Cron/Heartbeat:  你 → 每隔一段时间 → 问有什么新消息？
Webhook:         外部系统 → 事件发生时 → 主动推送给你

{
  "hooks": {
    "enabled": true,
    // 用于验证请求合法性的共享密钥，不能为空
    "token": "your-secret-token-here",
    "path": "/hooks",
    // 默认会话 key，所有 hook 触发的 Agent 共用这个会话隔离空间
    "defaultSessionKey": "hook:github",
    "allowRequestSessionKey": false,
    "allowedSessionKeyPrefixes": ["hook:"],
    // 只允许路由到 main 和 hooks 这两个 Agent
    "allowedAgentIds": ["main", "hooks"]
  }
}

{
  "hooks": {
    "enabled": true,
    "token": "your-secret-token-here",
    "path": "/hooks",
    "defaultSessionKey": "hook:github",
    "allowRequestSessionKey": false,
    "allowedSessionKeyPrefixes": ["hook:"],
    "allowedAgentIds": ["main", "hooks"],
    "mappings": [
      {
        "name": "github",
        "action": "agent",
        // 路由到专门的 hooks Agent
        "agentId": "hooks",
        // 分析完成后推送到 Telegram（改成 "feishu" 即可切换到飞书）
        "deliver": true,
        "channel": "telegram",
        // 用 {{}} 模板语法从 GitHub payload 中提取字段，组装成 messageTemplate
        "messageTemplate": "请对以下 GitHub 事件进行分诊：\n\n类型：{{action}} {{pull_request.title}}{{issue.title}}\n作者：{{pull_request.user.login}}{{issue.user.login}}\n仓库：{{repository.full_name}}\n链接：{{pull_request.html_url}}{{issue.html_url}}\n描述：{{pull_request.body}}{{issue.body}}"
      }
    ]
  }
}

📋 feat: 新增用户认证模块，使用 JWT

🔴 优先级：紧急
- 判断依据：涉及认证机制的破坏性变更，移除了旧 session 系统

⚠️ 风险点：
- JWT 密钥管理：需确认 secret 是否通过环境变量注入，不能硬编码
- 向后兼容性：移除 session 机制会导致已登录用户被强制登出
- /api/token 端点安全：需检查是否有速率限制防止暴力破解

💬 建议回复：
感谢贡献！这个 PR 引入了认证机制的重要变更。在合并前，能否确认：1）JWT secret 的存储方式；2）是否有迁移方案避免现有用户被登出；3）新端点是否已有限流保护？