feat: add device registration observation

docs/routes.md

@@ -31,6 +31,8 @@ T-606 已落地 `/` 公开首页：匿名访问返回 200，不再重定向到 `
 | `/api/v1/generate/image/tasks/{task_id}` | GET | 轮询异步图片生成任务状态和结果 | API Key |
 | `/api/v1/balance` | GET | 查询点数余额 | API Key |
 | `/api/v1/models` | GET | 查询可调用能力别名、能力和点数单价 | API Key |
+| `/api/v1/client/devices/register` | POST | 蝦皮圈设备登记，签发短期设备会话（仅观测） | API Key |
+| `/api/v1/client/devices/heartbeat` | POST | 上报已登记设备活跃状态（仅观测） | Device session |
 | `/api/v1/client/releases/latest` | GET | 桌面端检查最新客户端版本（公开发布元数据） | 公开 |
 | `/api/v1/recharge/create` | POST | 用户端发起充值（weixin/alipay），下单取二维码 | Session（用户端） |
 | `/api/v1/recharge/status` | GET | 轮询订单状态（前端每秒） | Session（用户端） |
@@ -44,6 +46,8 @@ T-619 已落地 `/api/v1/analyze/images`：使用独立 `vision` 操作和能力
 
 T-620 已扩展两个图生图路由：旧 `image_url` / `image_base64` 单图字段保持兼容；新 `images` 为有序列表，每项必须且只能提供其中一种来源，且不能和旧字段混用。服务端固定把第 1 张作为主商品图、后续图作为参考图；异步任务在后台可查看有序输入文件，不保存 base64 原文。
 
+T-624 已新增设备登记 / 心跳路由：登记接口继续只认 API Key，返回仅本次展示的短期设备会话；心跳接口只认 `X-Device-Session`。两条接口仅为蝦皮圈设备观测服务，未改变生成、余额、模型目录、异步任务或通用 API Key 的鉴权规则。
+
 ## 运营后台（django-admin，`/admin/`）
 
 后台用 Django Session 登录，按模型注册 Admin：
@@ -64,6 +68,8 @@ T-620 已扩展两个图生图路由：旧 `image_url` / `image_base64` 单图
 | 配置审计 | AiConfigAuditLog | 只读查看 AiModel / ModelAlias / 密钥变更：谁、何时、改了什么 |
 | 客户端下载版本 | DownloadRelease | 上传安装包或填写外部下载地址，标记每个平台当前版本、是否强制更新和文件大小字节数；新增 / 编辑时必须填写 SHA256 与文件大小字节数；展示版本、SHA256、强制更新标记与发布说明 |
 | 导入模板 | ImportTemplate | 上传导入模板或填写外部下载地址，标记当前模板；展示模板名称、SHA256 与说明 |
+| 客户端设备 | ClientDevice | 只读检索蝦皮圈设备平台、版本、状态和最近活跃时间；设备摘要仅脱敏显示 |
+| 设备会话 / 审计 | DeviceSession / DeviceBindingAudit | 只读查看会话有效期、吊销状态及登记/心跳审计；不展示会话令牌或安装公钥 |
 
 ## 后台职责约定