From f4654349f06e495e499742354d3fb834ee08c4fd Mon Sep 17 00:00:00 2001 From: ila <2+ila@noreply.git.ilapage.cn> Date: Sat, 22 Aug 2026 11:07:35 +0800 Subject: [PATCH] =?UTF-8?q?docs:=20=E6=9B=B4=E6=96=B0=20#24=20=E7=AE=A1?= =?UTF-8?q?=E7=90=86=E7=AB=AF=E5=AE=9E=E7=8E=B0=E4=B8=8E=E9=AA=8C=E8=AF=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- Local-Development-and-Verification.-.md | 19 ++++++++++++++----- 1 file changed, 14 insertions(+), 5 deletions(-) diff --git a/Local-Development-and-Verification.-.md b/Local-Development-and-Verification.-.md index be1faab..0cff5ec 100644 --- a/Local-Development-and-Verification.-.md +++ b/Local-Development-and-Verification.-.md @@ -36,11 +36,10 @@ | `CHORUS_MIGRATE_URL` | golang-migrate 专用 MySQL URL | | `CHORUS_SEED_USER_EMAIL` / `CHORUS_SEED_USER_PASSWORD` | 构造种子用户；仅通过环境注入 | | `CHORUS_SEED_PROVIDER_BASE_URL` | mock Provider 基础 URL；不得指向生产 | -| `CHORUS_MASTER_KEY` / 对应 key ring 配置 | Provider Key AES-GCM 解密与轮换；管理端启动也必须提供 | | `CHORUS_ADMIN_ALLOW_CONNECTIVITY_PROBES` | 默认不设置或 `0`，管理端拒绝连通性探测；只有人工授权真实探测时才设为 `1` | | `CHORUS_ADMIN_CONNECTIVITY_COOLDOWN_SECONDS` | 探测已授权时的正整数冷却；未授权时不需要 | | `CHORUS_PROVIDER_HTTP_TIMEOUT_SECONDS` / `CHORUS_PROVIDER_MAX_RESPONSE_BYTES` | 探测已授权时的正整数安全 HTTP 限制 | -| `CHORUS_SESSION_KEY` | portal 会话，必须与主密钥分离 | +| `CHORUS_SESSION_KEY` | portal 会话密钥；不得与数据库、JWT 或其他凭据复用 | | `CHORUS_STORAGE_ROOT` | 受保护生成物目录 | | `CHORUS_ENV` | `development/test/production`，生产强制安全开关 | | `CHORUS_SESSION_TTL_MINUTES` | 会话有效分钟数；生产必填 | @@ -139,7 +138,7 @@ go run ./cmd/chorus-admin-bootstrap ### 启动管理端后端（#23） -先完成 migrations 和管理员 bootstrap。把 `admin/config/settings.example.yml` 复制到仓库外的受保护位置，并在其中设置独立 JWT secret 与数据库连接；示例文件不得填入真实值。当前终端安全注入 `CHORUS_MASTER_KEY` 后启动： +先完成 migrations 和管理员 bootstrap。把 `admin/config/settings.example.yml` 复制到仓库外的受保护位置，并在其中设置独立 JWT secret 与数据库连接；示例文件不得填入真实值。确认数据库已执行全部 migrations，并使用受保护的 settings 文件启动： ```powershell go -C admin run . server --config "<受保护 settings.yml 路径>" @@ -284,7 +283,7 @@ go -C admin test -count=1 ./... $env:CHORUS_RUN_ADMIN_TESTS = $null ``` -覆盖凭据加密、轮换和回退、普通更新不清除凭据、路由发布版本冲突、JWT/Casbin 路由边界、生产模式账号密码登录（无验证码）、禁用探测不出站，以及探测冷却只预留一次。根模块的 migration up/down/up 回归仍需在可丢弃库执行：`go test -count=1 ./migrations -run TestMVP1MigrationsUpDownUpMySQL`。 +覆盖明文凭据版本切换、列表脱敏、单条读取禁止缓存、普通更新不清除凭据、路由发布版本冲突、JWT/Casbin 路由边界、生产模式账号密码登录（无验证码）、禁用探测不出站，以及探测冷却只预留一次。根模块的 migration up/down/up 回归仍需在可丢弃库执行：`go test -count=1 ./migrations -run TestMVP1MigrationsUpDownUpMySQL`。 ## 完成修改前 @@ -325,4 +324,14 @@ git diff --check | `CHORUS_PROVIDER_HTTP_TIMEOUT_SECONDS` | 45 | 必须显式设置 | | `CHORUS_PROVIDER_MAX_RESPONSE_BYTES` | 33554432 | 必须显式设置 | -`CHORUS_TEST_DISABLE_WORKER=true` 仅供 `CHORUS_ENV=test` 的 Playwright fixture 使用。测试 helper 位于 `portal/web/e2e/fixture`，会按构造用户归属写入受控状态和测试图片；不得打包部署，也不得用于开发或生产数据。mock 上游的自动测试通过依赖注入连接本地 fixture，不允许把回环地址加入生产 SSRF 白名单。 \ No newline at end of file +`CHORUS_TEST_DISABLE_WORKER=true` 仅供 `CHORUS_ENV=test` 的 Playwright fixture 使用。测试 helper 位于 `portal/web/e2e/fixture`，会按构造用户归属写入受控状态和测试图片；不得打包部署，也不得用于开发或生产数据。mock 上游的自动测试通过依赖注入连接本地 fixture，不允许把回环地址加入生产 SSRF 白名单。 + +## #24 管理端本地验证（2026-08-22） + +```powershell +go -C admin run . server --config admin/config/settings.yml +$env:VUE_APP_BASE_API = "http://127.0.0.1:8090" +pnpm --dir admin-ui dev +``` + +管理端不会创建数据库、运行 migration、seed 或 AutoMigrate。首次本地运行先人工创建空库并执行 `migrate -path migrations ... up`，再通过 `chorus-admin-bootstrap` 建立管理员。已验证纯账号密码登录、动态 Chorus 菜单和 Provider 列表 API；Casbin 使用 `sys_casbin_rule`。前端固定基线默认端口为 9527，端口占用时 Vue CLI 会选择下一可用端口。