docs: spec 用户终审两处补强（空串 XFF 回退/无尾斜杠措辞）

Co-Authored-By: Claude Code <noreply@anthropic.com>

docs/superpowers/specs/2026-10-19-shared-domain-routing-design.md

@@ -31,7 +31,7 @@ Host 模式（不动）：chat.xxx.com → registry.resolve_site(host)
 优先级：**平台豁免 → 路径前缀解析 → Host 解析**。
 
 1. **slug 形态校验先行**：校验在 **`raw_path` 对应段**上做 ASCII 直判（段须为未编码的 `^[a-z0-9-]+$`，与租户创建 `SLUG_RE` 一致，tenant_routes.py:65 同款正则常量提取共用）——`/t/%61uto/` 解码后虽是合法 slug，但原始段含编码即拒（**raw_path 直判为准**；解码后含 `%` 的拒绝路线不充分——`%61` 解码为字母后 `%` 不复存在，故不可依赖解码形态判编码）。不匹配（含 `..`、大小写不符、任何编码形态）直接走 Host 解析（共享域名下即 404），**不做任何剥离**。
-2. **路径改写**：匹配 `/t/<slug>/` 或精确 `/t/<slug>`（后者无尾斜杠 → 不剥离，走 Host 解析 → 共享域名 404，语义记录在案）；`scope["path"]` 剥前缀；`scope["raw_path"]` **按剥离后的解码 path 重新编码重算**（不按长度截断——编码形态下解码/原始长度不一致）；http 与 websocket 两类 scope 同构处理。
+2. **路径改写**：**仅当路径为 `/t/<slug>/` 前缀形态（带尾斜杠）才剥离**；`/t/<slug>`（无尾斜杠）视为无前缀、照走 Host 解析（共享域名下 404）。剥离时 `scope["path"]` 去前缀；`scope["raw_path"]` **按剥离后的解码 path 重新编码重算**（不按长度截断——编码形态下解码/原始长度不一致）；http 与 websocket 两类 scope 同构处理。
 3. **orig_path 留痕**：原始 path 存 `scope["state"]["orig_path"]`（排障/日志对账用；uvicorn 访问日志显示剥离后路径为已知性状）。
 4. **解析与错误语义**：slug 经 registry 公开方法 `resolve_by_slug`（见 §5；中间件不触私有 `_by_slug`）——未知 slug → http 404 / ws close(1008)；停用 → 503 暂停页 / ws close(1013)（与 resolve_site 同款语义）；站点 = 租户**首个站点**为默认（`?site=` 覆盖链路既有），`state["site"]` 同样写入。
 5. **平台豁免优先级在前**：`/health`、`/api/platform/`、`/admin` 不受影响；`/t/x/api/platform/...` 剥离后命中平台路由属 by design（认证守护，与未知 Host 下 admin 面可达同级）。
@@ -51,7 +51,7 @@ Host 模式（不动）：chat.xxx.com → registry.resolve_site(host)
 
 ## 6. 登录限流 XFF（可信代理语义——取**末段**）
 
-登录端点的限流 IP 提取：`X-Forwarded-For` **末段**（无 XFF 回退 `request.client.host`）。**只进限流键**（认证语义、日志、其他端点不动）。
+登录端点的限流 IP 提取：`X-Forwarded-For` **末段**（无 XFF **或 XFF 为空串/空白**回退 `request.client.host`——空串末段不得入键，否则全部此类请求共享一个空键）。**只进限流键**（认证语义、日志、其他端点不动）。
 
 为什么是末段而非首段（评审纠偏，安全关键）：部署模板用 `proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for`——该语义为**客户端自带 XFF 保留在前、反代把真实来源 `$remote_addr` 追加在尾**。若取首段，攻击者每次请求换一个伪造首段即得全新限流键（零失败历史）→ 无限爆破，比现状更糟。取末段：单跳反代（客户端 → OpenResty → 应用，当前部署形态）下末段=反代亲见的真实 IP，**不可伪造**；将来若加 CDN（客户端 → CDN → OpenResty），末段退化为 CDN IP → 键退化为按用户名——即现状行为，故障安全。
 
@@ -75,7 +75,7 @@ Host 模式（不动）：chat.xxx.com → registry.resolve_site(host)
 - 中间件：slug 形态校验（畸形/编码/大小写/无尾斜杠）、path 改写 + raw_path 重算、orig_path、未知/停用语义（http+ws 双 scope）、Host 模式回归（既有 test_host_routing 全绿）、平台豁免优先级、`/t/x/static/…` 全链（chat 页/静态/public/chat REST/WS）。
 - registry：resolve_by_slug（默认首站点/site 覆盖/停用/空站点表）。
 - 静态守卫：widget.js basePath 构造、chat.html 引导脚本、chat.js __BASE_PATH__ 消费（新建 grep 式静态测试，既有风格）。
-- 登录限流：XFF **末段**入键/无 XFF 回退 client.host/伪造首段仍同键计数（防绕过）/单段直连形态。
+- 登录限流：XFF **末段**入键/无 XFF 或空串 XFF 回退 client.host/伪造首段仍同键计数（防绕过）/单段直连形态。
 - 清扫：过期键回收、lifespan 启停。
 - 前端 vitest：嵌入代码生成器双形态 model 纯函数。
 - 基线：pytest 632+2skip 与 vitest 182 不回归，新增只增不减。