# 2026-06-04 — Phase1 D2 认证/Agent/WS/Install delta 审计

## 摘要

完成 Phase 1 Wave D2：五文件 8 步逐行审计（install、auth、auth_jwt、websocket、agent）。无 P0/P1 新 FINDING。

## 动机

用户「开始任务 / 继续」— 执行插件驱动审计计划 Phase 1 D2（Code Review batch2 路径 delta）。

## 涉及文件

| 类型 | 路径 |
|------|------|
| 审计报告 | `docs/reports/audit-delta-2026-06-04-waveD2.md` |
| 只读审计 | `server/api/install.py`, `auth.py`, `auth_jwt.py`, `websocket.py`, `agent.py` |

## 结论摘要

- 安装向导：`install_token` + lock 机制 intact
- JWT：ASGI 中间件 + token_version
- WS：4401 统一；ADR-011 query token 为已接受 RISK
- Agent：per-server key + unknown server discard；global key 为已接受 RISK

## 验证

```bash
curl -s http://127.0.0.1:8600/health
bash scripts/local_verify.sh
```

进度：`☑实现 ☑本地验证 ☑审计8步 □部署 □健康检查 □浏览器验证 ☑changelog`
