feat(map): add protected operations access

vehicle-map/README.md

@@ -19,6 +19,28 @@ python3 server.py
 
 默认地址：`http://127.0.0.1:20800`。
 
+请通过上述 HTTP 地址访问，不能直接双击打开 `index.html`：页面需要同源调用本服务的公开站点与授权 API。
+
+## 公开与授权数据边界
+
+- `GET /api/public/stations` 无需授权，仅返回站点名称、坐标、省市区、地址与合作状态；加氢量字段不在响应中。
+- `GET /api/dashboard` 需要 `operations:read` 会话，返回全部车辆信息及加氢站加氢量。
+- `POST /api/session` 接收访问码，服务端验证后写入短期 HttpOnly 会话 Cookie；浏览器可保存该会话，访问码不会下发或存入前端。
+- `DELETE /api/session` 清除当前浏览器的运营会话。
+
+当前默认 `VEHICLE_MAP_AUTH_PROVIDER=local`，生产环境在 `/opt/lingniu-vehicle-map/env/vehicle-map.env` 设置：
+
+```bash
+VEHICLE_MAP_ACCESS_CODE=<访问码>
+VEHICLE_MAP_SESSION_SECRET=<至少32位随机密钥>
+VEHICLE_MAP_SESSION_TTL_SECONDS=1800
+VEHICLE_MAP_COOKIE_SECURE=true
+```
+
+授权会话有效期为 30 分钟；到期后自动回到仅展示公开加氢站目录的状态。
+
+后续接入统一鉴权中心时，将 `VEHICLE_MAP_AUTH_PROVIDER` 改为 `auth-center` 并配置 `VEHICLE_MAP_AUTH_CENTER_INTROSPECTION_URL`；前端流程与受保护接口不需要调整。鉴权中心适配器的约定为接收 `{accessCode, audience:"vehicle-map"}`，返回 `{active, subject, scopes}`，且 scopes 需要包含 `operations:read`。
+
 ## 接口依赖
 
 - `POST /api/v1/vehicles/realtime/query`：全部授权车辆实时位置与状态；