这是第一次基于http域名成功的部署版本0718v1，修改了http与https都兼容的认证方式

docs/api-contracts.md

@@ -24,9 +24,9 @@
 - `POST /runs/{id}/results/{execution_id}/retry` 无请求体，沿用原 Run 的测试范围和自动仲裁配置，并以相同 `execution_id` 替换旧结果；仅 `completed / completed_with_errors` 状态允许提交。
 - `POST /runs/{id}/resume` 无请求体，返回 `skipped_count`；`POST /runs/{id}/retry-errors` 无请求体，返回 `retry_count`。两者返回 202 后必须重新获取运行详情，不能将 POST 响应视为执行完成；409 时也重新获取详情。
 - 单条重试返回 202 后按运行详情的 `poll_after_seconds`（缺省 2 秒）轮询，终态后重新获取结果。重跑期间旧结果可能暂时不存在，UI 保留“重新执行中”状态；404 刷新结果，409 刷新 Run，网络错误或 5xx 先刷新 Run，避免不确定是否受理时重复提交。
-- `POST /runs` 总是携带新的 UUID `Idempotency-Key`。
+- `POST /runs` 总是携带新的 UUID v4 `Idempotency-Key`；HTTPS 优先使用原生 `crypto.randomUUID()`，HTTP 环境使用 `crypto.getRandomValues()` 兼容生成，后端契约不变。
 - 登录和续约都会原子替换 access/refresh token 及两个过期时间。
-- access token 剩余不超过 30 分钟且用户最近 30 分钟有真实操作时，`POST /auth/refresh` 携带 UUID `Idempotency-Key`。
+- access token 剩余不超过 30 分钟且用户最近 30 分钟有真实操作时，`POST /auth/refresh` 携带同一共享生成器产生的 UUID v4 `Idempotency-Key`。
 - 网络错误和 5xx 最多尝试 3 次，且一直复用原 refresh token 和原 key；409 保留凭据并等待 `refresh_after`。
 - 普通业务请求首次 401 共享 single-flight 续约，成功后仅重放一次；只有 refresh 本身返回 401 才清除会话。
 - HTTP 204 按无响应体处理；403/404/409/422/502 映射为可操作的用户消息。