这是第一层轻量门禁。后面接真实 admin API 时，再把后端 token 一起锁上。