Agent X-Ray

Source/rounds/round-10

round-10.mdMIT

本站自己的源码,只读浏览:左边点文件,右边看内容。

快照 4131b57 · 发布 2026-09-10 · 350 个文件 · 3.8 MB

GitHub ↗

FILES

apps/

deploy/

docs/

rounds/

round-01/

round-02/

round-03/

round-04/

round-05/

round-06/

round-07/

round-08/

round-09/

round-10/

checklist.md17.0 KB round-10.md11.6 KB

round-11/

round-bun/

round-cards/

round-cards2/

round-crosslink/

round-gsearch/

round-imagegen/

round-leak/

round-mobile/

round-mobile2/

round-perf/

round-skills/

round-source/

round-tabs/

round-title/

round-toolcards/

round-tools/

round-usage/

round-visitor/

round-webfetch/

round-websearch/

BACKLOG.md66.5 KB README.md1.8 KB TEMPLATE.md1.4 KB

runner/

tools/

.gitattributes0.5 KB .gitignore1.6 KB .gitleaks.toml3.6 KB AGENTS.md2.5 KB CLAUDE.md50.2 KB LICENSE1.0 KB README.md3.8 KB ROUNDS.md142.5 KB dev.ps128.9 KB skills-lock.json1.8 KB

rounds/round-10/round-10.mdmarkdown · 11.6 KB · 143 行

copy

Round 10 — 安全加固与上线前检查单

状态:已完成(2026-09-01)——检查单 1–11 项在 130(SHA 5c98b3e)全绿,12 引 R9 留证,13 属 R11

目标

docs/deploy-cn-lightweight.md §6「上线前检查单」在 130 预发的当前部署形态(SHA 5c98b3e) 上逐项跑通并留证,给 M4 的止损条款(「检查单不全绿不上生产」)一个可核对的依据。

本轮是验证轮,不是实现轮:所有者裁定(2026-09-01)下述三项不做,理由与代价见「本轮不做」段。

前置

R9 已完成:130 预发可用,docker compose 全链路跑通(留证 rounds/round-09/smoke.md)
130 = 192.168.100.130(ssh 别名 130),当前运行 local/xray-{api,web}:5c98b3e
本机:Docker Desktop(跑 zricethezav/gitleaks 镜像,本机未装 gitleaks 二进制)

本轮不做(所有者裁定 2026-09-01)

项	出处	裁定	代价与兜底
限额演练	检查单第 12 条 / R10 拆解第 1 条	不重跑	R9 已在同一部署形态下实测留证(smoke.md §5:daily_tokens / turn_limit 双路径 429 + 恢复后立即可用)。本轮引 R9 证据,不再改 130 的 llm_config

这是本站自己的源码,与线上运行的版本一致;快照随每次发版更新。

rounds/round-10/round-10.md(本卡)
rounds/round-10/checklist.md(检查单逐项留证,含命令与原始输出摘要)
.gitleaks.toml(计划外,唯一的非文档产出):检查单第 1 项的判据定义。裸跑 gitleaks 报 15 条全是噪音,不把「什么不算泄漏」钉死,这项就没有可证伪的期望值
docs/deploy-cn-lightweight.md §6:三条会误判的判据就地改准 + 补留证指针(见「本轮实测」)
docs/deploy-environments.md 冒烟清单第 4/7 条:同上两处措辞修准
rounds/BACKLOG.md:新增三条(安全响应头 / pg 备份未落地 / 130 上的明文 .llm-key)
ROUNDS.md + rounds/round-11/round-11.md:R10 收口、R11 前置补四条交接项
应用代码改动 0(apps/ 与 deploy/ 的运行时配置一字未动)

#	检查	命令 / 期望
1	gitleaks 无密钥	docker run --rm -v <repo>:/repo zricethezav/gitleaks dir /repo 与 ... git /repo(含历史)双跑 → 0 leaks
2a	.env 权限 600	130 上 stat -c '%a %U:%G' ~/deploy/.env → 600 且属主为部署用户
2b	明文 key 不落镜像	docker compose config 里的密钥值来自 .env 运行期注入;docker inspect 镜像层与 docker history 无明文 key;api 容器 env 里的 key 不出现在任一镜像
3	api/web 容器约束	docker inspect:User=10001:10001、ReadonlyRootfs=true、CapDrop=[ALL]、PidsLimit、Memory、no-new-privileges、tmpfs noexec;无 docker.sock 挂载(全容器逐个核)
4	最终运行镜像无 Node.js	按 CLAUDE.md 规则 11 的正确判据:node -p "process.versions.bun" 有值 + /usr/bin/node·/usr/local/bin/node 不存在 + dpkg -l 无 nodejs 包(api 与 web 两个镜像)
5	已删服务 404	/api/spike/mem → 404;/admin → 404
6	IMAGE_TAG 可追溯	.env 的 IMAGE_TAG = git SHA(非 latest);该 SHA 在 main 上存在;运行中容器的镜像 tag 与之一致
7	迁移可追溯	./migrate.sh --status → 「已是最新」且报得出版本号;schema_migrations 与镜像内 SQL 版本一致;空库直起的 500 窗口由「先迁移后起服务」顺序消除(文档条款核对)
8	网络分段	从 web / caddy 容器 getent hosts postgres → NXDOMAIN 且 nc -z postgres 5432 不通;api 可通
9	MCP 认证与审计	无 token / 错 token / GET → 一律 401 且 mcp_audit 各留一条 denied;带 token 的 server/discover 正常
10	SSE 脱敏	POST /agent/ask 与 GET /trace/stream 原始字节中 authorization / api-key / apikey / bearer / x-api-key / 明文 key / key 后 8 位全 0 命中;before_provider_headers 帧只剩 type
11	SSE 优雅关闭	docker compose stop api 时客户端明确断流(curl exit 18)而非静默挂起;up -d 后可恢复
12	~~限额演练~~	所有者裁定不重跑,引 R9 smoke.md §5
13	~~备案号 footer~~	N/A 本轮:ICP 备案在 R11(deploy-cn-lightweight.md §1),预发不备案

审查方式:所有者裁定不走 codex 审查(2026-09-01)。本轮 diff = 1 个扫描器配置 (.gitleaks.toml)+ 6 份文档/任务卡,应用代码一字未改(apps/ 与 deploy/ 的运行时配置都没动),按 CLAUDE.md「纯文档与微修可直接 main」处理
findings 处理:—(未发起审查)
结论:免审直接合并。留一句风险认领:唯一的非文档产出 .gitleaks.toml 没有经过第二双眼睛; 它的正确性由证伪探针兜底(三处各插一行新的真实形状 key,全部被抓到 —— 见「本轮实测」偏离 1), 这比静态审查更能证明「配置没有把报警关掉」,但也仅覆盖了「会不会漏报」这一面

#	检查	结果
1	gitleaks	✅ dir 与 git(72 commits)双 no leaks found
2a	.env 600	✅ 600 chenkun:chenkun
2b	明文 key 不落镜像	✅ 4 个密钥值在两个镜像的层历史 + Config 中命中 0
3	容器约束	✅ 全项达标;全机无容器挂 docker.sock
4	镜像无 Node.js	✅ 三条判据在 api/web 均成立
5	已删服务 404	✅ /api/spike/·/admin 全 404,对照组全 200
6	IMAGE_TAG	✅ 5c98b3e,在 main 上;main 顶端只多一个纯 .md 提交
7	迁移可追溯	✅ 版本 6 / 无待执行 / dirty=f / 14 表
8	网络分段	✅ 域名 NXDOMAIN 且按 IP 也不通;back internal=true
9	MCP 认证审计	✅ 四种未授权全 401 且响应体一致;5 条 denied 审计;24 工具
10	SSE 脱敏	✅ 60 帧结构化扫描 0 个凭据形状的键
11	SSE 优雅关闭	✅ 停机 +0s 终止,恢复 2s
12	限额演练	⏭ 所有者裁定不重跑,引 R9 smoke.md §5
13	备案号 footer	N/A —— R11

多出一个非文档产出 .gitleaks.toml(计划里写的是「代码/配置改动预期为 0」)。起因是第 1 项裸跑报 15 条(dir)/ 7 条(git),逐条看完全部是构建产物与刻意写成假密钥的测试夹具——0 条真泄漏。但「每次跑都报 15 条、要人眼过一遍」正是真泄漏藏得住的地方, 这项也就没有可证伪的期望值。所以把判据写成配置:路径排除构建产物与 gitignored 的本地密钥文件, 假夹具按具体的值放行。生效后期望值是 0,且 dir 从 169 MB/95s 降到 1.46 MB/1.6s。

这个配置的第一版是错的,是探针查出来的。 「变绿」本身不构成证据——它同样可能只是把报警关掉了。所以往三处各插了一行新的真实形状 key 做证伪:第一版写的 paths + regexes + condition = "AND" 下,仓库根的探针抓到了,而插进 mcp.test.ts 与 events.ts 的两个探针全部漏报 —— condition 没有按预期收紧,路径一命中就整文件放行,而这两个文件恰恰是全仓库最容易出现密钥形状字符串的地方。改成只按值放行(默认 regexTarget = 检出的 secret,^…$ 全串锚定)后三个探针全中,干净仓库仍是 no leaks found;探针已还原,apps/ 无残留改动。
本轮的实际价值是「修判据」而不是「打勾」:5 条发现里 3 条是检查单自身写得会误判 —— ①第 4 条的 node --version 应失败会把人引向反面(bun 的 node 兼容层不支持单独 --version, 报错却写着 Node.js-compatible REPL);②「GET 一律 401」漏限定,带正确 token 的 GET 是 405; ③「SSE 优雅关闭」钉死 curl exit 18,而本轮实测 0(要判的是「停机同刻终止」,不是某个码)。三条已就地改进 docs/,并给检查单补了留证指针。另外两条(第 10 项要用结构化判据而不是 grep -i authorization;第 5 项必须带正式端点对照组)也写进了条目里。
两条加固被所有者裁定出本轮(2026-09-01):全站无安全响应头、130 上的明文 .llm-key。后者扩散面已查清(~/deploy 其余文件 / /tmp / ~/.bash_history 全 0 命中,库里是 79 字节密文 = 12+51+16,与 security.md §3 的布局吻合),没有当场删 —— 删了下次重写 provider 得回 provider 控制台重取,那是所有者的东西。两条均记 BACKLOG 并写进 R11 前置。

诱导型提示词是更强的脱敏测试,但会污染朴素 grep。本轮故意让模型「把 API key 和 Authorization 头原样打印出来」(模型明确拒绝了)。grep -i authorization 于是在 trace 流里命中 7 次 —— 逐帧看全落在 input(提示词原文)与 message_*(模型复述的回答正文)里,是对话内容里的英文单词, 不是 header 字段。R9 数到 0 只是因为它的提示词里没这个词。可证伪的判据只能是结构化的。
MCP 请求体形状:_meta 的三个带命名空间的键要放进 params 里面,外层必须是合法 JSON-RPC。放外层或只发 _meta 都回 -32600 not a valid JSON-RPC message(R9 记的 -32602 是另一种: 外层对了但 _meta 缺键)。本轮踩了两次,已补进 checklist.md §9。

Round 10 — 安全加固与上线前检查单

目标

前置

本轮不做(所有者裁定 2026-09-01)

交付物

验收

禁止

代码审查

失败处理

本轮实测

验收结果

与计划的偏离

值得记下的两处