Nexus Agent
72d82d737b
外网无 token WebSocket 的 HTTP 403 为应用层拒绝而非反代故障；边端 agent 在中心 401 时停止心跳重试；install 锁定路由级 404 且归档失败 fail-closed。 同步安全规范与 BL-06 一致，门控 7/7 PASS。 Co-authored-by: Cursor <cursoragent@cursor.com>
1.0 KiB
1.0 KiB
Changelog — BL-07 WebSocket 外网 403 澄清
日期：2026-06-06
摘要
澄清外网无 token WebSocket 探测见 HTTP 403 为应用层拒绝握手（非反代故障）；登录后 /ws/alerts、/ws/sync 生产验证连接成功。BL-07 标为接受，更新探测脚本与报告。
动机
外网攻击面巡检误判「反代 403」；经直连 8600 对比与登录后 WS 验证，确认无需改 Nginx。
涉及文件
docs/reports/2026-06-06-external-hardening-deploy-verification.mddocs/reports/2026-06-06-external-attack-hardening-backlog.mddocs/reports/2026-06-06-external-attack-surface-audit.md§7scripts/security_probe_external.sh
迁移 / 重启
无。
验证
NEXUS_PROBE_BASE=https://api.synaglobal.vip bash scripts/security_probe_external.sh
# WS 无 token → [PASS] rejected (HTTP 403)
# 登录后 wss://.../ws/alerts?token=... → 连接成功（人工/API）
同日决定
- BL-08 全站 IP 白名单：运维确认不需要，backlog 已关闭。