wip

AGENTS.md

@@ -18,6 +18,13 @@
 - WebSocket 推送是独立进程，需单独启动：`php worker/websocket.php start`；`TicketNotifier::notify` 设计为静默失败，广播服务不可用不影响主流程。
 - 数据库表名为复数（`users`、`companys`、`company_operators`、`tickets`），模型名对应单数。
 
+## 当前阶段约定（鉴权）
+
+- 当前项目处于本地开发阶段，**暂不要求启用接口鉴权与角色权限校验**；`admin` 路由未挂载 `CheckLogin` / `Auth` 中间件属于当前阶段的既定状态，不作为缺陷或验收阻塞项。
+- 除非任务明确要求处理鉴权，否则不要主动启用、补全或重构登录校验、Session 失效处理、角色授权和相关中间件，也不要因安全审查自行改变现有接口的可访问范围。
+- 现有登录、Session、角色及鉴权代码暂时保留，以便后续启用；新增或修改业务功能时应避免破坏这些代码的接口兼容性。
+- 本约定仅适用于当前开发阶段；准备部署到生产或对外开放服务前，必须重新评估并启用完整鉴权。
+
 ## 开发约束
 
 1. **运行方式**：后端一律由小皮面板托管（Apache + MySQL）。禁止启动 `php think run`、独立 php 内置服务器等旁路服务。