fix: 支持 AgentRun render-only REST 入口 (#170)

Co-authored-by: AgentRun Codex <agentrun-codex@users.noreply.github.com>

docs/reference/spec-v01-agentrun-mgr.md

@@ -80,6 +80,12 @@ PATCH /api/v1/commands/:commandId/status
 
 所有 API 成功和失败响应都必须是 JSON。失败响应至少包含 `failureKind`、`message` 和 trace correlation；不得出现空 stdout/空 response 被误判为成功的情况。
 
+### API 鉴权边界
+
+`/health`、`/health/live` 和 `/health/readiness` 是公开健康探针，不要求鉴权。`/api/v1/**` 在 runtime 中必须要求 `Authorization: Bearer <token>`，server 侧只从 `AGENTRUN_API_KEY` 或 `AGENTRUN_API_KEY_FILE` 读取期望 token；缺少 server token 时启动为本地/自测宽松模式，但 runtime Deployment 必须通过 `managerApiKeyEnv` 注入 `AGENTRUN_API_KEY`。鉴权失败返回 JSON：缺 server token 且 runtime 要求鉴权时为 `failureKind=auth-missing` / HTTP 503，客户端未带或带错 token 时为 `failureKind=auth-failed` / HTTP 401。
+
+UniDesk 或其他客户端可以参考 HWLAB 的 key 发现风格，把本机 `HWLAB_API_KEY` 映射成 AgentRun REST bearer token，但这只是客户端凭据来源约定，不代表 AgentRun 依赖 HWLAB runtime、HWLAB backend-core、HWLAB frontend 代理或 HWLAB 用户会话。AgentRun manager 只校验 bearer token 是否等于自身 `AGENTRUN_API_KEY`，不读取 HWLAB 的鉴权状态。
+
 ### v0.1.1 Session state 存储 API
 
 在 `P1 SessionRef 持久化` 升级到「per-session RWO PVC 直接挂载」后，manager 必须提供下列受控 API 来管理 session 的 PVC 生命周期：