API v1: session-auth: 防止在已登陆会话内进行 token 获取操作