服务账号与 Agent 账号隔离

把程序账号混进用户体系，会让权限、计费和统计全部失真。

身份标记

用 user.type 区分人类账号与服务账号，例如 api。所有用户列表、分析和营销触达默认排除服务账号。

凭据

服务账号只用 API Key，不参与 OAuth 和邮箱登录。密钥可轮换、可吊销，且不显示明文。

权限

服务账号的权限按最小必要授予，并与创建它的管理员绑定。管理员被移除时，其服务账号应一并失效。

审计

服务账号的写操作同样记录审计，但标注为程序发起。这样排障时能区分人为误操作与自动化行为。