docs(progress): 记录 K85 评论数匿名放行补修

docs/plans/PROGRESS.md

@@ -22958,3 +22958,13 @@ $ flutter test
 ```
 
 解读：客户端静态检查零告警；494 条测试通过，2 条需要本机联调服务的用例按既有保护跳过。K85 A/B 均已完成合并与推送，真机验收由用户执行。
+
+## 2026-10-21 K85 补修：评论数接口匿名放行
+
+- 验收问题：`GET /app/comments/count` 未登录调用返回业务码 401。
+- 根因：`SecurityConfig` 只放行评论列表 `GET /app/comments`，新增的 `/app/comments/count` 落入默认登录校验。
+- 修复：增加 `GET /app/comments/count` 的 `permitAll()`，保持评论列表与评论总数一致的匿名只读语义；发布、删除等写接口仍要求登录。
+- 新增 `AppCommentCountAnonymousSecurityTest`，装配真实 `SecurityConfig` 安全过滤链，未登录请求必须进入控制器并返回 `code=0`，避免仅测控制器时漏掉路由放行问题。
+- 定向安全链测试通过：`Tests run: 1, Failures: 0, Errors: 0`。
+- 功能提交：`7579d31 fix(security): 放行评论数接口匿名访问`。
+- 完整门禁通过：JDK 21 下 14 个模块 `BUILD SUCCESS`，app-api `Tests run: 69, Failures: 0, Errors: 0`；全仓仅保留既有 ffmpeg smoke 用例 1 条环境跳过。