用途：管理组织级 Platform API Token，即用于认证每次 ibl.ai API 调用的密钥。支持列出、创建、按名称查询、更新和按名称删除。Token 以 platform_key 为范围，而非 agent 范围。
主要能力：Token 的 RBAC 权限由模式决定。owner（默认）模式使用创建者的 RBAC 权限；token_policies 模式携带自身细粒度 RBAC，独立于创建者，可签发窄范围服务令牌。
使用方式：基础 URL 为 https://api.iblai.app，每个请求需带 Authorization: Api-Token $IBLAI_API_KEY 头。路径变量 {org} 对应 $IBLAI_ORG，{username} 对应 $IBLAI_USERNAME。端点位于 …/dm/api/core/… 下。未连接时先运行 /iblai-api-login 以填充 IBLAI_ORG、IBLAI_USERNAME 和 IBLAI_API_KEY。
读取：GET …/platform/api-tokens/?platform_key={org} 列出密钥（列表视图不含 policies/groups）；GET …/platform/api-tokens/{name}?platform_key={org} 获取单个 Token 及其关联策略与组；GET …/platform/api-tokens/field-permissions/?platform_key={org} 报告调用者可写的 RBAC 字段。
写入：POST …/platform/api-tokens/ 创建 Token，返回的密钥仅显示一次，需立即保存；PATCH …/platform/api-tokens/{name}?platform_key={org} 更新模式及策略/组关联；DELETE …/platform/api-tokens/{name}?platform_key={org} 按名称删除，属破坏性操作，需先与用户确认。
限制：mode 及四个关系字段（policies_to_add、policies_to_remove、groups_to_add、groups_to_remove）为特权字段，写入需字段级 RBAC 写权限（Ibl.Core/ApiTokens/*/write）。策略/组仅在 mode 为 token_policies 时可设置；引用的策略/组必须属于该 Token 的组织；不能授予超出自身权限的权限；token_policies 模式不继承 owner 的 staff/superuser 标志。查询、更新、删除均按 Token 名称而非 id，并通过 platform_key={org} 限定组织。policies/groups 仅在详情响应中返回，列表视图不返回。创建响应中的密钥仅返回一次，之后无法再次获取。