Pi-Remote v2.1.5

2.1.5 — 观看端身份（加密阶段 2）

浏览器观看端从这一版起可以拥有自己的身份钥、用签名代替令牌登录；内容钥（ACK）开始在设备与观看端之间完整流转。注意：本阶段完成的仍只是身份与内容钥分发，正文加密在下一阶段——当前对话正文仍以明文经过并存储于 relay。

• 观看端身份钥：设置页「设备」新增「观看端身份」：启用后浏览器生成签名钥与协商钥，私钥以不可导出形式保存在 IndexedDB（不进 localStorage、永不以明文落盘）。启用确认里明示：没有口令备份时，所有持钥设备丢失且浏览器数据被清空，历史将永久无法恢复，服务器与管理员令牌都救不回来。
• 挑战-签名登录：与设备端同构（一次性题目、录播无效）；钥登录失败不自动降级为令牌登录、不清已存令牌；被撤销的观看端明确拒绝。
• 管理签名双轨：配对批准、设备/观看端撤销等管理操作可由已登记的管理员观看端签名授权（adminSig），管理员令牌保留为兜底——只恢复访问权，恢复不了内容。
• 内容钥流转补全：批准带钥设备时可随批准直接附上包好的内容钥；设备与观看端都能应答内容钥索取（relay 只盖戳路由、不落盘）；各端上报钥指纹供 relay 对账，不一致时发 key_mismatch 警告。
• 已授权观看端管理与口令备份：设置页可查看/撤销已登记观看端（撤销确认如实说明对方手里的钥副本不失效，真移除需后续轮换）；内容钥可口令加密导出备份文件、换浏览器导入恢复。

完整记录见仓库内 CHANGELOG.md。

---

Viewer identity (crypto phase 2). Browsers now hold their own identity keys (non-extractable, IndexedDB): login becomes a challenge-response signature exchange with no silent downgrade to tokens, management actions accept admin signatures (adminSig) alongside the admin token, and the account content key flows end-to-end - pair-approve grants, request/answer between key holders, fingerprint reconciliation with key_mismatch warnings, and a PBKDF2 passphrase backup package. Bodies are still plaintext until phase 3. See CHANGELOG.md.