## 适用情况 
- 升级到 3.13 后外部 WS 客户端连接失败。 
- 连接成功但 `chat.send` 被拒绝或权限为空。 
- 报错集中在 device identity、signature、scope 相关。 
## 核心变化 
3.13 开始，外部客户端必须走“设备认证 + 配对授权 + deviceToken 持久化”。 
仅靠 `token + role + scopes` 已无法获得写权限。 
## 修复步骤（逻辑层） 
1. 固定客户端标识组合，保证在白名单内。 
2. 生成稳定设备身份（由公钥派生的 device_id）。 
3. 首次连接带设备身份与签名信息。 
4. 签名覆盖完整 v3 payload，而不是只签 nonce。 
5. 首次连接完成后进行配对审批。 
6. 审批通过后保存 deviceToken。 
7. 后续连接携带 deviceToken ...