1

docs/audits/engineering/ENGINEERING_DEAD_CODE_CLEANUP_BATCH_C_2026-04-21.md

@@ -127,6 +127,31 @@
 
 这属于仓库当前既有工程问题，不是本批次引入的新断裂。
 
+## 4.1 2026-04-21 补充修正：会话探测 401 自触发循环
+
+在这批收口完成后，前端又暴露出一条更细的鉴权恢复回路问题：
+
+1. `AuthGate` 启动时会调用 `getCurrentAuthUser()` 探测现有会话
+2. `/api/auth/me` 返回 `401` 时，`apiClient.ts` 会默认广播一次 `AUTH_STATE_EVENT`
+3. `AuthGate` 自己又监听这个事件并重新 `hydrate()`
+4. 最终形成 `hydrate -> /auth/me 401 -> emit -> hydrate` 的自触发循环
+
+这条链的问题不在“是否允许 401”，而在：
+
+**会话探测请求把“未登录态探测”错误地当成了“全局登录态变更”。**
+
+因此这里补了一条更细粒度的约束：
+
+1. `apiClient.ts` 新增 `notifyAuthStateChange` 选项，默认仍保持原有广播行为
+2. `getCurrentAuthUser()` 作为会话探测请求，显式关闭这类 401 广播
+3. 真实登录、登出、刷新成功后，仍保留全局鉴权变更通知
+
+这样修完后：
+
+1. `AuthGate` 仍会优先尝试服务端会话恢复
+2. 无会话时会正常落回未登录分支
+3. 不会因为探测型 401 把自己重新唤醒并刷爆控制台
+
 ---
 
 ## 5. 本批次完成后的实际收益