LLM First Loop

登录成功后会建立仅 HttpOnly Cookie 可见的短期会话。

手机端使用普通键盘，可直接长按粘贴或调用系统剪贴板；WebKit 会用圆点遮挡输入内容。服务器仍按原文校验，不 trim、不改写。
会话 Cookie 为 HttpOnly + SameSite=Strict；公网 HTTPS 下强制 Secure。脚本访问仍可使用独立 Bearer API key。