BLOCKED 可执行 Runbook（未执行，需拍板）

状态：只读落盘，不执行；不输出密钥原文；不提交 git；未改远端。拍板格式：B1暂不 / B2暂不 / B3暂不 / B5暂不 / B6暂不 或注明哪项执行。

B1 线上密钥轮换（需停机窗口）

前置：域名 + 证书来源（ACME/ALB/WAF）+ 80/443 入口方案。
步骤：
1. 确认证书签发与续期路径
2. Nginx 增加 443 server + Strict-Transport-Security（仅 HTTPS 生效后加）
3. docker exec chunyu-frontend nginx -t && docker restart chunyu-frontend
4. 验证：curl -i https://<domain>/ 安全头 + http→https 跳转
阻塞：缺域名与证书方案。

前置：放行 IP 清单（运维 IP / CI 出口 / 访客范围）。
步骤：
1. 备份现有 nftables/iptables 或云安全组规则
2. 仅放行清单 IP 访问 15432/16379/18000/18080，其余 deny
3. 验证：白名单 curl 通、非白名单超时/拒绝
4. 失败回滚：恢复备份规则
阻塞：缺放行 IP 清单。

现状只读取证：
- 后端 chunyu_project/Dockerfile:22-23 工作区已有 useradd -m -u 10001 app + USER app，但该文件被 .gitignore:15 按 chunyu_project/ 整目录忽略，未跟踪。
- 前端 chunyu_project_react/Dockerfile 仍双 stage 无 USER。
- 本机 docker version server 经 npipe 连接失败，daemon 未起，无法构建验证。
可执行步骤（daemon 可用后，本地先验证，不推远端）：
1. docker build -f chunyu_project/Dockerfile -t chunyu-backend-nonroot:local chunyu_project
2. docker build -f chunyu_project_react/Dockerfile -t chunyu-frontend-nonroot:local chunyu_project_react
3. 启动冒烟：/user/login、/api/apidirectory/categories/、media/staticfiles 可写
4. 通过后再谈远端发布与跟踪策略（当前后端 Dockerfile 被忽略，需另行决策是否纳入跟踪）
阻塞：缺可用 daemon + 是否纳入跟踪的确认。

现状只读取证：git ls-files | grep -icE 重数 88，与冻结规格一致。
可执行命令（确认后执行，未执行）：
- git ls-files | grep -E '\.log$|\.png$|\.tar\.gz$|__pycache__|\.pyc$|^.*dist/|^shots/' > /tmp/b6-list.txt
- 核对 /tmp/b6-list.txt 后：xargs -a /tmp/b6-list.txt git rm --cached
- .gitignore 已新增对应模式，只对新增生效；历史需上条命令去跟踪。
阻塞：缺 git rm --cached 执行确认。