docs(ios): 记录 P6 自查结论与修复

2026-09-16 19:20:59 +08:00
parent 3f6090081f
commit d81605ebff
1 changed files with 5 additions and 1 deletions
@@ -296,7 +296,11 @@ P2/P3 可并行。P4 是唯一动到现有 iOS 数据模型的部分，风险集
 > - P5：卡片通道徽标与 freshness 副标题、`ErrorMessage.describe` 的四类以上分层文案、
 >   危险写 intent 由 `RelayTransport.encode` 在发送瞬间生成、配对 sheet（`RelayPairingView`）。
 >   吊销入口仍未做：目前需要在内网对节点跑一次 `--pair --destroy`。
-> - P6：部署与渗透自查未做。
+> - P6：部署文档（`simadmin-relay/docs/deployment.md`）与渗透自查（`test/adversarial.test.js`，
 >   12 项）已落地。自查找出一处真实缺陷并已修复：中继的 pending 表只按 `reqID` 索引，
 >   `/v1/agent/result` 未校验提交方是否该请求所属节点的 agent，因此被控节点只要知道另一个节点的
 >   在途 `reqID` 即可抢先应答，把它变成 orphan 并让合法应答被丢弃。修复方式是在
 >   `registry.resolve` 上增加 nodeID 校验（`relay/src/registry.js`）。
 >
 > **Swift 侧签名不是逐字节可复算的**：CryptoKit 的 Ed25519 签名是随机化的（同一密钥同一消息
 > 两次签名结果不同），Go 与 Node 用的是 RFC 8032 确定性实现。因此 `RelayWireTests` 校验的是