feat(delete): real deletes — adapters seeded once into adapter_dir (existing dir is authoritative), sources removed from config.yaml on delete; drop tombstone mechanism for both. Docs: multi-key architecture, gateway_keys as seed

README.md

@@ -68,7 +68,7 @@ curl -N -H "Authorization: Bearer sk-gw-local-0001" \
      http://127.0.0.1:8080/v1/chat/completions
 ```
 
-任何 OpenAI SDK 把 `base_url` 指到网关地址、`api_key` 用 `gateway_keys` 之一即可。
+任何 OpenAI SDK 把 `base_url` 指到网关地址、`api_key` 用任意一个已创建并授权的网关 key 即可。
 
 ## 配置
 
@@ -76,10 +76,10 @@ curl -N -H "Authorization: Bearer sk-gw-local-0001" \
 
 ```yaml
 listen: 127.0.0.1:8080        # 网关监听地址（建议绑内网/回环）
-gateway_keys: [sk-gw-0001]    # 客户端访问网关的 key；留空=不鉴权
-default_model: AUTO           # model 无法路由时自动按 priority 选源
-adapter_dir: adapters         # Lua 适配目录，首启自动写入内置适配器
-runtime_file: runtime.json    # WebUI 编辑的源持久化到此文件
+gateway_keys: [sk-gw-0001]    # 初始 admin 密钥种子，仅首启时写入运行时存储用
+default_model: AUTO           # model 无法路由时自动按优先级链选源
+adapter_dir: adapters         # Lua 适配目录；目录不存在时首启创建并 seed 内置，存在则只读
+runtime_file: runtime.json    # WebUI 编辑的源/密钥/AUTO 链持久化到此文件
 
 sources:
   - name: deepseek
@@ -111,6 +111,19 @@ sources:
 - 升级时旧明文文件自动兼容：首次运行正常读取，任何 UI 保存操作触发全文件加密迁移。
 - 注意：**master.key 丢失后密文无法解密**，请随配置一起备份；切勿提交到版本库。
 
+### 网关密钥（多密钥）
+
+网关鉴权采用「多密钥 + 角色 + 模型范围」架构，密钥持久化在 `runtime_file` 的
+`keys` 字段（加密存储）：
+
+- `gateway_keys` 配置只是**初始 admin 密钥种子**：首次启动迁移为运行时 admin
+  key，之后不再参与鉴权管理。
+- WebUI **密钥页**可创建/删除密钥；每个密钥可指定 `admin`（管理全部）或
+  `user`（仅看自己的 key）角色，并配置**模型范围**（模型 + 源 + token 配额 +
+  重置周期）。
+- 客户端用任意一个已授权的密钥明文作为 Bearer（`Authorization: Bearer <key>`）。
+- 删除密钥即从运行时存储移除，立即失效。
+
 ### 模型路由
 
 `/v1/chat/completions` 的 `model` 解析顺序：