Astrion
HEADLESS
这是 Astrion 的 API 后端实例，运行正常。
本实例以 headless 形态启动：只提供 Gateway / Runtime API
（供 CLI、桌面端、Android 等客户端使用），不包含 Web 界面。
如需 Web 界面，请改用 full 形态启动：
python -m server.app
Astrion headless backend · same runtime, API-only surface
"""
def create_headless_app() -> Flask:
"""创建 headless 形态的 Flask app（最小 API 路由面）。"""
app = Flask(__name__)
app.config['MAX_CONTENT_LENGTH'] = MAX_UPLOAD_SIZE
# Flask session 仍被 Bearer 通道的身份注入使用（请求内 session 对象），
# 必须配置 SECRET_KEY；解析规则与 full 形态一致。
_secret_key = os.environ.get("WEB_SECRET_KEY") or os.environ.get("SECRET_KEY")
if not _secret_key:
_secret_key = secrets.token_hex(32)
print(f"{OUTPUT_FORMATS['warning']} WEB_SECRET_KEY 未设置，已生成临时密钥（重启后所有会话将失效）。")
app.config['SECRET_KEY'] = _secret_key
app.config['PERMANENT_SESSION_LIFETIME'] = timedelta(hours=12)
app.config['SESSION_COOKIE_SAMESITE'] = os.environ.get("WEB_COOKIE_SAMESITE", "Strict")
app.config['SESSION_COOKIE_HTTPONLY'] = True
_cookie_secure_env = (os.environ.get("WEB_COOKIE_SECURE") or "").strip().lower()
app.config['SESSION_COOKIE_SECURE'] = _cookie_secure_env in {"1", "true", "yes"}
attach_security_hooks(app)
for _name, bp in HEADLESS_BLUEPRINTS:
app.register_blueprint(bp)
# host 全局设置面（personalization / path-authorization）：视图函数定义在 chat_bp 模块内，
# 装饰器已双通道化（web session 或 host Bearer 均可）；此处直接注册到 headless app，
# URL 与 full 形态一致（Blueprint.route 只登记不包装，函数对象可安全复用）。
from server.chat.settings import (
get_personalization_settings,
update_personalization_settings,
)
from server.chat.permission import (
get_path_authorization,
update_path_authorization,
)
from server.conversation import list_background_commands, list_sub_agents, list_conversation_versioning_checkpoints
from server.workflow_page import api_list_workflows
app.add_url_rule('/api/personalization', view_func=get_personalization_settings, methods=['GET'])
app.add_url_rule('/api/personalization', view_func=update_personalization_settings, methods=['POST'])
app.add_url_rule('/api/path-authorization', view_func=get_path_authorization, methods=['GET'])
app.add_url_rule('/api/path-authorization', view_func=update_path_authorization, methods=['POST'])
# 子智能体/后台指令列表（/agents /tasks 面板数据源；conversation_id 走 query 显式指定）
app.add_url_rule('/api/sub_agents', view_func=list_sub_agents, methods=['GET'])
app.add_url_rule('/api/background_commands', view_func=list_background_commands, methods=['GET'])
# 工作流库列表（/workflow）与版本回溯检查点（/rewind）
app.add_url_rule('/api/workflows', view_func=api_list_workflows, methods=['GET'])
app.add_url_rule(
'/api/conversations/