xuans/Scert
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

记录双机清理与当前上线门禁

Browse Source 
补充第二台部署包清理复核、第一台实时服务状态、Smail登录阻塞及后续安全操作。
This commit is contained in:
xuans 2026-10-05 03:42:56 +08:00
parent ed1cc373a4
commit 070ca17a65
3 changed files with 57 additions and 3 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

23
doc/Linux生产流程测试记录.md
View File

@ -3068,4 +3068,25 @@ SQLite 新测试程序 SHA-256：4c81656fae63a2eebad999d58e6a79e63e6f441810e02ce
- [✓] `npm.cmd test`：338 项通过，0 失败、0 跳过、0 todo。
- [✓] 本次候选包 Web 静态资源由同一提交构建并纳入 Linux amd64 归档。
- [!] 本地前端测试不等同于公网页面、SMTP 投递或证书推送生产验收。
- [!] 本地前端测试不等同于公网页面、SMTP 投递或证书推送生产验收。
## 2026年10月4日 当前现场实测补充：双机清理与第一台门禁
### 第二台 `45.136.13.241`
- [✓] 严格 SSH 主机校验后复核：无 Scert 进程、systemd 单元、专用监听、项目目录、安装临时物、部署包或归档。
- [✓] 根文件系统限定范围未发现 Scert、Certimate、Certd 项目文件；`nginx -t` 通过。
- [✓] `/ssl/vcer.cn` 既有业务证书和 `/ssl/acceptance-0928.odacm.cn/single/` 下受保护 `.scert-lock` 恢复目录保留；未修改 PMail、共享 MySQL 或现有 Nginx 业务配置。
### 第一台 `8.137.23.95`
- [✓] `Scert.service`、`Scert-storage.socket`、Nginx active；Scert 监听 `127.0.0.1:8443`，HTTPS `/readyz` 返回 `{"service":"scert","status":"ready"}`。
- [✓] `/scert/scert config validate` 通过；非敏感通知参数为 `smtp.cdis.cn:587`、STARTTLS，系统通知用户名已配置。
- [!] 脱敏状态为 `smtp_enabled=false`，SMTP 凭据引用为空；本次未读取、记录或猜测 SMTP 密码。
- [!] `Scert-admin` 最近一次受保护操作因请求无效或已失效退出，未产生密码、数据库或配置变更。
### Smail 浏览器证据
- [!] 当前打开 `https://web.cdis.cn/` 显示登录页，当前浏览器没有有效 Smail 管理会话；历史“页面可用”记录不作为当前授权凭据证据。
- [ ] 真实 SMTP 投递、收件箱到达、验证码、本机重置、新密码登录、第二台正式 SSL 推送与回滚仍待完成。
本节仅记录当前实测证据，不宣称整体 Linux 项目已经上线通过；Windows 环境不在本轮范围。

13
doc/Scert整改任务执行清单.md
View File

@ -2938,4 +2938,15 @@ P0-05 从 `[!]` 调整为 `[~]`，并未标记完成；P0-04 剩余门禁和全
- [✓] U2-前端：`npm.cmd test` 通过 338 项，失败 0、跳过 0、todo 0。
- [✓] 前端生产构建已包含在本次 Linux-only 候选包中。
- [!] 本地前端回归不关闭实机与生产上线门禁。
- [!] 本地前端回归不关闭实机与生产上线门禁。
## 2026年10月4日 当前现场复核：清理结果与上线门禁
- [✓] L5/L6/L7：第二台 `45.136.13.241` 清理复核通过，无本项目部署包、解包目录、Scert 运行实例或专用监听；受保护 SSL 恢复锁保留。
- [✓] U3/U4：第一台 `8.137.23.95` 服务、配置校验、Nginx 和严格 HTTPS `/readyz` 复核通过。
- [!] U6：第一台通知脱敏状态仍为 `smtp_enabled=false`，SMTP 凭据引用为空；没有读取或猜测密码。
- [!] U7：当前 `https://web.cdis.cn/` 为 Smail 登录页，当前浏览器没有有效管理会话，暂不能从正式页面取得授权凭据。
- [!] U8：最近一次 `Scert-admin` 受保护操作请求无效或已失效，尚未完成验证码、重置、新密码登录和旧会话失效。
- [ ] U10：在有效管理会话下完成第二台 SSL 推送、`nginx -t`、reload、失败回滚、恢复指纹和同幂等键重试。
- [!] U12：总体生产门禁继续未通过。
本次没有修改代码、数据库、证书或共享业务配置，也没有把任何敏感凭据写入任务清单；下一步只接受交互式敏感凭据录入和正式 Web/API 流程。

24
doc/Scert整改合并优化清单.md
View File

@ -3568,4 +3568,26 @@ Smail 已从历史 502 状态恢复，系统通知授权页面可用；当前唯
- [✓] 当前候选对应前端测试 `npm.cmd test` 已完成：338 项通过，0 失败、0 跳过、0 todo。
- [✓] 测试覆盖发布工具链、登录态恢复、部署结果、证书任务、首次向导、SMTP 校验、权限和用户管理等当前前端回归范围。
- [!] 前端全量回归仅证明本地行为，不替代第一台真实通知、受保护重置、第二台 SSL 推送回滚和公网验收。
- [!] 前端全量回归仅证明本地行为，不替代第一台真实通知、受保护重置、第二台 SSL 推送回滚和公网验收。
## 2026年10月4日 当前现场复核：第二台清理通过与第一台业务门禁
本节以本次严格主机校验后的实机和浏览器证据为准；不覆盖历史记录。范围继续限定为 Linux/Web，Windows 不纳入本轮。
### 当前任务状态
- [✓] 第二台 `45.136.13.241` 无 Scert 进程、systemd 单元、专用监听、项目目录、安装临时目录、部署压缩包或归档；根文件系统限定范围未发现 Scert、Certimate、Certd 项目产物。
- [✓] 第二台 `nginx -t` 通过；既有业务证书、PMail、共享 MySQL、现有 Nginx 配置和受保护 `.scert-lock` 恢复目录未修改。
- [✓] 第一台 `8.137.23.95` 的 `Scert.service`、`Scert-storage.socket`、Nginx 均为 active，Scert 仅监听 `127.0.0.1:8443`，严格 HTTPS `/readyz` 返回 ready。
- [✓] 第一台 `/scert/scert config validate` 通过；脱敏通知状态为 `smtp.cdis.cn:587`、STARTTLS、系统通知用户名已配置。
- [!] 第一台 `smtp_enabled=false`，`smtp_credential_ref` 为空；未读取、记录或猜测 SMTP 密码。
- [!] 当前浏览器打开 `https://web.cdis.cn/` 显示 Smail 登录页，未形成可用于正式授权核对的管理会话；不能把历史页面状态当作当前凭据证据。
- [!] 第一台最近一次 `Scert-admin` 受保护操作因请求无效或已失效退出，未修改密码、数据库或配置。
- [!] 正式 SMTP 投递、验证码、本机重置、新密码登录、第二台 SSL 推送回滚矩阵和最终公网验收仍未完成。
### 下一步安全动作
1. 由有权限的操作人员登录 Smail 正式页面，或在第一台 root 受控终端执行 `/scert/scert config set-secret --key notification.smtp_password` 并在提示符中输入 SMTP 密码；敏感值不得发送到聊天、参数、环境变量、日志、文档或仓库。
2. 录入后只读执行 `config validate` 和凭据引用核对，再发送真实系统通知并确认收件箱到达。
3. SMTP 真实投递通过后，继续本机验证码、受保护重置、新密码登录和旧会话失效验证；取得有效管理会话后再执行第二台 SSL 推送及回滚。
当前结论：第二台清理目标已完成；整体 Linux 上线门禁仍未关闭，直接业务阻塞为第一台 SMTP 敏感凭据和有效管理会话。