- HmacUtil.deriveApiSecret/deriveApiKey: email+HMAC_SECRET 确定性推导 - 注册时用推导值替代随机生成(同 email 永远同 key) - HMAC 拦截器:未知邮箱但签名匹配 → 自动创建账户 - 重装后 mediabot 直接发 HMAC 请求即可恢复,无需重新注册 核心: apiSecret = HMAC(email + ':par-api-secret', HMAC_SECRET) 同一 email + 同一 HMAC_SECRET → 永久不变的凭据