管理接口需要请求头 x-admin-token。当前 token 仅保存在浏览器 localStorage。