H-12：/websocket 握手校验 Redis 会话并按机台/租户投递
/websocket 握手校验 Redis 会话；Box 订本机台，看板订本租户；禁止全厂广播。叠在 H-11 上。
Summary
- 握手必须 token（query
token或 headerbox-token）；失败 close 且不入桶 - Box Redis box-token 只收本 machineId；看板 Redis service-token 只收本 tenantId
- WS 不走
holding-box-后门；删掉全局 SESSIONS 广播
Test plan
-
无 token / 过期 /
holding-box-{id}→ 不入桶，收不到停机 JSON - Box 真实 token 只收本机台；看板 A 租户不能收 B 租户
- query 伪造 tenantId 无效
- BoxWebSocketAuthTest：query/header 解析与后门前缀拒绝
- 机台监控停机弹窗：本租户仍弹，须前端同期带 token