zqlit 68416366eb fix(editor-api): 身份判定改为会话优先，防止配置漂移静默提权 ...

identify() 原来「令牌优先」：令牌对得上就用 X-Editor-* 头的身份，没有头时默认 admin。
国内线路的 nginx 目前不注入令牌，但一旦配置回滚到「注入令牌」的旧版本，编辑的请求
会命中令牌分支 → 静默获得管理员权限（看到全部文章、能改别人的、能全量发布）。

改为「会话（真实的人）优先于共享令牌（服务身份）」，把边界写死在代码里而不是靠配置。
新增断言：编辑会话 + 管理员令牌头 → 仍按编辑身份。role-perm.mjs 47/47

2026-10-05 14:41:02 +08:00

..

api-e2e.mjs

feat(editor): 在线编辑文章（Worker 前端 + 轻量 docker 后端）

2026-10-04 21:16:06 +08:00

frontmatter-roundtrip.mjs

feat(editor): 在线编辑文章（Worker 前端 + 轻量 docker 后端）

2026-10-04 21:16:06 +08:00

role-perm.mjs

fix(editor-api): 身份判定改为会话优先，防止配置漂移静默提权

2026-10-05 14:41:02 +08:00

save-roundtrip.mjs

feat(editor): 在线编辑文章（Worker 前端 + 轻量 docker 后端）

2026-10-04 21:16:06 +08:00