fix: authenticate individual HTTP sessions for tasks and files

docs/bug-sheet-status.md

@@ -38,7 +38,7 @@
 | 33 | 31 | 角色名可以加个 长度限制，否则展示有问题 | 已修复并有针对性验证 |
 | 34 | 32 | 批量任务里只要指令不调用任何工具（例如「请只回复：OK」），子任务就必然失败并回「缺少执行证据」 | 已修复并有针对性验证 |
 | 35 | — | Markdown 智能体：同文件名静默覆盖、关键字段不校验、name 含路径字符被静默改写 | 已修复并有针对性验证 |
-| 36 | — | 任务结果不校验上报者归属 —— 任意植入体可伪造别的会话、甚至别的监听器的任务结果。 | 已修复持久连接跨会话及跨监听器回传；HTTP 同监听器会话隔离待核对 |
+| 36 | — | 任务结果不校验上报者归属 —— 任意植入体可伪造别的会话、甚至别的监听器的任务结果。 | 已修复持久连接及 HTTP 跨会话、跨监听器回传，HTTP 文件端点同步隔离；旧 HTTP 客户端须重新生成 |
 | 37 | — | 100s 状态不变、无 error、无 completed_at，会话早已离线。 | 待核对 |
 | 38 | — | 在「工作流」里删掉一个正被角色引用的工作流 → 删除成功且没有任何提示；之后任何人用这个角色发起 | 已修复并有针对性验证 |
 | 39 | — | 同一 implant uuid 重复上线互踢，旧连接断开把会话判死 | 已修复并有针对性验证 |