后台/会话三诉求：子会话（一台设备一会话）+ 离线消息队列 + 被登出推送 + 后台唤醒层

- Req 1 子会话（iOS 多进程在用户视角＝一台设备一会话，内部多条独立刷新逻辑会话）：brokerclient 加 MintParams.Sub + SessionInfo.Sub + RevokeDeviceSessions(user,meta) 级联；device-session sub!="" 挂在主 device_id 之下、走 tier=clipboard 且不建第二个 device 行；handleSessionsList 按 meta 归并、隐藏 sub!=""（但保留“仅控件会话存活”的设备，不简单丢弃）；revokeDevice 改走 meta 级联（移除设备连带吊控件子会话）。iOS provisionWidgetSessionIfNeeded 改用主 device_id + sub="widget"（弃用独立 dev_widget），控件令牌仍隔离持有、独立刷新——不碰引擎主会话，#7 隔离不变。蓝本 auth/docs/子会话方案.md（cdrop 提案 + Broker 评审接受 + cdrop 确认 6 点：用 sub、R1 cdrop 归并、scope 复用 tier=clipboard、级联 DELETE …?meta=）。
- Req 2a 离线消息队列：新增 pending_messages 表（0001_init + sqlc 查询）；message.go 收件设备离线即入队（无论是否配推送都入队，恒 202），修“离线消息只随推送横幅一闪、不入收件列表”；GET /api/messages/pending 取即删（DELETE..RETURNING，单次投递）；web hub.ts onOpen 每次 SSE 连接 / 重连即拉取补收、逐条 addMessage（全端受益，iOS 经桥推原生 + 累积未读）；复用 login-request reaper 清 TTL。
- Req 3 被登出推送：push 加 KindSessionRevoked + 本地化文案，apns/web 双通道；revokeDevice 加 notifyRevoked 参（跨端 revoke=true、自登出=false），跨端移除时推送告知被踢设备；iOS AppDelegate 收 session:revoked 即清 Keychain 主会话 + 控件会话、发 .cdropSessionRevoked，前台经 AppRoot 即时回登录页、关闭态下次启动即登出。
- #6 后台唤醒层：apns apsEnvelope 加 content-available:1（服务端有消息时既弹可点横幅又短暂后台唤醒）；iOS DeviceItem 加 Codable、presence 快照持久化（冷启即时显示设备列表，缓解“长时间重连”观感，SSE 一连即整组替换自校正）；控件会话回前台补铸（scenePhase active）+ content-available 唤醒时刷新隔离的控件会话（剪贴板保活，绝不碰引擎主会话以免 #7 回归）。
- 测试：qr_test mock broker 加 sub 幂等键 + 级联吊销端点；bootstrap_test 期望表集加 pending_messages。

ios/CDrop/Shared/WidgetSession.swift

@@ -38,4 +38,30 @@ enum WidgetSessionStore
         guard let url = fileURL() else { return }
         try? FileManager.default.removeItem(at: url)
     }
+
+    // refreshAccess：用控件会话自身的 refresh token 换新 access（POST /api/auth/refresh），轮换后写回。
+    // 供主 app 在 content-available 后台唤醒 / 回前台时调用，使关闭态剪贴板会话保持可用——与引擎主会话
+    // 完全隔离，绝不触碰主 refresh，故不会致引擎令牌失同步而重登（#7）。无会话则 no-op。CAS-before-clear：
+    // 仅当刷新被明确拒绝（401）且磁盘上仍是本次所用 refresh 时才清，避免误删并发轮换出的新会话。
+    static func refreshAccess() async
+    {
+        guard let session = load() else { return }
+        var req = URLRequest(url: URL(string: CDropAPI.base + "/api/auth/refresh")!)
+        req.httpMethod = "POST"
+        req.setValue("application/json", forHTTPHeaderField: "Content-Type")
+        req.httpBody = try? JSONSerialization.data(withJSONObject: [ "refresh_token": session.refreshToken ])
+        guard let (data, resp) = try? await URLSession.shared.data(for: req) else { return }
+        let code = (resp as? HTTPURLResponse)?.statusCode ?? 0
+        if code == 200,
+           let obj = try? JSONSerialization.jsonObject(with: data) as? [String: Any],
+           let access = obj["access_token"] as? String
+        {
+            let newRefresh = (obj["refresh_token"] as? String) ?? session.refreshToken
+            save(WidgetSession(accessToken: access, refreshToken: newRefresh, userId: session.userId))
+        }
+        else if code == 401, load()?.refreshToken == session.refreshToken
+        {
+            clear()
+        }
+    }
 }

ios/CDrop/Sources/AppDelegate.swift

@@ -32,4 +32,40 @@ final class AppDelegate: NSObject, UIApplicationDelegate
     {
         // 仅记录，不打断。真机配齐 Push 能力后这里不会触发。
     }
+
+    // content-available 推送的「短暂后台唤醒」（服务端有消息时触发，见 apns/sender.go）：在 ~30s 后台
+    // 窗口内只做隔离的控件 / 剪贴板会话保活——刷新其自身 access，使关闭 / 墓碑态下的剪贴板保持可用。
+    // 刻意不触碰引擎主会话（主会话由引擎独占续期；后台刷新它会与挂起引擎的内存令牌失同步而触发重登，
+    // 即 #7）。不维持持续连接：仅此一次短暂处理后即让系统挂起。
+    func application(
+        _ application: UIApplication,
+        didReceiveRemoteNotification userInfo: [AnyHashable: Any],
+        fetchCompletionHandler completionHandler: @escaping (UIBackgroundFetchResult) -> Void
+    )
+    {
+        // 被其他设备登出（session:revoked 推送）：立即清本地登录态——Keychain 主会话 + 控件会话——
+        // 并通知前台 UI 回登录页。前台 / 后台 / 关闭态皆据此清：后台关闭态清 Keychain 即下次启动为登出态，
+        // 前台则经 NotificationCenter 即时回登录页。不必等下次请求 401 才发现。
+        // 与后端 push.KindSessionRevoked 一致（Go 侧常量值）。
+        if (userInfo["type"] as? String) == "session:revoked"
+        {
+            AuthManager.clearPersistedSession()
+            WidgetSessionStore.clear()
+            NotificationCenter.default.post(name: .cdropSessionRevoked, object: nil)
+            completionHandler(.newData)
+            return
+        }
+        // content-available 后台唤醒：刷新隔离的控件会话（剪贴板保活），不碰引擎主会话（避免 #7）。
+        Task
+        {
+            await WidgetSessionStore.refreshAccess()
+            completionHandler(.newData)
+        }
+    }
+}
+
+extension Notification.Name
+{
+    // 被其他设备登出的推送到达：UI 层据此立即回登录页（见 AppRoot.onReceive）。
+    static let cdropSessionRevoked = Notification.Name("cdrop.sessionRevoked")
 }

ios/CDrop/Sources/Auth/AuthManager.swift

@@ -195,6 +195,14 @@ final class AuthManager
         Keychain.delete(service: Self.keychainService, account: Self.keychainAccount)
     }
 
+    // 静态清除持久会话：被其他设备登出的后台推送到达时（AppDelegate）无 live AuthManager 实例可调
+    // logout()，故提供静态版只清 Keychain——下次启动 init 读不到会话即为登出态。前台另经
+    // .cdropSessionRevoked 通知走实例 logout() 即时回登录页。
+    static func clearPersistedSession()
+    {
+        Keychain.delete(service: keychainService, account: keychainAccount)
+    }
+
     // ---- Broker 登录辅助：配置拉取 / 令牌交换 / 代铸 ----
 
     private struct AuthConfig { let brokerURL: String; let brokerApp: String }

ios/CDrop/Sources/CDropApp.swift

@@ -6,6 +6,7 @@ import SwiftUI
 struct CDropApp: App
 {
     @UIApplicationDelegateAdaptor(AppDelegate.self) private var appDelegate
+    @Environment(\.scenePhase) private var scenePhase
     @State private var auth = AuthManager()
     @State private var engine = EngineController()
 
@@ -15,6 +16,15 @@ struct CDropApp: App
         {
             AppRoot(auth: auth, engine: engine)
         }
+        .onChange(of: scenePhase)
+        { _, phase in
+            // 回到前台即确保控件 / 剪贴板会话已铸（修「关闭态剪贴板不可用」：引擎冷启 ready 时铸一次，
+            // 这里补暖前台场景）。引擎持完整主会话铸独立控件会话（隔离于主会话），仅缺失时铸、不重复轮换。
+            if phase == .active, auth.session != nil
+            {
+                engine.provisionWidgetSessionIfNeeded()
+            }
+        }
     }
 }
 
@@ -55,5 +65,11 @@ struct AppRoot: View
             guard url.scheme == "cdrop", url.host == "share" else { return }
             engine.loadPendingShares()
         }
+        // 被其他设备登出的推送到达（AppDelegate 发）：前台即时清会话 + 复位引擎 → 回登录页。
+        .onReceive(NotificationCenter.default.publisher(for: .cdropSessionRevoked))
+        { _ in
+            engine.reset()
+            auth.logout()
+        }
     }
 }

ios/CDrop/Sources/Engine/EngineController.swift

@@ -7,7 +7,7 @@ import WebKit
 // 不用 Decodable：过桥的 JS 值经 WKWebView 桥后类型不稳（bool 可能成 NSNumber、
 // 整数 / 浮点混用），严格 JSONDecoder 一处不匹配就整组失败、列表全空。改手动容忍解析
 // （对齐 web hub.ts handlePresence 的防御式取值）。
-struct DeviceItem: Identifiable, Equatable
+struct DeviceItem: Identifiable, Equatable, Codable
 {
     // deviceID 是稳定标识（broker meta）：设备名与令牌解耦后，去重 / 判本机 / 跨端吊销都按它，
     // 改名只换 name 而 deviceID 不变。后端 presence 总会带；偶发缺失（代铸前的连接）回落 name。
@@ -166,6 +166,9 @@ final class EngineController: NSObject
         // 加载上次持久化的传输历史 / 消息记录，修「重启清空」。新事件经引擎桥增量追加。
         history = RecordsStore.load([TransferItem].self, "history") ?? []
         messages = RecordsStore.load([MessageItem].self, "messages") ?? []
+        // 加载上次的设备 presence 快照：冷启 / 墓碑恢复时立即显示设备列表（而非空列表等 SSE 重连），
+        // 缓解「长时间重连」的观感；SSE 一连上即被新鲜 presence 整组替换、自校正在线状态。
+        devices = RecordsStore.load([DeviceItem].self, "devices") ?? []
     }
 
     // makeWebView：构建离屏 WebView——注入 __CDROP_BOOT__（device_type:"ios"）、注册消息
@@ -232,6 +235,7 @@ final class EngineController: NSObject
         // 登出清空持久记录，不跨账号残留（重启保活仅针对同一登录态）。
         RecordsStore.clear("history")
         RecordsStore.clear("messages")
+        RecordsStore.clear("devices")
         status = t("ios.engine.disconnected")
         deviceName = ""
         PushRegistry.shared.reset()
@@ -431,9 +435,16 @@ final class EngineController: NSObject
     func provisionWidgetSessionIfNeeded()
     {
         guard engineReady, WidgetSessionStore.load() == nil else { return }
-        let id = CDropAPI.widgetDeviceID()
-        let label = t("ios.control.sessionLabel", [ "name": currentDeviceName() ])
-        sendCommand("provisionWidgetSession", payload: [ "device_id": id, "device_name": label ])
+        // 子会话模型：控件会话铸在本机「主设备」之下（meta = 主 device_id）+ sub="widget" + 后端据此
+        // 给 tier=clipboard，故在用户视角＝同一台设备一条会话（弃用此前独立 dev_widget device_id）。
+        // 令牌对仍隔离持有、独立刷新（ClipboardClient），不碰引擎主会话——#7 隔离不变。
+        let id = selfDeviceID
+        guard !id.isEmpty else { return }
+        sendCommand("provisionWidgetSession", payload: [
+            "device_id": id,
+            "device_name": currentDeviceName(),
+            "sub": "widget",
+        ])
     }
 
     // 推命令给引擎（原生 → JS，window.__cdropEngineEvent）。
@@ -629,6 +640,7 @@ extension EngineController: WKScriptMessageHandler
             if let p = payload as? [String: Any], let raw = p["devices"] as? [Any]
             {
                 devices = raw.compactMap { ($0 as? [String: Any]).flatMap(Self.parseDevice) }
+                RecordsStore.save(devices, "devices")   // 持久化 presence 快照，供下次冷启即时显示
             }
         case "transfers":
             if let p = payload as? [String: Any], let raw = p["active"] as? [Any]