diff --git a/wwwroot/workspace_edit.xterm b/wwwroot/workspace_edit.xterm
index 318ca40..a0b01f5 100644
--- a/wwwroot/workspace_edit.xterm
+++ b/wwwroot/workspace_edit.xterm
@@ -6,7 +6,15 @@ file_id = (params_kw or {}).get('id', '').strip()
 
 uid = await get_user()
 if not uid:
-    uid = 'user-01'
+    # 安全：未登录直接拒绝。此前回退成 'user-01'(admin) —— 结合 RBAC 通配授权，
+    # 未登录者可拿到 admin 工作空间的编辑器进程（bwrap 沙箱内仍可读写工作空间
+    # 全部源码与 env/*.json，后者含 DB 密码）。禁止匿名回退。
+    r = DictObject()
+    r.host = 'localhost'
+    r.username = 'pipeline'
+    r.cmdargs = ['echo 未登录，拒绝访问']
+    r.noinput = True
+    return r
 
 session_id = (params_kw or {}).get('session_id', '') or ''