[app_api]App 接口

版本 1.0.0 更新：
给手机 App、微信小程序和 H5 用的 JSON 数据接口。用 Bearer 令牌认证，不依赖 Cookie 会话；App 端和网页端看到的内容、拥有的权限完全一致。

接口地址：/api/v1/…

能做什么

账号

• POST /v1/auth/login 用户名密码换一对令牌
• POST /v1/auth/refresh 续期令牌换新的一对
• POST /v1/auth/logout 注销当前设备
• POST /v1/auth/register App 内注册（后台默认关闭）
• GET /v1/me 当前用户的资料与权限

站点

• GET /v1/config 站点信息、App 内公告、要求的最低版本与下载地址
• GET /v1/forums 当前身份有权浏览的版块列表

内容

• GET /v1/topics 主题流，可按版块筛选，按发布时间或回复时间排序
• GET /v1/topics/{id} 主题正文与回复列表
• POST /v1/topics 发主题
• POST /v1/topics/{id}/replies 回复主题
• GET /v1/search 搜索主题与回复

几个约定

• 响应统一是 {"code":0,"message":"ok","data":{…}}，code 为 0 表示成功，其余为错误码。
• 翻页用游标，不用页码：把响应里的 next_cursor 原样回传即可。中途有人发帖也不会重复或漏读。
• 令牌在服务端只存哈希，并绑定账号当前的密码。改密码、账号被禁用、被改为禁言，已签发的令牌都立刻失效。
• 换令牌时旧的一对立刻作废，所以客户端要做单飞刷新，避免并发请求互相顶掉。
• 发帖回帖走和网页端完全一样的规则：禁言判定、发帖间隔、版块发帖权限、内容长度，一条都不放宽。
• 预留了 app_api.before_publish 钩子，其他插件可以在这里拦截 App 端发布的内容。

写在最后

开关、令牌有效期、每账号同时在线的设备数（默认 5 台）、App 内公告，都在后台「插件 → App 接口」里设置。

一共 12 个接口。列表里我特意没写请求参数细节——帖子读者关心的「能做什么」，参数留给他们去翻接口文档更合适；你要是想让帖子更硬核，我可以把每个接口的参数补进列表里。