审计：WSAuthMiddleware 仅 upgrade 时验 JWT/jti，无 exp 定时器与心跳复检，注销后 socket 永久续命（middleware/auth.go:106）；handler/ws.go:112-162 in-band auth 绕过黑名单与 hub-session gate（当前不可达但一步之遥）；desktop useHubWebSocket.ts:163 用 ?token=（服务端拒绝）且 :240 reconnect 因稳定 deps 永不触发——需修复或删除该栈。
审计：WSAuthMiddleware 仅 upgrade 时验 JWT/jti，无 exp 定时器与心跳复检，注销后 socket 永久续命（middleware/auth.go:106）；handler/ws.go:112-162 in-band auth 绕过黑名单与 hub-session gate（当前不可达但一步之遥）；desktop useHubWebSocket.ts:163 用 ?token=（服务端拒绝）且 :240 reconnect 因稳定 deps 永不触发——需修复或删除该栈。