Nexus/docs/changelog/2026-06-04-audit-wave-d2-auth-agent.md

2026-06-04 — Phase1 D2 认证/Agent/WS/Install delta 审计

摘要

完成 Phase 1 Wave D2：五文件 8 步逐行审计（install、auth、auth_jwt、websocket、agent）。无 P0/P1 新 FINDING。

动机

用户「开始任务 / 继续」— 执行插件驱动审计计划 Phase 1 D2（Code Review batch2 路径 delta）。

涉及文件

类型	路径
审计报告	docs/reports/audit-delta-2026-06-04-waveD2.md
只读审计	server/api/install.py, auth.py, auth_jwt.py, websocket.py, agent.py

结论摘要

• 安装向导：install_token + lock 机制 intact
• JWT：ASGI 中间件 + token_version
• WS：4401 统一；ADR-011 query token 为已接受 RISK
• Agent：per-server key + unknown server discard；global key 为已接受 RISK

验证

curl -s http://127.0.0.1:8600/health
bash scripts/local_verify.sh

进度：☑实现 ☑本地验证 ☑审计8步 □部署 □健康检查 □浏览器验证 ☑changelog