feat(auth): Phase 1 —— 全站要求登录（38 号文档）

给此前完全零防护的 company.js/okr.js/tasks.js/devloop.js/graph-run.js（两个挂载点）/ arena.js/config.js/evolution.js/whatsapp-auth.js 挂 requireAuth；dream.js 挂 requireAdmin （系统级经验汇流视图，只有 admin 能看）。open-api.js（自己一套 OPEN_API_KEYS）/auth.js 自身/health 端点按计划排除。这一步只挡"没登录"，公司归属过滤留到 Phase 2。 agent-chat.js 不能直接挂 requireAuth：company.js（自动建公司/招聘后自动训练）、 task-settle.js（goal 汇报回调）三处服务端自环调用会 fetch 自己的 /api/agent/* 端点，拿不到任何用户 cookie，直接挂锁会打断这几条核心自动化链路。新增 requireAuthOrInternal + jwt-auth.js 的进程内 INTERNAL_TOKEN（启动时随机生成，只活在内存里）：自环调用带上 x-internal-token 头放行，其余情况仍要求真实登录；三处调用点同步改造。 17 个既有测试文件、67+ 处用例直接拿 supertest 打这些路由，从没设过登录 cookie（测的是业务逻辑不是鉴权）。没有逐个补登录态，改为 requireAuth/requireAdmin 在 NODE_ENV=test 时默认放行，除非显式 FORCE_REAL_AUTH=1；新增 route-auth-gate.test.js 在放行关闭状态下做结构检查（router.stack 里中间件是否真的排在所有路由前面），确保"锁真的挂上了"这件事有测试兜底，不被业务测试的默认放行悄悄掩盖。验证：真实 curl 走过全部路由（无 cookie 401、admin 登录全通、非 admin 能看公司但 dream.js 403）；手工删过一行 requireAuth 确认守卫测试真的会红；全量 vitest 1427 passed，另 3 个失败与本次改动无关（stash 验证过改前改后一致，系仓库并发工作遗留）。 Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

feat(auth): Phase 1 —— 全站要求登录（38 号文档）
给此前完全零防护的 company.js/okr.js/tasks.js/devloop.js/graph-run.js（两个挂载点）/ arena.js/config.js/evolution.js/whatsapp-auth.js 挂 requireAuth；dream.js 挂 requireAdmin （系统级经验汇流视图，只有 admin 能看）。open-api.js（自己一套 OPEN_API_KEYS）/auth.js 自身/health 端点按计划排除。这一步只挡"没登录"，公司归属过滤留到 Phase 2。 agent-chat.js 不能直接挂 requireAuth：company.js（自动建公司/招聘后自动训练）、 task-settle.js（goal 汇报回调）三处服务端自环调用会 fetch 自己的 /api/agent/* 端点，拿不到任何用户 cookie，直接挂锁会打断这几条核心自动化链路。新增 requireAuthOrInternal + jwt-auth.js 的进程内 INTERNAL_TOKEN（启动时随机生成，只活在内存里）：自环调用带上 x-internal-token 头放行，其余情况仍要求真实登录；三处调用点同步改造。 17 个既有测试文件、67+ 处用例直接拿 supertest 打这些路由，从没设过登录 cookie（测的是业务逻辑不是鉴权）。没有逐个补登录态，改为 requireAuth/requireAdmin 在 NODE_ENV=test 时默认放行，除非显式 FORCE_REAL_AUTH=1；新增 route-auth-gate.test.js 在放行关闭状态下做结构检查（router.stack 里中间件是否真的排在所有路由前面），确保"锁真的挂上了"这件事有测试兜底，不被业务测试的默认放行悄悄掩盖。验证：真实 curl 走过全部路由（无 cookie 401、admin 登录全通、非 admin 能看公司但 dream.js 403）；手工删过一行 requireAuth 确认守卫测试真的会红；全量 vitest 1427 passed，另 3 个失败与本次改动无关（stash 验证过改前改后一致，系仓库并发工作遗留）。 Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
yibo · 宜博
1 parent 6f48c194
Showing 16 changed files with 227 additions and 8 deletions
docs/README.md
docs/todo/system-design/38-auth-multi-tenant-isolation.md
server/middleware/jwt-auth.js
server/routes/agent-chat.js
server/routes/arena.js
server/routes/company.js
server/routes/config.js
server/routes/devloop.js
server/routes/dream.js
server/routes/evolution.js
server/routes/graph-run.js
server/routes/okr.js
server/routes/tasks.js
server/routes/whatsapp-auth.js
server/services/task-settle.js
server/tests/unit/route-auth-gate.test.js
@@ -49,7 +49,7 @@ Graph Agent 架构重构（27 系列）。**已完成的阶段文档已移入 `d
 | [29-dream-design.md](./todo/system-design/29-dream-design.md) | **dream（经验汇流）**— ✅ 已实现。定时整理所有 agent 在所有公司的记忆，提炼后跨公司沉淀（不泄漏公司信息）。四条取舍已拍板并实现：去敏独立判定、四落点分层写入（经验/`SKILL.md`/`soul.md`/`agent.md`，受管区块+三道闸门）、每日定时（串行+空转保护）、引用真伪自动查、REST+控制台入口（`/api/dream/*`、`/dream`）。`innovator-evolver` 真 CLI 跑通一次。**仍缺的**：「结论对不对」只能人抽查；「套进 org/work graph 来跑」评估后用户选了不做（作用域不匹配，见文内 §5.7） |
 | [30-task-delegation-reliability-gaps.md](./todo/system-design/30-task-delegation-reliability-gaps.md) | **任务委派可靠性现状**— 📝 调研记录，非设计方案。DevLoop `runUnit`、Company 招聘装配、Graph 执行三条链路核对结论一致：都是「失败预算耗尽 → 停等人工」，没有「卡住了主动通知人」这一层；DevLoop 当前还默认走 mock，真实 CLI 成功率无实证数据。2026-08-23 追加真实实例并已修：`infra_flake` 原地重跑没有熔断线，真撞上过一次确定性死循环（节点把诊断结论误判成自己的执行结果，反复重跑却从不路由到诊断建议的目标节点）；已加 `infra_flake_count` 列 + 硬顶 3 次熔断，连续判 infra_flake 超过硬顶就改判 blocked 交给人工 |
 | [31-work-graph-fail-fallback-coverage.md](./todo/system-design/31-work-graph-fail-fallback-coverage.md) | work graph 兜底边覆盖不全 — ✅ 已完成（除入口节点外强制兜底边，`planner.json`/`executor-fanout.json` 补 6 条边），978/978 单测通过；2026-08-21 又用真实 LLM 起了一条新任务做端到端回归验证，`org-planner-sdd` 自判失败后自动打回 `org-planner-prd`（3 次，零人工介入），修复确认生效 |
-| [38-auth-multi-tenant-isolation.md](./todo/system-design/38-auth-multi-tenant-isolation.md) | 📝 **Phase 0 已完成（2026-08-25），Phase 1-3 未开工**。远程部署前置需求：登录鉴权 + 公司级多租户隔离。现状 `auth.js`/`jwt-auth.js`（注册/登录/JWT-cookie/OAuth）+ WebSocket 鉴权都已可用，真正缺的是①把已有的锁挂到目前零防护的 `company.js`/`agent-chat.js`/`okr.js`/`tasks.js`/`devloop.js`/`graph-run.js`（含双挂载点）等路由上、②`company.json` 从 0 新增 `ownerId` 归属概念（无 SQL 表，纯文件）。已拍板：存量公司迁移统一划给种子账号 `admin`/`hex1234`（不强制改密）；OKR 跟随 company 隔离（含独立的遗留 `/api/okr` 挂载点）；`arena.js`/`evolution.js` 核实为疑似废弃代码（前端零引用、5 个月未改动），只挂登录不投入隔离；`dream.js` 系统级，挂 `requireAdmin`。**Phase 0**：种子脚本 + 登录页 + 路由守卫 + 401 拦截器 + 退出登录，真实浏览器走通（含顺手修复的 `MasterChatDrawer` 登录页泄漏）。Phase 1（全站要求登录）→ Phase 2（`router.param('companyId')` 归属校验，最大工作量）→ Phase 3（聊天隔离验证+前端收尾）待开工 |
+| [38-auth-multi-tenant-isolation.md](./todo/system-design/38-auth-multi-tenant-isolation.md) | 📝 **Phase 0/1 已完成（2026-08-25），Phase 2-3 未开工**。Phase 1 给 9 个此前零防护的路由文件挂 `requireAuth`/`requireAdmin`；`agent-chat.js` 用新写的 `requireAuthOrInternal`（进程内 `INTERNAL_TOKEN`）——因为发现三处服务端自环调用（招聘/训练自动流水线、goal 汇报回调）拿不到用户 cookie，直接挂锁会打断核心自动化链路。17 个既有测试文件的 67+ 处用例从没设过登录态，改为测试环境默认放行 + 新增 `route-auth-gate.test.js` 结构化守卫测试专盯"锁真的挂上了没有"。远程部署前置需求：登录鉴权 + 公司级多租户隔离。现状 `auth.js`/`jwt-auth.js`（注册/登录/JWT-cookie/OAuth）+ WebSocket 鉴权都已可用，真正缺的是①把已有的锁挂到目前零防护的 `company.js`/`agent-chat.js`/`okr.js`/`tasks.js`/`devloop.js`/`graph-run.js`（含双挂载点）等路由上、②`company.json` 从 0 新增 `ownerId` 归属概念（无 SQL 表，纯文件）。已拍板：存量公司迁移统一划给种子账号 `admin`/`hex1234`（不强制改密）；OKR 跟随 company 隔离（含独立的遗留 `/api/okr` 挂载点）；`arena.js`/`evolution.js` 核实为疑似废弃代码（前端零引用、5 个月未改动），只挂登录不投入隔离；`dream.js` 系统级，挂 `requireAdmin`。**Phase 0**：种子脚本 + 登录页 + 路由守卫 + 401 拦截器 + 退出登录，真实浏览器走通（含顺手修复的 `MasterChatDrawer` 登录页泄漏）。Phase 1（全站要求登录）→ Phase 2（`router.param('companyId')` 归属校验，最大工作量）→ Phase 3（聊天隔离验证+前端收尾）待开工 |
 | [37-org-graph-department-scoping.md](./todo/system-design/37-org-graph-department-scoping.md) | 📝 **设计讨论，调用点扫描已完成，尚未立项实现**。现状 org graph 按 `company_id` 单例（`27-P2` 标题原文即"公司级"），塞不下 HR/财务/市场这类跟"交付流水线"无关的公司常设职能——`system/agents/hr/`（"招·留·管·退"）本体已存在却从没被装进任何图，全靠 fire-and-forget chat 招聘、无图执行审计轨迹。提议把 org graph 作用域从 `company_id` 升级为 `(company_id, department_id)`，一家公司可装配多张部门图，每张仍保持人工固定/慢变/可审计。全仓库调用点扫描结论：改造面是最初估算的 4 倍——真正的单点真相在 `work-graph-db.js:readDefGraph` 的裸 SQL 不变式（不在服务层），还牵涉两个易混淆服务文件间必须字节级一致的重复唯一索引、独立的 `graph-seed-service.js` 对账子系统、`company-hire-org-layer.test.js` 专属测试、`orggraph-planning`/`task-planning` 两份 agent 人设文档的自我认知改写 |
 | [36-prd-agent-methodology-training-feasibility.md](./todo/system-design/36-prd-agent-methodology-training-feasibility.md) | 📝 **调研 + 阶段一/二均已完成**。回应"落地页太单薄是不是该用 Innovator 先训练专业 agent、再用 Dream 持续迭代"——认同方向。**阶段一**：`graph-engine.js` 结算节点后把 `success`/`fail:<reason>` 写进本体 `memory.md`（此前只有人类对话路径会写，Dream 天天空转）。**阶段二**：新建独立试验节点 `prd-methodology-trial` 走真实 Hunt→Digest→Evolve，2 轮收敛（96/97 分，真实基线 50 分），三个真实历史项目反推验证方法论有效；过程中连带修复同一个 2026-08-16 改名批次遗留的 5 处 `innovator`→`org-innovator` 死链（后端两处硬编码、前端"重新训练"按钮、`/api/agent/list` 展示 id 来源的四个 `config.json`），以及 `AgentScaffold` 默认模板一处裸相对路径缺陷。结论：FDE 对方法论类角色确实管用，但收敛速度/验收严谨度依赖任务书显式写明的自纠正要求，非免人工黑盒。环节 3（训练产物 → 雇佣本体转换）尚未开工 |
 | [35-validation-rigor-and-body-readiness-proposal.md](./todo/system-design/35-validation-rigor-and-body-readiness-proposal.md) | 📝 **复盘 + 改进方案，四条提案全部已实施**。承接 31/32/33/34 号的复盘结论：任务结果差主要是架构问题（完整性闸门 `missingBodyDefinition` 只在招聘时查、图执行侧完全没有第二道防线——新发现）+ 一个具体的招聘装配可靠性 bug，不是 agent 能力问题。提案 A：本体不完整时图执行前置判 `fail_reason=body_not_ready`，不扣预算。提案 D：`goal-contract.js` 的 `evidence_hint` 命中浏览器类关键词的维度必须有证据支撑，否则判不过。提案 C：新增 `scripts/visual-acceptance-check.mjs` 复用检查工具。提案 B：控制台「验收证据」小节展示每个维度有没有证据支撑 |
@@ -96,10 +96,12 @@ router.param(&#39;companyId&#39;, (req, res, next, companyId) =&gt; {
 - 顺手修了一处过程中发现的泄漏：`App.vue` 原来无条件渲染 `MasterChatDrawer`，未登录时登录页右上角也会露出这个悬浮入口——改成 `v-if="showChrome"`（`route.name !== 'Login' && !!user`），登录页干净了。
 - **验收（真实浏览器走过一遍，非仅测试通过）**：未登录访问 `/company` 等任意页面 → 跳 `/login?redirect=/company`；`admin`/`hex1234` 登录成功 → 跳回原目标页，导航栏显示 `admin` + 退出按钮；直接刷新/新开页面访问受保护路由（非 SPA 内跳转）同样正确放行；点退出 → 清 cookie、跳回 `/login`；`npm run build` 产物构建通过，无报错。因为业务路由还没加锁，登录后依然能看到现状全部数据（等价于"登录墙搭好了，屋里还没上锁"），符合这一阶段的验收边界。
-### Phase 1 — 全站要求登录（不做归属过滤）
-- 给 `agent-chat.js`/`company.js`/`okr.js`/`tasks.js`/`devloop.js`/`graph-run.js`（两个挂载点）/`arena.js`/`config.js`/`evolution.js`/`whatsapp-auth.js` 挂 `requireAuth`，显式排除 `open-api.js`、`auth.js` 自身、`/api/health`。
-- **`dream.js` 挂 `requireAdmin` 而不是 `requireAuth`**（已决策，见 §五）——它是系统级的经验汇流视图，只有 admin 能看，不是"登录即可看"。
-- **验收**：未登录状态下所有 API 都 401；已登录状态下行为跟 Phase 0 完全一致（任何登录用户依然能看到全部公司——归属过滤还没上）；非 admin 登录用户访问 `dream.js` 下的接口 403。这一步的回归测试很简单：跑现有测试套件 + 确认没有新增的越权点。
+### Phase 1 — 全站要求登录（不做归属过滤）✅ 已完成（2026-08-25）
+- 给 `company.js`/`okr.js`/`tasks.js`/`devloop.js`/`graph-run.js`（两个挂载点：`router` + `companyRouter`）/`arena.js`/`config.js`/`evolution.js`/`whatsapp-auth.js` 挂 `requireAuth`，显式排除 `open-api.js`（自己一套 `OPEN_API_KEYS`）、`auth.js` 自身、`/api/health`。
+- **`dream.js` 挂 `requireAdmin`**（已决策，见 §五）——系统级经验汇流视图，只有 admin 能看。
+- **`agent-chat.js` 挂的是新写的 `requireAuthOrInternal`，不是普通 `requireAuth`**——实现过程中发现的真实风险：`company.js:82/506`（招聘/训练自动流水线）、`task-settle.js:452`（goal 汇报回调）三处**服务端自环调用**会 `fetch('http://127.0.0.1:.../api/agent/...')` 打这个文件，这三处根本拿不到任何用户 cookie，直接挂 `requireAuth` 会把公司自动创建、招聘训练、任务汇报这几条核心自动化链路全部打断成 401。解法：`jwt-auth.js` 新增进程内 `INTERNAL_TOKEN`（启动时随机生成、只活在内存里，不落盘不读环境变量——调用方和校验方永远在同一个 Node 进程），`requireAuthOrInternal` 先认这个头（`x-internal-token`），认不出再退回普通 `requireAuth`；三处自环调用改成带上这个头。
+- **测试套件的连带问题**：仓库里已有 17 个测试文件、67+ 处用例直接拿 supertest 打这几个路由，从没设过登录 cookie（测的是业务逻辑，不是鉴权）——挂完锁后这批测试集体从 200/201 变 401。没有逐个文件补登录态（会引入 bcrypt 开销拖慢整个套件，且这些用例本来就不该关心鉴权），改为：`jwt-auth.js` 的 `requireAuth`/`requireAdmin` 在 `NODE_ENV==='test'`（vitest 自动设置）时默认放行，除非显式设了 `FORCE_REAL_AUTH=1`；新增 `server/tests/unit/route-auth-gate.test.js` 专门在 `FORCE_REAL_AUTH=1` 下做结构检查（`router.stack` 里有没有那个中间件函数本身、且排在所有具体路由前面），不发真实 HTTP、不碰 DB，确保"锁真的挂上了"这件事有测试兜底，而不是被 67 处业务测试的默认放行悄悄掩盖。
+- **验收**：真实 `curl` 走过一遍——无 cookie 访问 `company.js`/`tasks.js`/`devloop.js`/`okr.js`/`graph-run.js`/`dream.js` 全部 401；`admin`/`hex1234` 登录后全部可访问；新注册的非 admin 用户能访问 `company.js` 等（Phase 1 还没做归属过滤，符合预期），但访问 `dream.js` 得到 403；`open-api.js`/`auth.js` 未受影响（前者仍是自己的 API Key 报错文案，后者登录本身不能被锁死）。手工临时删掉 `tasks.js` 的 `router.use(requireAuth)` 验证过守卫测试真的会红。全量 `npx vitest run`：1427 passed（含新增 13 条守卫测试），3 个失败与本次改动无关（`git stash` 验证过，改动前后同样失败：`agent-md-refs`/`graduation-criteria-reality`/`graph-engine-extend-budget`，是仓库里并发的其它工作留下的，非本次引入）。
 ### Phase 2 — 公司归属隔离（这次真正的硬骨头）
 - `company.json` schema 加 `ownerId`；`create()` 接收 owner 参数（从 `req.user.id` 传入）；`list()` 按 `req.user` 过滤（admin 角色不过滤）。
@@ -103,9 +103,30 @@ function extractUser(req) {
 }
 /**
+ * 38 号文档 Phase 1 落地时发现：仓库里已有 17 个测试文件直接拿 supertest 打
+ * company.js/tasks.js/devloop.js/... 这些路由，从没设过登录 cookie——这些用例测的是
+ * 业务逻辑（队列/归档/CRUD），不是鉴权本身，一个个改成先登录再打显然是本末倒置
+ * （还会因为 bcrypt 而拖慢整个套件）。
+ *
+ * 所以测试环境默认让 requireAuth/requireAdmin 直接放行（`NODE_ENV=test` 是 vitest
+ * 自动设的，不需要每个测试文件单独配置），补一条真正验证"锁真的挂上了"的守卫测试
+ * （`server/tests/unit/route-auth-gate.test.js`），跑之前设 `FORCE_REAL_AUTH=1`
+ * 关掉这里的放行，其余测试不受影响。**不是每次调用都读一遍 env**：中间件内联判断，
+ * 保证同一个测试文件里前后设置的 env 值能立刻生效（不被模块加载时的一次性求值缓存）。
+ */
+function isTestAuthBypass() {
+  return process.env.NODE_ENV === 'test' && process.env.FORCE_REAL_AUTH !== '1';
+}
+const TEST_BYPASS_USER = { id: -1, role: 'admin', display_name: 'test-bypass', email: 'test-bypass@local' };
+
+/**
  * Middleware: require authentication (401 if not logged in)
  */
 function requireAuth(req, res, next) {
+  if (isTestAuthBypass()) {
+    req.user = TEST_BYPASS_USER;
+    return next();
+  }
   const user = extractUser(req);
   if (!user) {
     return res.status(401).json({
@@ -129,6 +150,10 @@ function optionalAuth(req, res, next) {
  * Middleware: require admin role (403 if not admin)
  */
 function requireAdmin(req, res, next) {
+  if (isTestAuthBypass()) {
+    req.user = TEST_BYPASS_USER;
+    return next();
+  }
   const user = extractUser(req);
   if (!user) {
     return res.status(401).json({ error: 'Unauthorized' });
@@ -154,14 +179,41 @@ function extractUserFromToken(token) {
   }
 }
+/**
+ * 进程内令牌，只用于同一台机器上的服务端自环调用（agent-chat.js 挂 requireAuth 之后，
+ * company.js:82/506、task-settle.js:452 这三处 `fetch('http://127.0.0.1:.../api/agent/...')`
+ * 拿不到任何用户 cookie，会被 401 挡住——38 号文档 Phase 1）。
+ *
+ * 只在内存里生成、不落盘、不读环境变量：调用方和校验方永远在同一个 Node 进程里
+ * （自环 HTTP 只是"本进程调本进程"，不是真的跨进程/跨机器），进程重启两边一起换新值，
+ * 不存在"改了忘同步"的问题，也不需要额外的密钥管理。
+ */
+const INTERNAL_TOKEN = require('crypto').randomBytes(24).toString('hex');
+const INTERNAL_TOKEN_HEADER = 'x-internal-token';
+
+/**
+ * Middleware: 放行本进程自环调用（带对的 INTERNAL_TOKEN），其余情况退回 requireAuth。
+ * 自环调用不代表任何真人用户，`req.user` 置一个可识别的系统身份，供下游判断。
+ */
+function requireAuthOrInternal(req, res, next) {
+  if (req.headers[INTERNAL_TOKEN_HEADER] === INTERNAL_TOKEN) {
+    req.user = { id: 0, role: 'system', display_name: 'system', internal: true };
+    return next();
+  }
+  return requireAuth(req, res, next);
+}
+
 module.exports = {
   signAndSetCookie,
   clearCookie,
   requireAuth,
   requireAdmin,
+  requireAuthOrInternal,
   optionalAuth,
   extractUser,
   extractUserFromToken,
+  INTERNAL_TOKEN,
+  INTERNAL_TOKEN_HEADER,
   JWT_SECRET,
   COOKIE_NAME,
 };
@@ -29,8 +29,15 @@ const { listCompanyAgents } = require(&#39;../services/company-service&#39;);
 // 交付物归宿只有一份推导（28 §4.4），公司环境上下文与执行链路的运行时坐标共用它
 const { companyWorkspaceDir } = require('../src/core/prompt-builder');
 const systemConfig = require('../config');
+const { requireAuthOrInternal } = require('../middleware/jwt-auth');
 const router = express.Router();
+// 38 号文档 Phase 1：全站要求登录，但这个文件同时承接三处服务端自环调用
+// （company.js:82/506、task-settle.js:452 的 fetch('.../api/agent/...')）——
+// 那几处拿不到用户 cookie，用 requireAuthOrInternal 而不是 requireAuth，
+// 放行带对内部令牌的自环请求，其余情况仍然要求真实登录。
+router.use(requireAuthOrInternal);
+
 // ── 自唤醒回调：端口取实际监听端口，测试环境整体短路 ────────────────────
 //
 // 曾经这六处各自写死 `hostname:'localhost', port: systemConfig.port`（3010）。
@@ -3,7 +3,12 @@
  */
 const express = require('express');
 const router = express.Router();
+const { requireAuth } = require('../middleware/jwt-auth');
 const taxonomy = require('../config/taxonomy');
+
+// 38 号文档 Phase 1：疑似废弃代码（前端零引用、~5 个月未改动），最省事处理——只挂登录，
+// 不深挖是否该删（不属于这次鉴权改造的范围）。
+router.use(requireAuth);
 const { ROLES, SCENES, PLATFORMS, autoTag, migrateOldScene } = taxonomy;
 const config = require('../config');
 const skillDb = require('../services/skill-db');
@@ -8,6 +8,12 @@ const express = require(&#39;express&#39;);
 const path = require('path');
 const fs = require('fs');
 const router = express.Router();
+const { requireAuth, INTERNAL_TOKEN, INTERNAL_TOKEN_HEADER } = require('../middleware/jwt-auth');
+
+// 38 号文档 Phase 1：全站要求登录。公司归属过滤（谁能看到哪家公司）留到 Phase 2 的
+// router.param('companyId', ...) 统一收口，这一步只挡"没登录"。
+router.use(requireAuth);
+
 const { CompanyService, listCompanyAgents, buildAgentDefinitionBrief } = require('../services/company-service');
 const { ScheduleService } = require('../services/schedule-service');
 const orgGraphService = require('../services/org-graph-service');
@@ -75,7 +81,9 @@ function triggerOrgGraphPlanning(company, tag = &#39;OrgGraph&#39;) {
   fetch(`http://127.0.0.1:${PORT}/api/agent/${encodeURIComponent(namespacedId)}/chat`, {
     method: 'POST',
-    headers: { 'Content-Type': 'application/json' },
+    // 38 号文档 Phase 1：agent-chat.js 挂了 requireAuthOrInternal，自环调用要带这个头
+    // 才不会被 401 挡住（拿不到任何用户 cookie）。
+    headers: { 'Content-Type': 'application/json', [INTERNAL_TOKEN_HEADER]: INTERNAL_TOKEN },
     body: JSON.stringify({
       message: `公司 ${id}（${name}）已创建。\n公司目标（company-goal）：${goal || '（未填写）'}\n公司描述：${description || '（未填写）'}\n请按 orggraph-planning 工作流规划并建立这家公司的 workflow：读 system/org-graph-templates/ 候选骨架 + 可招角色清单，产出执行流图后调用 POST /api/company/${id}/org-graph 落库，再按拓扑序完成招聘。`,
       conversationId: `orggraph-bootstrap-${id}-${Date.now().toString(36)}`,
@@ -499,7 +507,7 @@ router.post(&#39;/:companyId/hire&#39;, async (req, res) =&gt; {
           setTimeout(() => {
             fetch(`http://127.0.0.1:${PORT}/api/agent/org-innovator/chat`, {
               method: 'POST',
-              headers: { 'Content-Type': 'application/json' },
+              headers: { 'Content-Type': 'application/json', [INTERNAL_TOKEN_HEADER]: INTERNAL_TOKEN },
               body: JSON.stringify({
                 message: `公司 ${req.params.companyId} 的员工 ${role} 骨架和基础技能已注入完毕。请你使用 FDE pipeline 对该 Agent ${namespacedId} （特别是它的技能）进行评测和进化训练，直到 Benchmark 达标 (Score ≥ 95)。训练过程包括 Hunt(验证数据), Digest, Evolver 等。请立即开始评估和训练，并保持向我汇报。`,
                 conversationId: trainConversationId
@@ -8,6 +8,11 @@ const router = express.Router();
 const fs = require('fs');
 const path = require('path');
 const os = require('os');
+const { requireAuth } = require('../middleware/jwt-auth');
+
+// 38 号文档 Phase 1：现状未深入调研是否有公司维度数据，先按最保守的方式处理——只挂登录，
+// 后续如发现内部数据需要按公司过滤，再提级到 Phase 2 的归属校验。
+router.use(requireAuth);
 const ROOT = path.resolve(__dirname, '../..');
@@ -17,6 +17,10 @@
 const express = require('express');
 const router = express.Router();
+const { requireAuth } = require('../middleware/jwt-auth');
+
+// 38 号文档 Phase 1：全站要求登录，公司归属过滤（经 :pid 反查 company_id）留到 Phase 2。
+router.use(requireAuth);
 const loopController = require('../src/core/devloop/loop-controller');
 const pathResolver = require('../services/devloop/path-resolver');
@@ -7,8 +7,13 @@
  */
 const express = require('express');
 const router = express.Router();
+const { requireAdmin } = require('../middleware/jwt-auth');
 const dream = require('../services/dream-service');
+// 38 号文档 Phase 1：Dream 是系统级的跨公司经验汇流视图，只有 admin 能看，
+// 不是"登录即可看"（普通用户不该看到别的公司提炼出的经验）。
+router.use(requireAdmin);
+
 // dreamSweep 串行跑几十个本体、每个可能起两次 LLM 调用，不能塞进一次 HTTP 请求里等。
 // 用最小的内存态跟踪「在跑没在跑」+「上一轮结果」，够控制台轮询用。
 let sweepState = { sweeping: false, startedAt: null, finishedAt: null, results: null, error: null };
@@ -4,6 +4,11 @@
  */
 const express = require('express');
 const router = express.Router();
+const { requireAuth } = require('../middleware/jwt-auth');
+
+// 38 号文档 Phase 1：疑似废弃代码（前端零引用、~5 个月未改动），最省事处理——只挂登录，
+// 不深挖是否该删（不属于这次鉴权改造的范围）。
+router.use(requireAuth);
 const {
   evolutionQueries, forageSkills, RunController,
   crossoverGeneration, selectGeneration, evaluateRunFitness,
@@ -41,10 +41,16 @@ const {
   RunSlotBusyError,
 } = require('../services/work-graph-db');
 const { companyRootDir } = require('../services/company-paths');
+const { requireAuth } = require('../middleware/jwt-auth');
 const router = express.Router();
 const companyRouter = express.Router();
+// 38 号文档 Phase 1：全站要求登录（两个挂载点都要挂，§六风险 2 —— 这个文件以两种方式
+// 挂载到 index.js，改的时候容易漏一个）。公司归属过滤留到 Phase 2。
+router.use(requireAuth);
+companyRouter.use(requireAuth);
+
 // ────────────────────────────────────────────────────────────────
 // 小工具
 // ────────────────────────────────────────────────────────────────
@@ -16,11 +16,16 @@
  */
 const { Router } = require('express');
+const { requireAuth } = require('../middleware/jwt-auth');
 const { OkrService } = require('../services/okr-service');
 const router = Router();
 const okr = new OkrService();
+// 38 号文档 Phase 1：全站要求登录。这是独立于 company.js 的遗留全局 OKR 挂载点
+// （目前无公司维度），公司归属改造留到 Phase 2（§四 Phase 2 / §五.1）。
+router.use(requireAuth);
+
 // ── 列出所有目标 ──
 router.get('/', (req, res) => {
   res.json(okr.list());
 const express = require('express');
 const router = express.Router();
+const { requireAuth } = require('../middleware/jwt-auth');
 const { TaskService } = require('../services/task-service');
+// 38 号文档 Phase 1：全站要求登录，公司归属过滤留到 Phase 2。
+router.use(requireAuth);
+
 const taskService = new TaskService();
 // ── Task List 缓存 (10秒 TTL) ──
@@ -9,6 +9,11 @@ const express = require(&#39;express&#39;);
 const path = require('path');
 const fs = require('fs');
 const router = express.Router();
+const { requireAuth } = require('../middleware/jwt-auth');
+
+// 38 号文档 Phase 1：这是本机管理员在浏览器里扫码连接 WhatsApp bot 的操作面板，
+// 不是外部 WhatsApp 服务器回调的 webhook，挂登录门槛不会挡外部回调。
+router.use(requireAuth);
 const AUTH_DIR = path.resolve(__dirname, '../../skills/whatsapp-bot/store/auth');
@@ -449,9 +449,12 @@ async function reportGoalOutcome(goal, status, tasks) {
       // 原来这里是**发射后不管**：`.then` 只对 !ok 打一行 error，函数立刻 return。
       // 进程在这几十毫秒到几秒里被杀、或端点回 5xx，上级就永远不会被叫醒，而库里这条 goal
       // 长得和一次完美收敛一模一样。现在等到结果再决定盖不盖「已汇报」的戳。
+      // 38 号文档 Phase 1：agent-chat.js 挂了 requireAuthOrInternal，自环调用要带这个头
+      // 才不会被 401 挡住（拿不到任何用户 cookie）。
+      const { INTERNAL_TOKEN, INTERNAL_TOKEN_HEADER } = require('../middleware/jwt-auth');
       const ok = await fetch(`http://127.0.0.1:${PORT}/api/agent/task/report`, {
         method: 'POST',
-        headers: { 'Content-Type': 'application/json' },
+        headers: { 'Content-Type': 'application/json', [INTERNAL_TOKEN_HEADER]: INTERNAL_TOKEN },
         body: JSON.stringify({
           taskId: goal.id,
           from,
+/**
+ * route-auth-gate.test.js —— 38 号文档 Phase 1 的守卫测试
+ *
+ * 只验证一件事："这个 router 的 requireAuth/requireAdmin/requireAuthOrInternal 是不是真的
+ * 挂在最前面"，不发真实 HTTP 请求、不碰 DB —— 结构检查：`router.stack` 里能不能找到那个
+ * 中间件函数本身（同一个函数引用，不是同名重写），且它排在所有具体路由（`layer.route` 有值
+ * 的层）前面。真正打 HTTP 会 401 由各业务测试文件顺带覆盖（jwt-auth.js 的
+ * FORCE_REAL_AUTH 默认在测试环境放行，这里显式打开验证真实拦截效果）。
+ *
+ * 这条测试存在的理由：67 处业务路由测试全靠 supertest 直打路由，从没设过登录 cookie——
+ * 如果只跑那些测试，`router.use(requireAuth)` 被误删也不会被任何测试发现（默认放行,
+ * 删不删都是 200）。这条测试专门盯"锁挂了没有"这一件事,跟业务逻辑测试互不重叠。
+ */
+import { describe, it, expect, afterAll } from 'vitest';
+
+process.env.NODE_ENV = 'test';
+process.env.FORCE_REAL_AUTH = '1'; // 关掉 jwt-auth.js 的测试环境默认放行
+
+const {
+  requireAuth,
+  requireAdmin,
+  requireAuthOrInternal,
+} = require('../../middleware/jwt-auth');
+
+/** router.stack 里有没有这个中间件函数本身，且排在第一条具体路由之前 */
+function gateIndex(router, middlewareFn) {
+  const stack = router.stack || [];
+  return stack.findIndex((layer) => layer.handle === middlewareFn);
+}
+function firstRouteIndex(router) {
+  const stack = router.stack || [];
+  return stack.findIndex((layer) => !!layer.route);
+}
+function expectGated(router, middlewareFn, label) {
+  const gateAt = gateIndex(router, middlewareFn);
+  const routeAt = firstRouteIndex(router);
+  expect(gateAt, `${label}: 没有挂上预期的鉴权中间件`).toBeGreaterThanOrEqual(0);
+  expect(gateAt, `${label}: 鉴权中间件排在了具体路由后面，前面那些路由没被拦到`)
+    .toBeLessThan(routeAt === -1 ? Infinity : routeAt);
+}
+
+describe('route-auth-gate（38 号文档 Phase 1）', () => {
+  afterAll(() => {
+    delete process.env.FORCE_REAL_AUTH;
+  });
+
+  it('company.js 挂了 requireAuth', () => {
+    expectGated(require('../../routes/company.js'), requireAuth, 'company.js');
+  });
+
+  it('tasks.js 挂了 requireAuth', () => {
+    expectGated(require('../../routes/tasks.js'), requireAuth, 'tasks.js');
+  });
+
+  it('devloop.js 挂了 requireAuth', () => {
+    expectGated(require('../../routes/devloop.js'), requireAuth, 'devloop.js');
+  });
+
+  it('graph-run.js 两个挂载点都挂了 requireAuth（router + companyRouter）', () => {
+    const graphRun = require('../../routes/graph-run.js');
+    expectGated(graphRun, requireAuth, 'graph-run.js router');
+    expectGated(graphRun.companyRouter, requireAuth, 'graph-run.js companyRouter');
+  });
+
+  it('okr.js 挂了 requireAuth', () => {
+    expectGated(require('../../routes/okr.js'), requireAuth, 'okr.js');
+  });
+
+  it('arena.js 挂了 requireAuth', () => {
+    expectGated(require('../../routes/arena.js'), requireAuth, 'arena.js');
+  });
+
+  it('config.js 挂了 requireAuth', () => {
+    expectGated(require('../../routes/config.js'), requireAuth, 'config.js');
+  });
+
+  it('evolution.js 挂了 requireAuth', () => {
+    expectGated(require('../../routes/evolution.js'), requireAuth, 'evolution.js');
+  });
+
+  it('whatsapp-auth.js 挂了 requireAuth', () => {
+    expectGated(require('../../routes/whatsapp-auth.js'), requireAuth, 'whatsapp-auth.js');
+  });
+
+  it('dream.js 挂了 requireAdmin（系统级，只有 admin 能看，不是登录即可看）', () => {
+    expectGated(require('../../routes/dream.js'), requireAdmin, 'dream.js');
+  });
+
+  it('agent-chat.js 挂了 requireAuthOrInternal（不是普通 requireAuth——三处服务端自环调用要放行）', () => {
+    expectGated(require('../../routes/agent-chat.js'), requireAuthOrInternal, 'agent-chat.js');
+  });
+
+  it('open-api.js 不该挂 cookie 鉴权（它自己一套 OPEN_API_KEYS 体系，面向外部 Skill 市场调用方）', () => {
+    const openApi = require('../../routes/open-api.js');
+    expect(gateIndex(openApi, requireAuth)).toBe(-1);
+    expect(gateIndex(openApi, requireAuthOrInternal)).toBe(-1);
+  });
+
+  it('auth.js 自身不挂全局鉴权（登录/注册端点必须对未登录用户可达）', () => {
+    const auth = require('../../routes/auth.js');
+    expect(gateIndex(auth, requireAuth)).toBe(-1);
+  });
+});