feat: 首次推送到Gitea - 完整项目代码 + 安全加固 + 知识库

.trae/specs/modules/02-api.md

@@ -195,6 +195,18 @@ NextAuth认证端点（登录/回调/CSRF等）。
 | /api/admin/permissions | GET | 获取全部权限点列表 |
 | /api/admin/user-permissions | GET | 获取当前用户权限（roleId/userId/当前用户） |
 
+### Bot管理API
+
+| 路由 | 方法 | 功能 |
+|------|------|------|
+| /api/admin/bots/stats | GET | Bot表现统计（每日指标+汇总，支持?days和?botUserId） |
+| /api/admin/bots/experiments | GET | A/B实验看板数据（变体/实验/每日指标聚合） |
+| /api/admin/bots/experiments/run | POST | 手动触发A/B实验（body: {mode, lookback, noSwitch}） |
+| /api/admin/bots/experiments/variants | PATCH | 更新变体（权重/启用/重置样本） |
+| /api/admin/bots/experiments/variants | DELETE | 删除变体 |
+| /api/admin/bots/adversarial-learning | GET | 对抗学习看板（支持?weeks和?botUserId） |
+| /api/admin/bots/adversarial-learning/run | POST | 手动触发对抗学习（body: {weekKey, force, lookback, bot}） |
+
 ### 日报管理
 
 | 路由 | 方法 | 功能 |
@@ -223,3 +235,14 @@ NextAuth认证端点（登录/回调/CSRF等）。
 | discoveryPromptConfig | JSON | AI发现提示词配置（含toolPrompt/skillPrompt/newsPrompt/tagPool等） |
 | logoFetchConfig | JSON | Logo抓取策略配置 |
 | discoverSkillsScript | string | 技能探索脚本源码 |
+
+---
+
+## 开发规则引用
+> API 开发必须遵守 [开发规则第十七章 - API设计规范](file:///c:/SGP_KF/ZhuiGuangAI/zhuiguang-ai/.trae/rules/project_rules.md)：
+> - 路由骨架：`export const dynamic = "force-dynamic"` + `Promise.all` 并行 + `Cache-Control` 头
+> - 错误处理：使用 [api-error.ts](file:///c:/SGP_KF/ZhuiGuangAI/zhuiguang-ai/src/lib/api-error.ts) 的 `badRequest`/`notFound`/`serverError`
+> - 响应格式：列表 `{ data, total, page, pageSize }`，统一使用 `total`
+> - 状态码：200/201/400/401/403/404/409/500
+> - 认证分层：middleware + `requireAdmin()` + `getServerSession()`
+> - 分页上限：`Math.min(pageSize, 100)`