P8-REVIEW, ось 2: открытый поток событий переживает отзыв сессии. Пере-проверка координатором пака (третий рубеж), 24.08.2026, стенд 127.0.0.1:8099.

t+0   GET /v0/books/<id>/events открыт живой сессией -> event: hello
t+3   tmplatformctl revoke --user u_UGNL6OKRMC26XJTB  -> 'revoked 4 sessions'
      select ... from sessions -> 4/4 revoked_of_total
t+3   НОВЫЙ запрос той же кукой (GET /v0/books)       -> 401
t+12  ТОТ ЖЕ поток отдаёт НАСТОЯЩИЙ кадр данных:
        event: status
        data: {"status": "not_started", "revision": 17, ...}

Вывод: отзыв мгновенен для НОВЫХ запросов и не действует на уже открытый поток.
Аутентификация происходит ровно один раз в guard (internal/httpapi/server.go), а цикл pump
(internal/httpapi/stream.go) до конца соединения читает только ReadFrames/ReadStream и
строку сессии не смотрит. ASVS 5.0 7.4.1 — требование УРОВНЯ 1 при объявленном зоной L2.

⚠ Побочно: /auth/logout-all на ДЕВ-профиле не смонтирован (404) — проверено тем же прогоном;
поэтому отзыв здесь сделан tmplatformctl revoke, второй ручкой из той же пары STACK §13.
