diff --git a/docs/task/54-修复实时监看按需拉流循环等待.md b/docs/task/54-修复实时监看按需拉流循环等待.md
index 55dab1c..b882303 100644
--- a/docs/task/54-修复实时监看按需拉流循环等待.md
+++ b/docs/task/54-修复实时监看按需拉流循环等待.md
@@ -2,8 +2,8 @@
 generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
 wiki_page: Task-54-修复实时监看按需拉流循环等待
 wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Task-54-%E4%BF%AE%E5%A4%8D%E5%AE%9E%E6%97%B6%E7%9B%91%E7%9C%8B%E6%8C%89%E9%9C%80%E6%8B%89%E6%B5%81%E5%BE%AA%E7%8E%AF%E7%AD%89%E5%BE%85.-
-wiki_revision: 19729dc49683e0ea30b951ec369ce2409ba52b2b
-synchronized_at: 2026-08-13T07:24:36Z
+wiki_revision: bdeca60040f62df75a8138491cb30939172b6b73
+synchronized_at: 2026-08-13T13:32:00Z
 <!-- gitea-wiki-mirror:end -->
 
 # 54 修复实时监看按需拉流循环等待
@@ -26,6 +26,7 @@ MediaMTX 使用按需拉流时，必须先有播放器读取路径才会连接
 - 实时监看收到有效播放地址且状态为“等待拉流”或“可播放”时都加载播放器；“等待拉流”保留明确状态提示，同时触发 MediaMTX 按需连接。
 - 会话查询通过只读媒体端口刷新控制器状态，把等待状态安全收敛为可播放或需要处理，不重新应用路径配置。
 - 播放器包装接口覆盖全局嵌入策略为 `SAMEORIGIN`，并用 CSP `frame-ancestors 'self'` 限制为 Sense 同源页面；其他接口继续保持 `X-Frame-Options: DENY`。
+- iframe 导航无法附加 API 客户端的 `X-Product` 头，因此播放器路由改用窄导航认证：有效 Sense 会话 Cookie、媒体读取权限、`Sec-Fetch-Site: same-origin`、`Sec-Fetch-Mode: navigate` 和 `Sec-Fetch-Dest: iframe` 必须同时满足。普通 API 的产品头要求保持不变。
 - 继续保持 `sourceOnDemand`，无人观看时不占用摄像机连接与转码资源。
 - 真实环境验证过程中发现已保存的 RTSP 凭据被摄像机拒绝（401）；已通过现有 Sense 接口使用本地已获授权配置修正运行数据，未把凭据写入仓库、工单、Wiki 或日志证据。
 
@@ -35,6 +36,7 @@ MediaMTX 使用按需拉流时，必须先有播放器读取路径才会连接
 - `Sense/server/app/sense/media/service_test.go`：验证刷新状态且不重复配置路径。
 - `Sense/server/app/sense/liveview/service.go`：查询会话时刷新媒体状态。
 - `Sense/server/app/sense/liveview/http.go`、`http_test.go`：允许并验证播放器包装页仅同源嵌入。
+- `Sense/server/app/sense/identity/http.go`、`http_test.go`：增加并验证仅限同源 iframe 的 Cookie 导航认证，保留普通 API 产品边界。
 - `Sense/server/app/sense/liveview/service_test.go`：验证等待状态收敛到可播放。
 - `Sense/ui/src/components/sense/liveview/StreamPlayer.vue`：等待拉流时即加载播放器。
 - Wiki 架构、业务规则与排错页面。
@@ -49,6 +51,7 @@ MediaMTX 使用按需拉流时，必须先有播放器读取路径才会连接
 | 不重复应用路径配置 | 通过，单元测试验证刷新仅调用状态查询 |
 | 不泄露摄像机凭据和源地址 | 通过 |
 | 播放器可被 Sense 同源嵌入且其他页面仍禁止嵌入 | 通过，运行包接口响应头验证通过 |
+| iframe 不带 `X-Product` 时仍能安全认证 | 通过，同源 iframe + 有效 Cookie 返回 200；跨站返回 401；普通 API 缺少产品头返回 401 |
 
 ## 测试
 
@@ -57,6 +60,7 @@ MediaMTX 使用按需拉流时，必须先有播放器读取路径才会连接
 - `corepack pnpm build`：通过，存在 3 个既有 webpack 体积 warning。
 - Go 1.26.5 Windows 打包：通过。
 - 运行包响应头：播放器接口为 `SAMEORIGIN` 且包含 `frame-ancestors 'self'`；首页仍为 `DENY`。
+- 运行包浏览器式认证：不带 `X-Product`、带有效 Cookie 和同源 iframe Fetch Metadata 的播放器请求返回 200；跨站播放器与缺少产品头的普通 API 均返回 401。
 - 真实媒体链路：MediaMTX `sourceReady=true`、`readers=1`、收到媒体字节且包含 2 个轨道；Sense 会话由 `waiting` 收敛为 `ready`。
 - **未验证部分**：最终浏览器中的可视画面需要用户在当前浏览器验收；自动化已验证媒体源、读取者与会话状态收敛。
 
@@ -69,4 +73,5 @@ MediaMTX 使用按需拉流时，必须先有播放器读取路径才会连接
 - `8d4e4c2` 修复实时监看按需拉流循环等待。
 - `b3dfd23` 更新按需拉流长期 Wiki 镜像。
 - `3696442` 允许播放器包装页仅被 Sense 同源嵌入。
+- `8bf9a6d` 支持同源播放器导航认证并保持普通 API 产品边界。