纯 Python 标准库 + Pydantic-style dataclass；使用 secrets.token_urlsafe 生成一次性 WS token，pathlib.Path 做工作区路径校验，依赖 src.security.workspace_access.WorkspaceScopeError 表达越界访问。