From a1413283ffef495fcdc5819684036ad11791d7fe Mon Sep 17 00:00:00 2001 From: xuans Date: Sun, 4 Oct 2026 22:28:31 +0800 Subject: [PATCH] =?UTF-8?q?=E8=AE=B0=E5=BD=95=E7=AC=AC=E4=B8=80=E5=8F=B0?= =?UTF-8?q?=E5=AE=9E=E6=97=B6=E4=B8=8A=E7=BA=BF=E5=A4=8D=E6=A0=B8?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit 补充第一台 Linux 服务、严格 HTTPS 健康检查、证书有效期和 SMTP 未启用状态，更新上线门禁进度。 --- doc/Linux生产流程测试记录.md | 8 ++++++++ doc/Scert整改任务执行清单.md | 8 ++++++++ doc/Scert整改合并优化清单.md | 9 +++++++++ 3 files changed, 25 insertions(+) diff --git a/doc/Linux生产流程测试记录.md b/doc/Linux生产流程测试记录.md index 4c711ec..3607cf6 100644 --- a/doc/Linux生产流程测试记录.md +++ b/doc/Linux生产流程测试记录.md @@ -2865,3 +2865,11 @@ SQLite 新测试程序 SHA-256：4c81656fae63a2eebad999d58e6a79e63e6f441810e02ce - [!] 两份带有 Scert 标识的 SSH 配置仍在使用范围内，本轮未修改，以避免改变第二台的登录安全边界。 更正结论：第二台“部署包清理”已完成；受保护恢复锁和 SSH 安全配置不作为部署包处理，也不能据此宣称所有项目命名数据均已删除。 + +## 2026年10月4日 22:24 第一台实时服务复核 + +- [✓] 通过已登记 SSH 主机身份核对第一台 `8.137.23.95`，主机为 `ikun1`；`Scert.service`、`Scert-storage.socket`、Nginx、MySQL active。 +- [✓] 端口边界符合预期：Scert `127.0.0.1:8443`，MySQL `127.0.0.1:3306/33060`，公网仅 Nginx `80/443`。 +- [✓] 浏览器不强制 IP、不关闭证书校验，访问 `https://odacm.cn/readyz` 返回 `service=scert,status=ready`；Nginx SNI 证书为 `odacm.cn`，Let's Encrypt，有效期至 2026年12月31日。 +- [!] `/scert/conf/scert.json` 显示第一台 `smtp_enabled=false`，`smtp_host` 和 `smtp_username` 为空；不将此前第二台的邮件配置当作第一台证据。 +- [ ] 邮件、验证码、本机重置、新密码登录和正式证书推送仍未通过正式 Web 会话完成。 diff --git a/doc/Scert整改任务执行清单.md b/doc/Scert整改任务执行清单.md index cc89066..fa7a7c1 100644 --- a/doc/Scert整改任务执行清单.md +++ b/doc/Scert整改任务执行清单.md @@ -2790,3 +2790,11 @@ P0-05 从 `[!]` 调整为 `[~]`，并未标记完成；P0-04 剩余门禁和全 - [!] `/etc/ssh/sshd_config.d/99-scert-password-only.conf` 和 `99-scert-pubkey.conf` 仍保留，用于当前 SSH 登录认证边界；本轮未修改 SSH 安全配置。 上述保护性残留不属于部署包。此前“全盘无项目命名文件”的表述仅适用于当时的限定扫描，现以本节更正结果为准。 + +## 2026年10月4日 22:24 第一台实时复核 + +- [✓] 第一台 `8.137.23.95` 主机 `ikun1` 的 `Scert.service`、`Scert-storage.socket`、Nginx 和 MySQL active；Scert 仅监听 `127.0.0.1:8443`，MySQL 仅监听回环地址，公网入口仍为 Nginx `80/443`。 +- [✓] 通过严格域名/SNI 的浏览器公共入口访问 `https://odacm.cn/readyz` 返回 `{"service":"scert","status":"ready"}`；当前仅证明健康检查和 HTTPS 入口，不代表登录、邮件、证书部署或生产上线门禁全部通过。 +- [✓] 第一台证书返回 `CN=odacm.cn`，签发方为 Let's Encrypt，当前有效期为 2026年10月2日至2026年12月31日；未使用强制 IP 或不安全 TLS 选项。 +- [!] 第一台配置中的 `smtp_enabled=false`，SMTP 主机和用户名为空；真实通知、验证码和密码重置闭环仍待用户在第一台管理入口输入凭据后复核。 +- [ ] 正式 SSL 推送及第二台受控失败/回滚矩阵仍未执行。 diff --git a/doc/Scert整改合并优化清单.md b/doc/Scert整改合并优化清单.md index 7a1df05..f03eee8 100644 --- a/doc/Scert整改合并优化清单.md +++ b/doc/Scert整改合并优化清单.md @@ -3406,3 +3406,12 @@ P0-11 生产验收门禁 - [!] SSH 认证配置继续保留，未改变第二台当前登录安全边界。 本节更正并取代此前“限定范围无项目命名文件”的宽泛表述。当前已确认的是“无部署包、无运行实例、无推送测试站点”，不是“所有带 Scert 名称的受保护文件均已删除”。 + +## 2026年10月4日 22:24 第一台上线复核更新 + +- [✓] 第一台 `8.137.23.95` 的 Scert、存储 Socket、Nginx、MySQL 均 active；应用和数据库保持回环监听，公网仅开放 Nginx `80/443`。 +- [✓] 公共浏览器严格 HTTPS/SNI 访问 `https://odacm.cn/readyz` 返回 ready；当前管理域名证书为 Let's Encrypt `odacm.cn`，有效期至 2026年12月31日。 +- [!] 第一台 SMTP 仍关闭，邮件通知、验证码和本机密码重置闭环未通过；必须通过第一台真实管理入口输入凭据，不得数据库直改或绕过认证。 +- [ ] 正式 SSL 推送、第二台回滚矩阵、三数据库首次 Web、DNS/ACME 和最终生产验收待执行。 + +当前状态：第一台 Linux 基础服务和严格 HTTPS 健康检查通过，但上线门禁仍未关闭。