服务端 v1.0.6 已上线，移动端接口契约冻结。App 必须适配 2FA：开启后 /api/mobile/auth/login 返回 mfa_required 与 mfa_ticket 而非令牌，须再调 2fa/verify，否则会把质询误存为会话。新增告警中心，支持列表、详情、已读/处置与未读计数，暂无系统推送；移动端分页接口、公网地址用 entry，登录字段名为 token，勿向既有接口附加字段。真实联调需本地实例。portfolio 插件实测 API 非 REST，写操作用 create/update 且按 slug 定位，platform/type 须用选项 value，Markdown 表格不渲染。

Intranet Tunnel 本轮修复了 2FA、并发写库和审计发现的问题。2FA 原先设置可开但登录不校验，v1.0.6 在登录前插入第二因子，票据改为内存一次性、带 TTL，并防 TOTP 重放；丢失认证器只能改库并重启恢复。v1.0.7 解决并发写导致的 500：SQLite 因 DEFERRED 锁升级报 SQLITE_BUSY，改用 immediate 事务与 10 秒 busy_timeout；PostgreSQL 因设置项 map 遍历顺序随机而死锁，落库前按 key 排序。安全审计中 19 项功能用例未发现可利用漏洞，8 项 DDoS 攻击均被防护，修复 JWT 默认密钥、协议帧内存放大等 4 个缺陷；残余风险为隧道 local_addr SSRF、NAT 限流失效和带宽型攻击。