From da769bd7d78ef01f3bb1999bfe99fd6caf869811 Mon Sep 17 00:00:00 2001 From: xuans Date: Sun, 4 Oct 2026 22:20:13 +0800 Subject: [PATCH] =?UTF-8?q?=E6=9B=B4=E6=AD=A3=E7=AC=AC=E4=BA=8C=E5=8F=B0?= =?UTF-8?q?=E6=B8=85=E7=90=86=E4=BF=9D=E6=8A=A4=E8=BE=B9=E7=95=8C?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit 补充部署包扫描、恢复锁和 SSH 安全配置的实时证据，纠正文档中限定扫描范围的表述。 --- doc/Linux生产流程测试记录.md | 9 +++++++++ doc/Scert整改任务执行清单.md | 9 +++++++++ doc/Scert整改合并优化清单.md | 9 +++++++++ 3 files changed, 27 insertions(+) diff --git a/doc/Linux生产流程测试记录.md b/doc/Linux生产流程测试记录.md index 43dfaef..4c711ec 100644 --- a/doc/Linux生产流程测试记录.md +++ b/doc/Linux生产流程测试记录.md @@ -2856,3 +2856,12 @@ SQLite 新测试程序 SHA-256：4c81656fae63a2eebad999d58e6a79e63e6f441810e02ce - [ ] 正式 SSL 推送和失败回滚矩阵尚未执行，不能把本次清理记录写成生产上线验收。 本次为第二台现场清理证据，后续推送测试必须通过正式 Web/API 流程重新建立最小目标。 + +## 2026年10月4日 22:18 清理结果更正 + +- [✓] 第二台全限定范围发布物扫描未发现 `.tar`、`.tar.gz`、`.tgz`、`.zip` 等部署包；`/ssl/scert` 为空。 +- [✓] Scert systemd 单元、Scert 进程和 `8443`/`8080`/`9000` 监听不存在；`nginx -t` 成功，Nginx、MySQL、PMail 为 active。 +- [!] 失败事务的 3 个 `.scert-lock` 恢复锁目录仍在 `/ssl/acceptance-0928.odacm.cn/single/` 下，按产品安全边界保留，不能直接删除或改写。 +- [!] 两份带有 Scert 标识的 SSH 配置仍在使用范围内，本轮未修改，以避免改变第二台的登录安全边界。 + +更正结论：第二台“部署包清理”已完成；受保护恢复锁和 SSH 安全配置不作为部署包处理，也不能据此宣称所有项目命名数据均已删除。 diff --git a/doc/Scert整改任务执行清单.md b/doc/Scert整改任务执行清单.md index de0f36d..cc89066 100644 --- a/doc/Scert整改任务执行清单.md +++ b/doc/Scert整改任务执行清单.md @@ -2781,3 +2781,12 @@ P0-05 从 `[!]` 调整为 `[~]`，并未标记完成；P0-04 剩余门禁和全 - [ ] 正式 SSL 推送、受控失败、回滚、恢复指纹和幂等重试仍待重新建立最小推送目标后执行。 本节仅证明第二台项目数据及部署包清理完成，不证明正式 SSL 推送或总体生产上线已通过。 + +## 2026年10月4日 22:18 清理结果更正与保护边界 + +- [✓] 第二台主机 `yc`（公网地址 `45.136.13.241`）的部署包扫描结果为 0；未发现 `.tar`、`.tar.gz`、`.tgz`、`.zip` 等本项目发布归档。 +- [✓] `/ssl/scert` 当前为空；Scert systemd 单元、进程和运行端口均不存在；Nginx 配置检查成功，Nginx、MySQL、PMail 保持 active。 +- [!] `/ssl/acceptance-0928.odacm.cn/single/` 下仍保留 3 个 `.scert-lock` 恢复锁目录。它们属于失败部署事务的受保护恢复现场，不能手工删除、改名或伪造终态；待正式人工处置流程完成后再复核。 +- [!] `/etc/ssh/sshd_config.d/99-scert-password-only.conf` 和 `99-scert-pubkey.conf` 仍保留，用于当前 SSH 登录认证边界；本轮未修改 SSH 安全配置。 + +上述保护性残留不属于部署包。此前“全盘无项目命名文件”的表述仅适用于当时的限定扫描，现以本节更正结果为准。 diff --git a/doc/Scert整改合并优化清单.md b/doc/Scert整改合并优化清单.md index 4b6f4da..7a1df05 100644 --- a/doc/Scert整改合并优化清单.md +++ b/doc/Scert整改合并优化清单.md @@ -3397,3 +3397,12 @@ P0-11 生产验收门禁 - [ ] 正式 SSL 推送、故障注入、回滚、恢复指纹、幂等重试和最终公共 HTTPS 验收仍未完成。 当前状态：第二台清理项已完成并等待复审；整体 Linux/Web 生产上线门禁继续保持未通过。 + +## 2026年10月4日 22:18 第二台清理结果更正 + +- [✓] 第二台部署包归档扫描为 0，`/ssl/scert` 为空，Scert 服务、进程和监听均不存在。 +- [✓] Nginx 配置检查成功，Nginx、MySQL、PMail 保持 active；共享业务数据和 `/ssl/vcer.cn` 未清理。 +- [!] 失败部署事务的 3 个 `.scert-lock` 恢复锁目录继续保留，等待正式人工处置；不删除锁、不改写事务终态。 +- [!] SSH 认证配置继续保留，未改变第二台当前登录安全边界。 + +本节更正并取代此前“限定范围无项目命名文件”的宽泛表述。当前已确认的是“无部署包、无运行实例、无推送测试站点”，不是“所有带 Scert 名称的受保护文件均已删除”。