security: compose必填变量+环回绑定+nginx安全头/admin内网化；产物去跟踪88项；冻结规格+审计+BLOCKED runbook落盘

BLOCKED_RUNBOOK.md

@@ -0,0 +1,61 @@
+# BLOCKED 可执行 Runbook（未执行，需拍板）
+
+> 状态：只读落盘，不执行；不输出密钥原文；不提交 git；未改远端。
+> 拍板格式：`B1暂不 / B2暂不 / B3暂不 / B5暂不 / B6暂不` 或注明哪项执行。
+
+## B1 线上密钥轮换（需停机窗口）
+- 前置：停机窗口 + 远端 docker.env 备份 + 回滚方案。
+- 步骤（远端执行，占位符，非真实值）：
+  1. `cp docker.env docker.env.bak.YYYYMMDD-HHMM`
+  2. 生成三段随机值分别写入 `DJANGO_SECRET_KEY` / `POSTGRES_PASSWORD` / `REDIS_PASSWORD`（本地生成后粘贴，不在聊天输出原文）
+  3. `docker compose --project-name chunyu -f docker-compose.yml -f docker-compose.server.yml restart backend postgres redis`
+  4. 验证：登录 /user/login、`/api/apidirectory/categories/` 200、Celery 心跳
+  5. 失败回滚：`cp docker.env.bak.* docker.env && restart` 同上
+- 阻塞：缺停机窗口确认。
+
+## B2 生产 TLS/HSTS（需域名+证书方案）
+- 前置：域名 + 证书来源（ACME/ALB/WAF）+ 80/443 入口方案。
+- 步骤：
+  1. 确认证书签发与续期路径
+  2. Nginx 增加 443 server + `Strict-Transport-Security`（仅 HTTPS 生效后加）
+  3. `docker exec chunyu-frontend nginx -t && docker restart chunyu-frontend`
+  4. 验证：`curl -i https://<domain>/` 安全头 + http→https 跳转
+- 阻塞：缺域名与证书方案。
+
+## B3 远端防火墙（需放行 IP 清单）
+- 前置：放行 IP 清单（运维 IP / CI 出口 / 访客范围）。
+- 步骤：
+  1. 备份现有 nftables/iptables 或云安全组规则
+  2. 仅放行清单 IP 访问 15432/16379/18000/18080，其余 deny
+  3. 验证：白名单 `curl` 通、非白名单超时/拒绝
+  4. 失败回滚：恢复备份规则
+- 阻塞：缺放行 IP 清单。
+
+## B5 容器 USER 非 root（需可用 daemon 构建验证）
+- 现状只读取证：
+  - 后端 `chunyu_project/Dockerfile:22-23` 工作区已有 `useradd -m -u 10001 app` + `USER app`，但该文件被 `.gitignore:15` 按 `chunyu_project/` 整目录忽略，未跟踪。
+  - 前端 `chunyu_project_react/Dockerfile` 仍双 stage 无 `USER`。
+  - 本机 `docker version` server 经 npipe 连接失败，daemon 未起，无法构建验证。
+- 可执行步骤（daemon 可用后，本地先验证，不推远端）：
+  1. `docker build -f chunyu_project/Dockerfile -t chunyu-backend-nonroot:local chunyu_project`
+  2. `docker build -f chunyu_project_react/Dockerfile -t chunyu-frontend-nonroot:local chunyu_project_react`
+  3. 启动冒烟：`/user/login`、`/api/apidirectory/categories/`、media/staticfiles 可写
+  4. 通过后再谈远端发布与跟踪策略（当前后端 Dockerfile 被忽略，需另行决策是否纳入跟踪）
+- 阻塞：缺可用 daemon + 是否纳入跟踪的确认。
+
+## B6 历史清理（需确认执行 git rm --cached）
+- 现状只读取证：`git ls-files | grep -icE` 重数 88，与冻结规格一致。
+- 可执行命令（确认后执行，未执行）：
+  - `git ls-files | grep -E '\.log$|\.png$|\.tar\.gz$|__pycache__|\.pyc$|^.*dist/|^shots/' > /tmp/b6-list.txt`
+  - 核对 `/tmp/b6-list.txt` 后：`xargs -a /tmp/b6-list.txt git rm --cached`
+  - `.gitignore` 已新增对应模式，只对新增生效；历史需上条命令去跟踪。
+- 阻塞：缺 `git rm --cached` 执行确认。
+
+## 本轮已验证（本地可逆项）
+- `manage.py check` 0 issue CHECK_EXIT=0
+- `makemigrations --check` MIG_EXIT=0
+- 20 测试 TEST_EXIT=0
+- `tsc` TSC_EXIT=0、`vite build` BUILD_EXIT=0
+- `check_routes --base 127.0.0.1:5175` ROUTES=86 PASS=86
+- Playwright 图片 2 passed
+- `git diff --check` EXIT 0