把 mirrord OSS 接入 VS Code 时撞上一个 WebSocket 403，最后追到 K8s impersonation 的两条 authorization 链路，记录了排查、原理和最小修复。