P0安全修复: WS token改subprotocol + nginx日志关闭 + 类型修复 + 降级验证 + 依赖

docs/风险跟踪表.md

@@ -711,3 +711,60 @@ location /api/ {
 | CR-9 (P0-5) | ✅ | M-13 (P2-2) | ⚠️ |
 | CR-10 (P0-6) | ✅ | M-14 (P2-3) | ⚠️ |
 | | | M-15 (P2-1) | ✅（捎带）|
+
+---
+
+## 第十节: 2026-06-14 P0 安全评估(workbuddy 推送 v2)
+
+**关联 commit**: `3735dc0` — feat(security): P0 安全止血 - WS token 改 header + 坐席本地密码
+**主报告**: `docs/评审报告/workbuddy-2026-06-14-P0安全.md`
+**评审结论**: 🟡 **部分完成,5 项遗留**(3 项 P0 / 2 项 P1)
+**workbuddy 下一轮任务**: #18
+
+> 📌 第十节有独立小计(5 P0 + 2 P1,2 个新维度:WS token 鉴权 + 坐席本地密码)。
+
+### 10.1 小计
+
+| 维度 | 任务 | 真实状态 |
+|---|---|---|
+| P0-#1 | WECOM_SECRET 集中化 | 🟡 **只规划未实改** (`docs/安全/secret-管理.md`) |
+| P0-#2 | SSL 私钥在仓 | 🟢 **8-A 阶段已修**(.gitignore `**` 模式) |
+| P0-#3 | Mock login bypass | 🟢 **之前已修** |
+| P0-#4 | WS token URL/日志泄露 | 🟡 **半成品**(服务端 OK,前端 ws.ts + nginx access_log 待关) |
+| P0-#5 | 坐席本地密码 | 🟡 **半成品**(字段/Schema/端点 OK,类型 bug + 降级放行 + 缺依赖) |
+
+**总评**: 2/5 P0 完成,3 项遗留待 workbuddy 下一轮修。
+
+### 10.2 遗留项追踪(给 workbuddy 任务清单 #18)
+
+| # | 严重度 | 文件 | 项 | 状态 |
+|---|---|---|---|---|
+| 遗留 1 | 🔴 P0 | `frontend-agent/src/composables/useWebSocket.ts:106-110` | 浏览器 WebSocket API 不支持自定义 header,改 Sec-WebSocket-Protocol | ⚠️ |
+| 遗留 2 | 🔴 P0 | `nginx.conf` + `deploy-server/nginx.conf` | `location /ws/ { access_log off; }` | ⚠️ |
+| 遗留 3 | 🟡 P1 | `backend/app/models/agent.py:142-148` | `Mapped[str]` → `Mapped[Optional[str]]` | ⚠️ |
+| 遗留 4 | 🟡 P1 | `backend/app/api/agents.py` 降级放行 | 强制 password 验证 | ⚠️ |
+| 遗留 5 | 🟡 P1 | `backend/requirements.txt` | 缺 passlib/bcrypt 依赖 | ⚠️ |
+
+### 10.3 评审教训(防再犯)
+
+1. **WebSocket API 边界**: 浏览器 vs Node.js `ws` 库 API 差异
+2. **依赖检查**: 改代码必须同步 requirements.txt
+3. **配置改动**: plan 写了的 nginx / conf 必须做
+4. **类型一致性**: Mapped[T] + nullable=True 必须 Optional
+5. **逻辑回归**: 新鉴权必须 review 已有降级路径
+
+### 10.4 推 Gitea 状态
+
+- **本地 commit**: 3735dc0 ✅
+- **推 Gitea**: 🔴 **卡 #8**(MariaDB 套件未装)
+- **下次**: Gitea 起来后 `git push -u origin main` 一次推送 → 触发 workbuddy 二次评审 → #18 闭环
+
+### 10.5 第十节状态速查
+
+| 编号 | 状态 |
+|---|---|
+| P0-#1 WECOM_SECRET 集中化 | 🟡 规划中(V1/V2) |
+| P0-#2 SSL 私钥 | 🟢 8-A 完成 |
+| P0-#3 Mock login | 🟢 完成 |
+| P0-#4 WS token | 🟡 遗留 1+2 |
+| P0-#5 坐席密码 | 🟡 遗留 3+4+5 |