docs(v4): batch report for items 24/25 + notes entries as authored

NEXT-ROUND-NOTES.md

@@ -157,3 +157,16 @@ v2 上线后现网四台核心版本列全空。已查实根因：节点 sing-bo
 约束：①手动点部署（/api/nodes/:id/deploy）保持立即执行，不进合并窗口；②删除/移除流程语义不变，窗口内节点被删除时待发 apply 必须正确作废、不许复活；③面板在窗口内重启不能把节点卡在未下发状态（待发状态可落盘或启动对账补发，二选一并在报告注明）；④凭据重置等其他触发 RebuildNode 的路径按同一合并口径（按节点合并即可）。
 验收：同一节点快速连加 5 个客户，最终只执行 1 次 apply_resource 且 5 人齐全；窗口内删节点不复活；手动部署仍立即；既有测试与金标准不回归。
 口径补充（同日用户问答确认）：合并窗口为固定窗口（从该节点第一次待发变更起算，不滑动延长）；代价=新加入用户最多晚约 10 秒 + 一次 apply 时间才能连通该节点，窗口内老配置照常服务、老用户无感。此代价用户已知悉并接受。
+
+## 24. 列表页勾选是空壳：补齐批量操作（2026-10-21 20:55 用户实测指出）
+现象（用户附 3x-ui 对照图）：3x-ui 勾选行后顶部出现「已选 N 项 + 删除」，可一键删除全部选中；amo 三个列表页（节点管理/入站&出站/用户订阅）的行勾选框与表头全选都在，全选也能勾上，但选中后界面毫无变化、无任何批量动作可用。
+已核代码（public/app.js）：data-row-check 渲染在 servers/customers/nodes 三页；唯一的 data-check-all 处理只是把全选状态镜像到每行 checkbox（约 1426 行）；row-check 本身无 change 处理、全站无任何代码读取勾选集合（grep 无 已选/bulk 字样）。
+修法：每页维护选中集合，选中 ≥1 时在工具条区显示批量操作条「已选 N 项」+ 动作：批量删除、批量启用、批量停用（按各页既有单项语义：节点 启用=部署/停用=移除、客户与服务器走各自启停）；删除一次确认弹窗说清数量与不可逆；逐项执行既有单项接口/端点，守卫规则与单项完全一致（如服务器有未删节点拒绝、节点有运行中任务拒绝），结果汇总回报成功/失败数与失败原因；操作后刷新列表并清空选择。切页/重渲染后选择状态的去留施工时定并在报告注明。
+范围补充（同日用户强调）：**所有页面都要改**——凡是带行勾选框/全选框的列表页全部补齐批量操作，不许只做一页；施工时以 data-row-check / data-check-all 在 public/app.js 的全部出现处逐一排查销账（当前已知：节点管理、入站&出站、用户订阅三页），报告中逐页列明。
+
+## 25. agent 鉴权令牌化：压掉待机 CPU 的 scrypt 主项（2026-10-21 21:01 用户拍板，与第 24 条同批）
+背景（v3 第 22 条归因）：面板待机 CPU 的主项是 agent 每次请求都跑一次 scrypt VerifySecret 验 KeyHash（沙箱单次约 88ms、20 台模拟稳态 32.3%）；二开版 3x-ui 无此问题——慢哈希只用于人类登录，agent 通信走 API 令牌比对（已查其代码证实）。
+修法（用户原话口径：往令牌制靠）：agent 首次（或令牌失效时）仍走指纹定位 + scrypt 验一次身份，面板随即签发一张短期令牌（随机值，面板只存其快速哈希如 SHA-256 + 过期时间，绑定该 agent 身份）；agent 后续请求带令牌，面板只做快速哈希比对，不再跑 scrypt。令牌过期/不符自动回退 scrypt 路径并重签。吊销语义不降级：删除/吊销 agent、重置其密钥时令牌一并失效。
+兼容：旧 agent（不支持令牌）继续走 scrypt 路径可用、只是不提速；新 agent 对旧面板自动回退。鉴权强度不许降级：令牌随机强度与现有密钥同级、比对用常时比较、传输通道沿用现状（现制下密钥本就逐请求在同一通道上传输，令牌不弱于此）。
+验收：①稳态 CPU 按 v3 同法复测（20 台 agent 模拟、无界面请求）——目标个位数 %，报告给改动前后同口径数字；②功能回归：agent 注册/心跳/任务拉取/用量上报全链路冒烟、面板或 agent 单侧重启后自动恢复（重签或凭令牌续用）、吊销后令牌立即失效、旧 agent 混跑可用；③全量测试与金标准不回归。
+部署提示：面板与 agent 双侧都改；面板先行兼容旧 agent，agent 逐台换新后逐台提速。