为防止 API 被滥用，Query Agent 需要密码才能使用。密码在传输前会进行 SHA-256 哈希处理，且仅对当前域名开放 CORS。