WebSocket 连接怎么鉴权：明文 ws 下的令牌与挑战-应答
OpenClaw 网关的握手里，服务端先发来一个 nonce，客户端回的 connect 帧里却还躺着一个明文令牌。顺着这个现象往下追：ws:// 上到底什么是明文、帧掩码为什么不算加密，令牌通常放在哪，为什么发哈希不够、要用每次不同的挑战，obs-websocket 的 SHA-256 挑战-应答和 OpenClaw 的 Ed25519 设备签名各防住了什么，令牌为什么还要明文发，挑战-应答为什么护不住整条会话，最后看 wss 和 TLS 补上的是哪一块，并把 Home Assistant、Jupyter、VS Code Server、code-server、Kubernetes 的做法放在一起对照。