Критическое исправление безопасности: замена JWT на серверные сессии для предотвращения подделки токенов.
- Breaking: Полный отказ от JWT-подписей в пользу серверных opaque-токенов, что устраняет риск подделки сессий через публичные ключи.
- Fixed: Устранена уязвимость, позволявшая злоумышленникам создавать административные токены из-за использования стандартного секретного ключа.
- Added: Внедрена мгновенная инвалидация сессий при изменении пароля, удалении пользователя или отзыве API/MCP-ключей.
- Deprecated: Параметр JWT_TOKEN_SECRET сохранен для совместимости, но игнорируется с выводом предупреждения о弃用.
- Breaking: Требуется повторный вход в систему после обновления, так как старые JWT-токены больше не валидируются.