生产链路只走标准 TLS 1.3

• SDK ↔ Edge：TLS 1.3，校验证书与主机名
• Edge ↔ Connector：mTLS
• 票据与配置：Ed25519 compact JWS，过期与错绑定硬拒绝
• 本地代理仅 loopback，仅签名 targetId
• 控制面不可达时不得延长过期配置

实验室 Issuer 仍只监听本机 loopback，不作为本站登录后端。客户控制台签发将走独立认证 HTTPS（后续切片）。