原注释称"客户端内置同一密钥,服务端不能换"已过时(本地 Flask 与 /api/auth/sync 验签链路已随服务端化退役),会误导运维不敢轮换;2026-09-13 生产已轮换为 application-server.yml 独立密钥并验证。