Merge pull request #2468 from pikasTech/fix/2464-kafka-projector-v2

fix(auth): 内网 Web 入口使用 host-scoped session cookie

deploy/deploy.yaml

@@ -800,7 +800,6 @@ lanes:
           HWLAB_CLOUD_DB_URL: secretRef:hwlab-cloud-api-v03-db/database-url
           HWLAB_CLOUD_DB_CONTRACT: v03-redacted-presence-only
           HWLAB_ACCESS_CONTROL_REQUIRED: "1"
-          HWLAB_SESSION_COOKIE_DOMAIN: .pikapython.com
           HWLAB_SESSION_COOKIE_SAMESITE: None
           HWLAB_BOOTSTRAP_ADMIN_ID: usr_v03_admin
           HWLAB_BOOTSTRAP_ADMIN_USERNAME: admin

docs/MDTODO/pure-kafka-live-single-step-debug.md

@@ -0,0 +1,18 @@
+# HWLAB #2467 纯 Kafka 实时链路单步调试 MDTODO
+
+
+## R1 [in_progress]
+
+纯 Kafka 实时链路有界闭环与独立单步调试能力，完成任务后将详细报告写入[任务报告](./details/pure-kafka-live-single-step-debug/R1_Task_Report.md)。
+### R1.1 [in_progress]
+
+使用 semantic internal origin 完成最多两轮 typed web-probe 闭环；仍失败则冻结 sessionId、traceId、artifact 与首个断点，完成任务后将详细报告写入[任务报告](./details/pure-kafka-live-single-step-debug/R1.1_Task_Report.md)。
+### R1.2
+
+实现 AgentRun 按已有 stdio Kafka sessionId 直接调用源码 reducer 再生 AgentRun Kafka 事件的 CLI，不依赖运行面并披露 partial lineage，完成任务后将详细报告写入[任务报告](./details/pure-kafka-live-single-step-debug/R1.2_Task_Report.md)。
+### R1.3
+
+实现 HWLAB 按 sessionId 加载 AgentRun Kafka 事件并直接调用源码映射/发布 HWLAB Kafka 事件的 CLI，不依赖运行面或 projector，完成任务后将详细报告写入[任务报告](./details/pure-kafka-live-single-step-debug/R1.3_Task_Report.md)。
+### R1.4
+
+在原 Workbench 页面增加独立 YAML 调试开关，支持清空隔离面板并按当前 traceId 重放 HWLAB Kafka→SSE→生产卡片 reducer，完成任务后将详细报告写入[任务报告](./details/pure-kafka-live-single-step-debug/R1.4_Task_Report.md)。