# Changelog — BL-07 WebSocket 外网 403 澄清

**日期**：2026-06-06

## 摘要

澄清外网无 token WebSocket 探测见 HTTP 403 为应用层拒绝握手（非反代故障）；登录后 `/ws/alerts`、`/ws/sync` 生产验证连接成功。BL-07 标为接受，更新探测脚本与报告。

## 动机

外网攻击面巡检误判「反代 403」；经直连 8600 对比与登录后 WS 验证，确认无需改 Nginx。

## 涉及文件

- `docs/reports/2026-06-06-external-hardening-deploy-verification.md`
- `docs/reports/2026-06-06-external-attack-hardening-backlog.md`
- `docs/reports/2026-06-06-external-attack-surface-audit.md` §7
- `scripts/security_probe_external.sh`

## 迁移 / 重启

无。

## 验证

```bash
NEXUS_PROBE_BASE=https://api.synaglobal.vip bash scripts/security_probe_external.sh
# WS 无 token → [PASS] rejected (HTTP 403)
# 登录后 wss://.../ws/alerts?token=... → 连接成功（人工/API）
```

## 同日决定

- **BL-08** 全站 IP 白名单：运维确认**不需要**，backlog 已关闭。
