feat(gateway): 为52号接口增加客户端静态Token校验

请求头X-API-Token默认yonghe1999，可通过interface52_token覆盖；缺少或不匹配返回401/code1009，不进入派发队列。客户端Token不转发到worker，其他接口保持原样。

同步Token输入框、配置示例与调用文档。57项网关测试及临时网关连接真实worker的浏览器验证通过。

docs/接口52网关接入.md

@@ -7,12 +7,17 @@
 客户端 → `POST /api/v1/hairline/generate-52` → 网关现有队列和worker池 → worker同路径 → 网关落盘非空图片并返回公网URL。
 
 - 请求体原样转发，网关附加配置中的`X-Internal-Token`；客户端和公开测试页不携带内部密码。
+- 客户端须通过`X-API-Token`传入52号静态Token，默认`yonghe1999`。网关校验后才进入队列；该Token不转发给worker，与内部密码独立。
 - 沿用现有主备派发、隔离期、重试、日志和全局并发限制。原有5号插队优先级保持原样，52号走默认队列。
 - 5号`/api/v1/hairline/generate`和其他接口保持原样；网关不新增IP限制。
 - worker的中下庭规则、扶正、3:4裁切和生发结果由同一次worker响应提供，网关不重新计算坐标。
 
 ## 请求
 
+请求头必填：`X-API-Token: yonghe1999`。缺少、为空或不匹配时返回HTTP401，响应为`{"code":1009,"message":"未授权：缺少或错误的 X-API-Token","request_id":"gw-…","data":null}`，不读取转发表单、不占用GPU队列。其他接口不增加这项校验。
+
+可在`gateway/config.json`设置`"interface52_token": "自定义值"`；旧配置省略该项时自动使用`yonghe1999`。显式配置空值或非字符串会导致启动校验失败，不能用来关闭鉴权。配置修改后重启网关生效，测试页输入框改为相同值。
+
 使用`multipart/form-data`；图片三选一：`image_file`、`image_url`、`image_base64`。必填`gender=male/female`和`hair_style=1..7`（支持逗号分隔多选）。
 
 可选参数全部透传：
@@ -51,6 +56,7 @@ worker始终返回`*_base64`。网关沿用原有公共改写，不添加52号
 
 ```bash
 curl -X POST https://hair.xiangsilian.com/api/v1/hairline/generate-52 \
+  -H 'X-API-Token: yonghe1999' \
   -F 'image_file=@/path/to/photo.jpg' \
   -F 'gender=male' -F 'hair_style=1' \
   -F 'normalize_image=true' -F 'generate_grow_image=false'
@@ -58,8 +64,14 @@ curl -X POST https://hair.xiangsilian.com/api/v1/hairline/generate-52 \
 
 成功时`code=0`，检查`input_image_url`和`hairline_images[].image_middle_url`可打开、尺寸一致；high/low仍为`*_base64: null`。访问测试页时无需输入内部Token。
 
+测试页新增“客户端Token”输入框，默认`yonghe1999`，只作为`X-API-Token`请求头发送；自定义后端Token时应同步填写该值。
+
 ## 验证
 
 `tests/test_gateway_interface52.py`覆盖5/52路由分离、完整表单透传、由网关注入内部Token、真实公共转发函数的图片落盘与URL可访问、空字段保持原样和队列槽释放。现有pool、serialization、monitor、reqlog测试用于防止回归。
 
+静态Token测试覆盖默认值、自定义覆盖、缺失/错误/空Token、内部Token不能代替客户端Token、未通过时不派发、无效配置启动失败以及客户端Token不透传至worker。
+
+加入客户端Token后的验证：57项网关测试通过；临时网关实测缺失/错误Token返回401，测试页携带默认Token成功调用真实worker并显示7型图片，旧5号页面正常。测试关闭生发，未改动正在运行的GPU worker。
+
 2026-11-04验证结果：上述网关测试共42项通过。另起本机临时网关连接当前真实GPU worker，浏览器验证旧5号仍返回三档，52号女性7型均返回可访问的图片URL，长图输出1062×1416，矩形叠加与空字段正常，页面请求不携带内部Token，无脚本错误。本轮关闭生发以验证网关链路，未重新运行ComfyUI生发；临时网关验证后关闭。