模型与路由
治理与路由模拟
在不授予推理权限的情况下检查有界证据
治理读取、合规读取和路由模拟使用与 route scope 刻意分离的凭据。它们提供无内容租户证据与路由规划，不是生成历史或消费者计费账本。
读取租户治理摘要
GET /v1/governance/summary 需要 governance:read、admin 或 *，并始终使用验证凭据绑定的租户。event_limit 范围为 1–200；可选 key_id 是非 Secret 的安全服务密钥过滤条件。
GET https://api.octoryn.dev/v1/governance/summary?event_limit=50
Authorization: Bearer $OCTORYN_GOVERNANCE_KEY理解读取模型边界
响应包含精确字符串形式的租户预算状态、有界用量汇总、Key 归属、仅含元数据的审计事件与合规决策。它会说明本地事件窗口是否不完整，且不会返回 Prompt、Output、检测值、原始 Token 或 Token Hash。
检查活动 Compliance & Trust 姿态
GET /v1/compliance/summary 需要 compliance:read、governance:read、admin 或 *。它返回当前模式、活动的不可变策略版本，以及凭据绑定租户可见的已审核 Provider Trust 元数据；不会暴露策略内容值、凭据或客户数据。
GET https://api.octoryn.dev/v1/compliance/summary?product_id=care
Authorization: Bearer $OCTORYN_COMPLIANCE_READ_KEY在企业信任边界签发 Trust Context
启用 CTE Enforcement 后，受信企业 Edge 签发绑定 Request ID、Tenant 与 Product 的短时 HMAC Context。它可以携带已验证的 SSO、MFA、设备、mTLS、部署区域与网络信号。Router 会拒绝未经验证的调用方 Header，并一次性消费每个 Assertion ID。
从 Shadow 晋级到 Enforce
策略文档使用带 Schema 版本的 YAML 或 JSON。获批版本不可变，激活与回滚都会产生无内容证据。Disabled 保持现有路由；Shadow 记录但不筛选或修改；Enforce 执行 Mask、Deny、HITL 与 Provider Trust 门槛。
模拟路由
POST /v1/route/simulate 需要 route:simulate、admin 或 *。它评估身份、产品、策略、Compliance & Trust 决策、供应资格、目录、健康、熔断与偏好，但不会消费 Trust Context Assertion、解析凭据、预留预算或调用供应商。
POST https://api.octoryn.dev/v1/route/simulate?operation=chat
Authorization: Bearer $OCTORYN_SIMULATION_KEY
Content-Type: application/json
{"model":"policy/frontier","provider":{"sort":"latency"}}不要把模拟视作资源预留
后续真实请求仍可能因预算、容量或供应商可用性失败。Simulation 是解释和审查能力，不是保证，也不是带内容的 Dry Run。