补充批量已读后续远程验收审查记录

docs/远程服务器测试记录.md

@@ -144,3 +144,17 @@ TLS 前未公布 AUTH，主动尝试明文 AUTH 返回 523。未认证外域邮
 ```
 
 测试用户与失败邮件保留用于后续复核，密码、密钥及会话凭据不写入记录。
+
+## 2026 年 9 月 17 日后续批量已读验收审查
+
+本轮继续只在 `47.108.78.12` 执行远程验收，没有启动本机 Smail 服务，也没有修改远程账号密码、伪造会话或清理数据库。远程环境复核结果如下：
+
+- `smail.service` 为 `active`，主进程退出状态为 0；远程 `/opt/smail/smail` SHA-256 仍为 `5422129011db2fa9faaef5fd65bb022628e084dd6c0e0f1f5cbed4fea35f3696`。
+- 远程运行文件确认为 Linux x86-64 ELF；25、80、443 及邮件协议端口均保持监听。
+- `smail.db` 与 `smail-state.db` 的 `PRAGMA integrity_check` 均返回 `ok`，已有批量已读部署前备份及内部 SMTP 测试备份仍保留。
+- 从 47 服务器本机通过 HTTPS 回环访问登录页返回 200；未认证访问 `/api/v1/user/info` 和 `/api/v1/email/list` 均返回业务错误码 403“登录已过期”。
+- 未认证调用 `POST /api/v1/email/read`，请求 ID 为 `[20,21]`，返回业务错误码 403；调用前后相关 `user_email.is_read` 值均为 `2:20:0,1:21:0,2:21:0`，没有越权修改。
+- 继续尝试了当前数据库中的 `admin`、`remotecheck` 账号和已有候选密码，均返回“账号或密码错误”；没有可用的授权网页测试会话。
+- Chrome DevTools 访问远程站点时被现有自签名证书拦截，停留在证书错误页；这与此前记录的受信任 TLS 阻塞一致，不能据此宣称网页渲染或真实点击验收通过。
+
+因此，本轮审查确认服务、部署产物、数据库完整性及未认证接口边界正常；批量已读的真实网页登录、选择邮件、点击“标记为已读”、刷新页面和混合归属网页请求仍保持阻塞，待提供有效测试账号及受信任测试证书后继续。数据库没有执行清理，历史测试邮件和备份继续保留。