记录候选升级和双机复核进度
补充第一台 Linux 候选升级、哈希校验、临时物清理，以及第二台无部署包复核和保护边界。
This commit is contained in:
parent
8c40a01755
commit
edd8e9ce7c
@ -2892,3 +2892,31 @@ SQLite 新测试程序 SHA-256：4c81656fae63a2eebad999d58e6a79e63e6f441810e02ce
|
||||
- [ ] 三数据库清库后首次 Web、DNS/ACME 正负向、公网 HTTPS/SNI 和最终生产复审。
|
||||
|
||||
本节不宣称总体生产上线通过；Windows 环境不在本轮范围。
|
||||
|
||||
## 2026年10月4日 23:36 第一台候选升级及第二台清理复核实机记录
|
||||
|
||||
### 第一台 `8.137.23.95`
|
||||
|
||||
- 本地候选归档 `Scert-20261004-V0.1.0-linux-amd64.tar.gz` SHA-256 为 `40e3fcf4f7ca1140f5c93ac9efb2c89a8ac414142a0ed8d74925b59bfac8e882`；上传第一台后远端归档哈希一致，包内校验清单全部通过。
|
||||
- 第一次执行官方安装器因 `Scert-storage.socket` 仍为 active/listening 被安装器拒绝；随后仅停止 `Scert-storage.socket` 和其服务单元，第二次执行 `install-linux.sh --source-dir .` 成功。
|
||||
- 升级后服务状态：`Scert.service`、`Scert-storage.socket`、`nginx`、`mysql` 均为 active。
|
||||
- 升级后二进制摘要：`/scert/scert` 为 `366cefe24b785256871d1b0e3fe5f64c065dd2c3cddc1c40d4a25fa30c3dae93`；`/scert/scert-admin` 为 `242a497053d70581a9de2aff779d83f36b2e369425534b0a409ede057f4751d2`；`/scert/scert-storage` 为 `0aaef6f34110a986212c26ea421ea1464fc315076130e350dd2be145d52ced28`，均与候选包清单一致。
|
||||
- 严格域名 HTTPS `https://odacm.cn/readyz` 返回 `{"service":"scert","status":"ready"}`；Scert 仅监听 `127.0.0.1:8443`，MySQL 仅监听 `127.0.0.1:3306/33060`，公网监听仍为 Nginx `80/443`。
|
||||
- 本轮上传的 `/var/tmp/Scert-20261004-8c40a01-linux-amd64.tar.gz` 和 `/var/tmp/scert-linux-amd64-8c40a01` 已在核对后删除；`/scert` 下安装器历史 `.install-*` 回滚目录保留，未擅自删除。
|
||||
- 当前 `/scert/conf/scert.json` 的非敏感通知状态仍为 `notification.smtp_enabled=false`、SMTP 主机和用户名为空；未读取 SMTP 密码，真实发信与重置闭环仍未通过。
|
||||
|
||||
### 第二台 `45.136.13.241`
|
||||
|
||||
- 只读 SSH 复核主机为 `yc`；`/scert`、`/etc/scert-nginx`、`/usr/local/libexec/scert-nginx`、`/var/lib/scert-nginx` 均不存在。
|
||||
- `/ssl/scert` 为空；限定范围扫描 `/root`、`/tmp`、`/var/tmp`、`/opt`、`/srv`、`/etc`、`/usr/local` 未发现本项目归档、解包目录、安装临时目录或 `production-candidate*`。
|
||||
- Scert 服务、辅助 Socket、Scert 进程和 `8443`/`8080`/`9000` 均不存在；`nginx -t` 成功，Nginx、MySQL、PMail 保持运行，邮件端口和 MySQL 回环端口未改变。
|
||||
- `/ssl/acceptance-0928.odacm.cn/single/` 下 3 个 `.scert-lock` 恢复锁仍保留，按安全边界不删除、不改名、不伪造终态；它们不是部署包。
|
||||
|
||||
### 当前门禁
|
||||
|
||||
- [✓] 第一台当前候选升级、哈希、服务、监听和严格 HTTPS 就绪检查。
|
||||
- [✓] 第二台项目部署包清理和共享业务保护复核。
|
||||
- [!] 第一台 SMTP、真实系统发信、验证码、本机重置和新密码登录。
|
||||
- [ ] 正式 SSL 推送、Nginx 重载、受控失败回滚、恢复指纹、幂等重试、三数据库首次 Web、DNS/ACME 和最终生产复审。
|
||||
|
||||
本节仅证明当前候选升级和清理复核证据，不宣称总体生产上线通过；Windows 环境不在本轮范围。
|
||||
|
||||
@ -2810,3 +2810,17 @@ P0-05 从 `[!]` 调整为 `[~]`，并未标记完成；P0-04 剩余门禁和全
|
||||
- [ ] 正式 SSL 推送、故障注入、旧证书回滚、恢复指纹、幂等重试。
|
||||
- [ ] 三数据库清库后首次 Web 初始化、重启持久化、DNS/ACME 和公共 HTTPS/SNI 验收。
|
||||
- [!] 总体生产上线门禁未关闭；Windows 明确不纳入本轮。
|
||||
|
||||
## 2026年10月4日 23:36 候选升级与第二台部署包复核
|
||||
|
||||
- [✓] T1-候选包一致性：本地归档和第一台远端归档 SHA-256 一致，包内 `SHA256SUMS` 全部通过。
|
||||
- [✓] T1-官方升级：第一台先按安装器门禁停止 `Scert-storage.socket`，再用官方 `install-linux.sh` 成功升级；未修改第二台。
|
||||
- [✓] T1-升级后运行：Scert、存储 Socket、Nginx、MySQL active；Scert `127.0.0.1:8443`、MySQL `127.0.0.1:3306/33060`，公共入口仍只有 Nginx `80/443`；严格 `/readyz` 返回 ready。
|
||||
- [✓] T1-临时物清理：第一台本轮 `/var/tmp` 上传归档及解包目录已删除；保留安装器历史回滚目录，未删除未知归属文件。
|
||||
- [✓] T2-第二台清理复审：`45.136.13.241` 无 `/scert`、Scert 辅助程序、运行端口、项目部署包或解包目录；`/ssl/scert` 为空。
|
||||
- [✓] T2-共享业务保护：第二台 Nginx `-t` 通过，PMail、共享 MySQL、现有 Nginx 继续运行；3 个受保护 `.scert-lock` 未删除。
|
||||
- [!] T3-系统通知和重置：第一台当前 `notification.smtp_enabled=false`，有效超级管理员会话和 SMTP 凭据仍未取得。
|
||||
- [ ] T4-正式 SSL 推送及回滚矩阵：未开始，必须通过正式 Web/API 流程建立最小推送目标。
|
||||
- [ ] T5-三数据库首次 Web、DNS/ACME、公网 HTTPS/SNI 和最终上线复审：未完成。
|
||||
|
||||
当前任务状态：第一台候选升级与第二台“无部署包”复核完成，T3/T4/T5 仍是生产上线门禁；Windows 不纳入本轮。
|
||||
|
||||
@ -3430,3 +3430,16 @@ P0-11 生产验收门禁
|
||||
- [ ] 三数据库清库后的首次 Web 流程、DNS/ACME 正负向矩阵、公共 HTTPS/SNI 和最终生产复审。
|
||||
|
||||
当前结论：源码回归通过，但第一台 SMTP 与有效管理会话仍是上线硬门禁；不得将健康检查、构建成功或第二台清理结果写成生产上线通过。
|
||||
|
||||
## 2026年10月4日 23:36 第一台候选升级与第二台清理复核
|
||||
|
||||
- [✓] 当前 `8c40a01` Linux amd64 候选归档在本地和第一台的 SHA-256 均为 `40e3fcf4f7ca1140f5c93ac9efb2c89a8ac414142a0ed8d74925b59bfac8e882`，包内 `SHA256SUMS` 全部通过。
|
||||
- [✓] 候选包仅上传到第一台 `8.137.23.95`；官方安装器在存储 Socket 未停止时按安全门禁拒绝，停止 `Scert-storage.socket` 后重新执行成功，未绕过安装器检查。
|
||||
- [✓] 第一台升级后 `Scert.service`、`Scert-storage.socket`、Nginx、MySQL 均 active；核心二进制摘要与候选包一致，严格 HTTPS `/readyz` 返回 ready，Scert 和 MySQL 仍为回环监听。
|
||||
- [✓] 第一台本轮上传归档和解包目录已在验证后清理；安装器保留的历史 `.install-*` 回滚目录未擅自删除。
|
||||
- [✓] 第二台 `45.136.13.241` 只读复核确认无 `/scert`、Scert 辅助程序、Scert 运行端口和限定范围部署包；`/ssl/scert` 为空，Nginx 配置检查通过，PMail、MySQL、Nginx 保持运行。
|
||||
- [!] 第二台 3 个受保护 `.scert-lock` 恢复锁继续保留，不属于部署包，不能手工删除或改写。
|
||||
- [!] 第一台当前通知配置实际仍为 `notification.smtp_enabled=false`，真实发信、验证码和本机密码重置仍受有效管理会话及 SMTP 凭据阻塞。
|
||||
- [ ] 正式 SSL 推送、Nginx 重载、受控失败回滚、恢复指纹、幂等重试、三数据库首次 Web、DNS/ACME 和最终公共 HTTPS 复审。
|
||||
|
||||
当前结论：第一台当前候选升级和两台运行边界复核通过；第二台没有遗留本项目部署包，但总体生产上线门禁仍未关闭。
|
||||
|
||||
Loading…
Reference in New Issue
Block a user