chore(tasks): start T-301

docs/tasks/T-301.md

@@ -3,10 +3,10 @@ id: T-301
 title: 设备凭据与身份隔离（F-013）
 phase: 3
 deps: [T-201]
-status: TODO
+status: DOING
 created: 2026-08-04
 vikunja_task_id: 33
-context_ref: 6a5547b
+context_ref: a6ad560
 work_branch: task/t-301-device-auth
 needs_device: false
 needs_human_review: false
@@ -26,7 +26,7 @@ write_paths:
   - docs/current-state.md
 ---
 
-<!-- BEGIN VIKUNJA EXPORT id=33 synced=2026-08-04T12:00:29Z sha256=f42e17b9c709203841238be96f3cfb25ea7ff0b6da2d29aba71b512eecc2528c -->
+<!-- BEGIN VIKUNJA EXPORT id=33 synced=2026-08-04T12:01:04Z sha256=f529999ac5ec535073ae50cf0c045ba24b889dbcee1a25a3ba6d35329bf8f4c9 -->
 ## 问题 / 背景
 
 T-204 已提供设备认证注入点，但生产实现固定拒绝全部设备请求。T-301 为采购工具建立可签发、可撤销、服务端逐请求校验的设备凭据，并把管理员会话与设备 Bearer 能力严格隔离；不提前实现领取、租约或客户端 HTTP 适配。
@@ -58,7 +58,9 @@ T-204 已提供设备认证注入点，但生产实现固定拒绝全部设备
 
 ## 执行记录
 
-（暂无）
+### 2026-08-04T12:00:56Z · ila
+
+2026-08-04 开始 T-301：依赖 T-201 已完成，任务定义提交 a6ad560。实现范围严格限于设备凭据签发/撤销、逐请求 Bearer+设备 id 认证、身份隔离及接通 T-204 证据上传；不新增领取/租约/事件/围栏/结果接口，不接触真机或提交/付款。工作分支 task/t-301-device-auth。
 <!-- END VIKUNJA EXPORT -->
 
 ## 边界