（对外，DRF）
 
@@ -51,7 +51,7 @@ T-501 已落地 `/signup`、`/login`、`/logout` 与最小 `/dashboard`。`/dash
 ### 用户与账号管理
 
 - 用户自助注册；API Key 由用户在用户端自助生成（服务端生成、哈希存储、明文只显示一次），运营侧只能查看 prefix / 吊销，不回显明文。
-- 禁用用户或吊销 Key 后，相关调用一律 403 / 401。
+- 禁用用户或吊销 Key 后，相关调用返回 403；无效、缺失或不存在的 Key 返回 401。
 - 手工调整点数必须经计费层方法（写 `PointsLedger`、锁 `UserWallet`），不允许直接编辑 `points_balance` 字段。
 
 ### 模型与别名管理