merge: 更新 #90 到最新 dev

# Conflicts: # wiki-docs.json
2026-08-27 16:22:04 +08:00
parent 23bfc04884 1514215729
commit 404e25584e
74 changed files with 3182 additions and 182 deletions
@@ -2,8 +2,8 @@
 generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
 wiki_page: Architecture-and-Code-Map
 wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Architecture-and-Code-Map.-
-wiki_revision: 0ba2909431bd04320a9b31121126b59b1824e3dc
-synchronized_at: 2026-08-15T01:13:02Z
+wiki_revision: 8df12aa3e136b1faee9c2dffb58ca39b045bc49f
+synchronized_at: 2026-08-17T02:54:44Z
 <!-- gitea-wiki-mirror:end -->

 # 架构与代码地图
@@ -85,9 +85,11 @@ Sense/Brain 生成事件

 Sense 已由工单 #61 从冻结 go-admin/go-admin-ui 源码建立：后端入口为 `Sense/server/main.go`，前端入口为 `Sense/ui/src/main.js`，来源和完整 commit 记录在 `Sense/LICENSES/SOURCES.md`。后端保留 Cobra、Gin、GORM、Casbin、JWT 和迁移体系，前端保留 Router、Store、API、Layout、动态菜单与权限指令。上游作业、代码生成、监控等源码暂留用于升级追溯，但路由及用户入口不启用。

+Sense 业务菜单必须遵循冻结 GoAdmin 的路由树：顶层目录使用 `MenuType=M`、`Component=Layout`，设备管理、视频接入、视频服务、实时监看、区域与警戒线使用相对路径作为 `MenuType=C` 子页面，操作权限继续作为页面下的 `MenuType=F` 节点。这样动态路由只替换 Layout 的右侧内容区，左侧导航、顶部栏和标签页始终保留；旧数据库由 `Sense/server/cmd/migrate/migration/version/2026081623100_sense_layout.go` 新增迁移修正父子关系和完整 `paths`，页面 URL 与权限标识不变。
+
 工单 #64 在该基线上重建 Sense 独立身份能力：`Sense/server/app/admin/apis/identity_bootstrap.go` 提供受外部高熵令牌保护的一次性首位管理员初始化，数据库迁移固定建立 `admin`、`implementation_operator`、`site_admin`、`viewer` 四个角色及最小 Casbin 权限；前端继续复用 go-admin-ui 动态菜单、权限按钮、请求封装与 Layout。仓库仍不提供默认账号、默认密码或可用 JWT 密钥。

-Sense JWT realm 固定为 `Sense`；浏览器令牌 Cookie 为 `Sense-Admin-Token`，后端仅接受标准 Authorization Bearer 或独立的 `sense_session` Cookie，不接受查询参数令牌，也不得与 Bell 共享 JWT 密钥、Cookie 或账户库。登录成功/失败、登出、密码变更和鉴权拒绝写入身份审计；审计内容必须剔除密码、令牌、Cookie、验证码和其他秘密。配置、接口管理等非产品必要路由不注册，即使管理员直接调用也返回 404。
+Sense JWT realm 固定为 `Sense`；浏览器令牌 Cookie 为 `Sense-Admin-Token`，后端仅接受标准 Authorization Bearer 或独立的 `sense_session` Cookie，不接受查询参数令牌，也不得与 Bell 共享 JWT 密钥、Cookie 或账户库。Sense 默认登录有效期为固定 30 天：后端 JWT 使用 2,592,000 秒，前端 Token Cookie 使用 30 天持久化期限；不做滑动续期、Refresh Token 或服务端单 Token 撤销，退出只删除本机 Cookie。部署新版本后已有 Token 不会自动延长，用户必须重新登录取得新有效期。登录成功/失败、登出、密码变更和鉴权拒绝写入身份审计；审计内容必须剔除密码、令牌、Cookie、验证码和其他秘密。配置管理 CRUD、configKey、set-config、接口管理等非产品必要路由不注册，即使管理员直接调用也返回 404。登录外壳必需的匿名只读 `GET /api/v1/app-config` 是唯一例外：它复用 GoAdmin `SysConfig.Get2SysApp`，只投影标记为前端可见的配置，不提供写入或管理能力。

 工单 #65 新增设备台账入口：后端按 `models → dto → service → api → router` 分层位于 `Sense/server/app/sense/device/`，管理路由在 `Sense/server/app/admin/router/sense_device.go`，前端页面位于 `Sense/ui/src/views/sense/device/index.vue`。设备凭据由 `Sense/server/app/sense/credential/` 独立存储和 AES-256-GCM 加密，HTTP 只返回是否已配置，不提供凭据读取接口。

@@ -130,3 +132,13 @@ ONVIF 支持 Basic 与 MD5/SHA-256 Digest challenge，Profile 与无凭据 Strea

 认证 API 为 `/api/v1/area/configurations` 及其版本子资源，接入 GoAdmin JWT、Casbin、动态菜单和操作权限。API 只返回设备/Profile 展示字段、规格、归一化坐标和版本信息，不返回 RTSP URI、摄像头凭据或 MediaMTX 内部路径。
 <!-- sense-area:end -->
+
+<!-- sense-windows-delivery:start -->
+## Sense Windows 交付运行链
+
+工单 #70 在 GoAdmin 派生入口上建立 Windows amd64 交付链。构建入口为 `Sense/scripts/build/build-windows.ps1`；运行包入口为 `start-sense.bat`，它先调用现有 `sense.exe migrate -c data\runtime\settings.yml`，迁移成功后再调用 `sense.exe server -c ...`。前端生产构建复制到包内 `web/`，后端只在显式配置 `SENSE_WEB_ROOT` 时提供同源静态资源和 SPA fallback，API 与健康检查不会被 fallback 覆盖。
+
+运行脚本将 `config\sense.env` 当作数据解析，只接受白名单 `SENSE_*` 字段，不执行文件内容；同名非空进程环境变量优先。生成的 `data\runtime\settings.yml` 含运行秘密，只能留在部署目录。production 固定使用 PostgreSQL，要求至少 32 字符 JWT secret，且 MediaMTX 只能为 `managed` 或 `external`；`managed` 在 HTTP 启动前拉起包内二进制，`external` 在 HTTP 启动前确认回环 Control API 可达。Demo 使用独立配置和名称含 demo/test 的隔离数据库，默认禁用 MediaMTX，绝不回退 production 数据库。
+
+交付包同时提供检查、迁移、管理员初始化、停止、备份和恢复入口。停止脚本只操作当前包且监听配置端口的 Sense 进程树；备份密码只进入子进程环境；恢复要求数据库名和二次短语确认。包不包含 PostgreSQL、生产数据、默认管理员、默认密码或客户秘密。
+<!-- sense-windows-delivery:end -->
@@ -2,8 +2,8 @@
 generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
 wiki_page: Local-Development-and-Verification
 wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Local-Development-and-Verification.-
-wiki_revision: 31cad04ab68ee653f2ec3ca6d7297a6bef768f54
-synchronized_at: 2026-08-15T01:13:07Z
+wiki_revision: 925a16a72bd5840697b5c61489a97018134b3930
+synchronized_at: 2026-08-27T08:07:04Z
 <!-- gitea-wiki-mirror:end -->

 # 本地开发与验证
@@ -146,7 +146,9 @@ Invoke-RestMethod -Method Post -Uri "http://127.0.0.1:<端口>/api/v1/bootstrap"
 Remove-Variable bootstrapToken, bootstrapBody
 ```

-初始化成功后停止服务，从启动环境中执行 `Remove-Item Env:SENSE_BOOTSTRAP_TOKEN`，再按正常生产方式启动。已有任一用户时初始化接口会拒绝请求。生产登录需要先调用验证码接口并提交验证码；自动化集成验证不得通过关闭生产安全约束来冒充生产结果。
+初始化成功后停止服务，从启动环境中执行 `Remove-Item Env:SENSE_BOOTSTRAP_TOKEN`，再按正常生产方式启动。已有任一用户时初始化接口会拒绝请求。Sense 在 production、test、dev 模式均只提交账号和密码，不显示、不请求也不校验验证码；`/api/v1/captcha` 暂时保留作上游兼容接口，但登录页和登录 API 不依赖它。登录成功、错误密码和未认证拒绝仍必须写入脱敏身份审计，密码继续执行 6–72 字节策略。
+
+Sense 默认登录有效期为固定 30 天。仓库配置和 Windows 运行脚本生成的 `jwt.timeout` 均为 `2592000` 秒，前端 `Sense-Admin-Token` Cookie 使用 30 天持久化期限。更新该版本后必须重新登录，已有 Token 不会自动延长。该有效期不是滑动续期；退出登录会删除本机 Cookie，但当前无状态 JWT 架构不提供服务端单 Token 撤销。如需立即使全部已签发 Token 失效，应在受控维护窗口轮换仓库外 JWT secret，并明确通知所有用户重新登录。

 身份回归至少覆盖：admin 可管理账户及查看审计；implementation_operator 只能查看实施所需日志和字典支撑数据；site_admin 可维护账户并读取角色、部门、岗位、字典，但不能修改角色或菜单；viewer 不能访问管理接口。还要验证配置/接口管理路由返回 404、短密码被拒绝、6 位全小写密码可用，以及登录/登出/改密/拒绝审计中不含密码、令牌、Cookie 或验证码。身份审计直接写入 PostgreSQL，不依赖通用操作日志数据库开关。

@@ -230,9 +232,38 @@ corepack pnpm@9.15.1 build:prod
 <!-- bell-runtime:end -->

 <!-- sense-windows-package:start -->
-## Sense Windows 打包状态
+## Sense Windows 打包与验证

-旧 Sense Windows 包脚本只属于 `explore` 快照。新的打包命令必须在 GoAdmin 派生骨架和业务迁移完成后由独立工单重新建立、验证和记录。
+在仓库根目录使用冻结工具链构建：
+
+```powershell
+Sense\scripts\build\build-windows.ps1 -MediaMTXPath D:\approved\mediamtx.exe
+```
+
+构建脚本严格检查 Go 1.26.5、Node 22.22.1 和 pnpm 9.15.1，执行前端生产构建与 Windows 后端构建，并生成 `Sense\dist\sense-windows-amd64\` 和同名 ZIP。未传 `-MediaMTXPath` 时只生成占位说明，交付前必须另外提供已审核的 Windows amd64 MediaMTX。构建末尾会执行包审计，并清理源码目录的 `Sense/ui/node_modules` 与 `Sense/ui/dist`。
+
+提交前验证：
+
+```powershell
+cd Sense\server
+go test ./...
+go vet ./...
+go build ./...
+go test -race ./app/sense/media ./cmd/api
+
+cd ..\..
+Sense\scripts\build\test-package.ps1 -PackageRoot Sense\dist\sense-windows-amd64
+```
+
+包内验证从解压目录执行：
+
+```bat
+check-sense.bat
+start-sense.bat
+stop-sense.bat
+```
+
+检查项至少覆盖配置解析与进程环境优先级、特殊字符不被执行、production/demo 数据库隔离、迁移失败不启动服务、首页 SPA fallback、`/healthz`、MediaMTX Control API、包外工作目录启动与停止、PostgreSQL custom-format 备份及恢复到独立数据库。真实摄像机、目标客户数据库账号、目标浏览器与干净客户机器仍须在授权交付环境验收。
 <!-- sense-windows-package:end -->


@@ -282,3 +313,29 @@ corepack pnpm@9.15.1 build:prod

 浏览器 smoke 至少覆盖：鼠标添加和拖动顶点；键盘 Enter 添加、方向键移动、Delete 删除；错误文字可见并具有 aria-live/alert 语义；刷新后版本、启停和重新校准状态仍可追溯。真实摄像机校准只使用明确授权设备，不记录地址、URI、凭据或视频内容。Brain、Bell 不启动时必须能独立保存、读取和预览。
 <!-- sense-area:end -->
+
+<!-- sense-supervisor:start -->
+## Sense 本机 Supervisor 托管
+
+本机开发/演示环境可由 `D:\supervisor` 托管已经构建的 Sense Windows 交付包。实例配置位于仓库外的 `D:\supervisor\programs\yovision.conf`，实例名为 `yovision-sense`；工作目录固定为 `D:\OPC\yovision\Sense\dist\sense-windows-amd64`。
+
+Supervisor 配置只调用包内 `scripts\runtime\start-sense.ps1`，运行参数继续从包内 `config\sense.env` 读取。不得把数据库连接、JWT 密钥、摄像头凭据或其他秘密复制到 Supervisor 配置或工单。
+
+常用命令：
+
+```powershell
+D:\supervisor\supervisord.exe ctl /c D:\supervisor\supervisord.conf status yovision-sense
+D:\supervisor\supervisord.exe ctl /c D:\supervisor\supervisord.conf restart yovision-sense
+D:\supervisor\supervisord.exe ctl /c D:\supervisor\supervisord.conf stop yovision-sense
+D:\supervisor\supervisord.exe ctl /c D:\supervisor\supervisord.conf start yovision-sense
+Get-Content D:\supervisor\logs\yovision-sense.log -Tail 100
+```
+
+新增或修改 `programs/*.conf` 后执行：
+
+```powershell
+D:\supervisor\supervisord.exe ctl /c D:\supervisor\supervisord.conf reload
+```
+
+当前 Go Supervisor 的 `reload` 会重新读取独立配置；实际受影响实例必须以命令输出和 reload 前后 PID 为准。切换托管前先停止占用 Sense 端口的非 Supervisor 实例，防止自动启动进入 Backoff。验证至少包含 Supervisor 状态为 Running、`http://127.0.0.1:18080/health` 与首页返回 200，以及受控重启后 Sense 和受管 MediaMTX PID 均更新。
+<!-- sense-supervisor:end -->
@@ -2,8 +2,8 @@
 generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
 wiki_page: Troubleshooting
 wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Troubleshooting
-wiki_revision: 3523b7cd1f126ebc3ef77414cb6d658103f2491d
-synchronized_at: 2026-08-15T01:13:11Z
+wiki_revision: 1a452e9aafdfe01580f37f9179584b89516cf992
+synchronized_at: 2026-08-15T07:59:38Z
 <!-- gitea-wiki-mirror:end -->

 # 故障排查
@@ -116,3 +116,39 @@ synchronized_at: 2026-08-15T01:13:11Z
 | viewer 看得到页面但不能保存 | 符合只读权限；由 implementation_operator、site_admin 或 admin 完成配置。 |
 | 键盘无法操作顶点 | Tab 聚焦画布或编号顶点；Enter/Space 添加中心点，方向键移动，Delete/Backspace 删除。检查浏览器焦点轮廓是否可见。 |
 <!-- sense-area:end -->
+
+<!-- sense-capabilities-jsonb:start -->
+## Sense 旧设备能力字段迁移排错
+
+启动迁移出现 `字段 "capabilities" 的默认值不能转换成类型 jsonb (SQLSTATE 42804)`，表示数据库仍保留旧版 `sense_devices.capabilities text DEFAULT ''`，而当前 GoAdmin 派生模型要求 JSONB。不要跳过迁移、删除设备记录或只手工删除默认值；旧单值数据仍可能在下一步转换失败。
+
+工单 #92 的兼容迁移会在同一事务内锁定设备表并先验证全部旧值：空值转为 `[]`，`video`、`radar`、`contact`、`button`、`wearable`、`other` 等旧单值转为 JSON 数组，合法 JSON 数组保持数组。未知值或非数组 JSON 会拒绝迁移并整体回滚，不输出具体业务值。
+
+处理步骤：
+
+1. 停止所有连接该 Sense 数据库的服务实例。
+2. 使用 `backup-sense.bat` 创建 PostgreSQL custom-format 备份，并确认备份文件可读取。
+3. 部署包含 #92 的新 `sense.exe` 后重新运行 `migrate-sense.bat` 或正常启动。
+4. 若提示“unsupported legacy data”，不要直接改表；保留错误、恢复测试副本并由维护人员确认旧能力语义。
+5. 迁移成功后确认设备仍存在、能力标签正确，再启动其他实例。
+
+正式数据库未备份时不得执行该结构迁移。需要回退版本时停止服务并从迁移前备份恢复，不把 JSONB 反向猜测为旧文本。
+<!-- sense-capabilities-jsonb:end -->
+
+<!-- sense-media-path-constraint:start -->
+## Sense 旧媒体路由迁移排错
+
+旧库迁移出现 `约束 "uni_sense_media_routes_path" 不存在 (SQLSTATE 42704)`，表示旧 `sense_media_routes.path` 由 PostgreSQL 自动命名的唯一约束保护，而新 GORM 模型准备改用唯一索引；GORM 按推导名称删除旧约束时找不到实际名称。修正该名称后若继续出现 `source_ready ... contains null values (SQLSTATE 23502)`，表示非空旧表还缺少当前模型要求的运行态列。
+
+工单 #95 的兼容迁移只在 PostgreSQL 旧表存在时执行：取得 ACCESS EXCLUSIVE 表锁，确认只有一个单列 `UNIQUE(path)` 约束，将实际约束名规范为 GORM 可识别名称；同时为旧路由初始化保守运行态 `source_ready=false`、`failure_count=0`、`last_error_code=''`，再继续 AutoMigrate。迁移不会把旧路由伪装成已就绪，服务启动后仍由对账恢复真实状态。复合约束、多重 path 约束或其他无法确认的唯一性结构会拒绝迁移并整体回滚。
+
+处理步骤：
+
+1. 停止连接该数据库的全部 Sense 实例，并确认 Sense 与 MediaMTX 相关端口已释放。
+2. 使用 `backup-sense.bat` 生成 PostgreSQL custom-format 备份；非标准 PostgreSQL 安装目录需通过 `SENSE_POSTGRES_BIN` 指向包含 `pg_dump.exe`、`pg_restore.exe` 的目录。
+3. 使用 `pg_restore --list <备份文件>` 确认备份可读取，再部署包含 #95 的 Windows 包。
+4. 先运行 `migrate-sense.bat`；成功后确认旧路由数量不变、运行态列无空值、`path` 仍有唯一索引。
+5. 再启动 Sense，检查首页、`/healthz`、MediaMTX Control API 和视频服务对账；验证完成后使用 `stop-sense.bat` 停止。
+
+如果迁移报告不支持的唯一性结构，不要手工删除约束或路由；在备份副本中核对实际约束和业务数据。正式迁移失败时保留错误并从迁移前备份恢复，不通过关闭唯一性绕过迁移。
+<!-- sense-media-path-constraint:end -->
@@ -2,8 +2,8 @@
 generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
 wiki_page: Product-Requirements
 wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Product-Requirements.-
-wiki_revision: f0d16a60406eed6fd6968c6555c599554bbd1fae
-synchronized_at: 2026-08-11T10:30:56Z
+wiki_revision: e6c6e0d7f658a7c1040fe569026e7d0ec581701a
+synchronized_at: 2026-08-17T02:54:53Z
 <!-- gitea-wiki-mirror:end -->

 # 产品需求
@@ -48,7 +48,7 @@ YoVision 首个可交付目标是在民办寄宿学校以默认 16 路高风险

 ### P0

- **SEN-001 独立登录与权限**：Sense 自有用户、角色、菜单、会话和审计；至少覆盖管理员、实施/运维、站点管理员和只读边界。
+- **SEN-001 独立登录与权限**：Sense 自有用户、角色、菜单、会话和审计；至少覆盖管理员、实施/运维、站点管理员和只读边界。首期采用账号密码直接登录，所有运行模式均不使用验证码；密码保持 6–72 字节且不强制字符复杂度，登录成功与失败必须记录不含秘密的身份审计。默认登录有效期为固定 30 天，后端 JWT 与浏览器持久 Cookie 必须一致；版本更新后已有 Token 不自动延长，不提供滑动续期或服务端单 Token 撤销。
 - **SEN-002 设备台账**：以 Device 为根实体，通过 `modality` 和 `capabilities` 表达 video/radar/contact/button/wearable/other；首期只完整实现 video，未实现适配器显示 `adapter_not_ready`。
 - **SEN-003 ONVIF/RTSP 接入**：支持发现或手工添加、Profiles、StreamUri、主/子码流、校时、认证失败、重新探测和凭据更新。
 - **SEN-004 批量开通**：默认 16 路可导入、预校验、待激活、逐项成功/失败、仅重试失败项；部分成功不做整体回滚。
@@ -2,8 +2,8 @@
 generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
 wiki_page: Delivery-Documentation-Guide
 wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Delivery-Documentation-Guide.-
-wiki_revision: 45c86f2a0e4d3252e8042df5ee725e633dd497c1
-synchronized_at: 2026-08-14T09:47:31Z
+wiki_revision: 3d95c9d392e81cf59d2af1f6f21d8e67f580b68f
+synchronized_at: 2026-08-15T03:02:47Z
 <!-- gitea-wiki-mirror:end -->

 # 交付文档指南
@@ -97,12 +97,16 @@ Sense 面向网管、实施人员和非技术现场人员，菜单按日常任
 <!-- sense-windows-package:start -->
 ## Sense Windows 运行包交付

-交付对象为实施和运维人员。`sense-windows-amd64.zip` 包含后端程序、已构建前端、空值示例配置、上游许可证、启动脚本与包内说明；不包含 PostgreSQL、MediaMTX、Windows 服务、生产数据或秘密。
+交付对象为实施和运维人员。以 `sense-windows-amd64.zip` 交付后端程序、已构建前端、空值示例配置、迁移基线、许可证、启动/检查/停止/备份/恢复脚本与包内说明；不包含 PostgreSQL、生产数据、默认管理员、默认密码或客户秘密。可按交付决定是否包含已审核的 `bin\mediamtx.exe`。

- 临时查看必须显式运行 `start-sense.bat demo`，其内存数据在进程结束后丢失，不能当作生产部署。
- 生产配置可由运维写入解压目录的 `config\sense.env`，或通过 Windows 进程环境安全注入；进程环境优先。先运行 `start-sense.bat check` 检查必填项，再运行 `start-sense.bat`。
- 交付时记录 ZIP SHA-256，并至少验证 `/healthz` 与首页；真实 PostgreSQL、MediaMTX、摄像机和目标浏览器仍需在获准环境验收。
- 包内 `README-WINDOWS.md` 是现场操作入口；真实 `config\sense.env` 只留在具体部署目录，不得提交 Git 或重新打入交付 ZIP，交付 ZIP 只保留 `sense.env.example`。
+- production 先复制 `config\sense.env.example` 为 `config\sense.env`，填写 PostgreSQL、至少 32 字符 JWT secret、凭据密钥、获准 ONVIF 网络和 MediaMTX 模式。进程环境中的同名非空值优先，脚本不执行 env 文件内容，也不打印秘密。
+- 先运行 `check-sense.bat`，再运行 `start-sense.bat`。启动会先迁移，失败时不会开放 HTTP；`managed` MediaMTX 在 Sense HTTP 前启动，`external` 必须已有可达的回环 Control API，production 禁止 `disabled`。
+- 首位管理员通过至少 32 字符的一次性 bootstrap token 和 `initialize-admin.bat -Username admin` 创建，密码由隐藏提示输入；成功后立即清空 token 并重启。仓库与交付包均无默认账号密码。
+- 临时演示必须显式运行 `start-sense.bat demo`，使用独立 `config\sense.demo.env` 和名称含 demo/test 的数据库；不会回退 production 数据库，也不能作为生产部署。
+- 日常停止优先在启动窗口按 Ctrl+C；窗口丢失或进程无响应时使用 `stop-sense.bat`。脚本会验证端口与可执行文件归属，拒绝停止其他程序。
+- 备份使用 `backup-sense.bat` 生成 PostgreSQL custom-format 文件。恢复前停止服务并再次备份，执行 `restore-sense.bat` 时需确认目标数据库名及 `RESTORE-数据库名`，随后重新迁移。
+- 交付时保存 ZIP 和 `MANIFEST.sha256` 的 SHA-256，至少验证首页、`/healthz`、数据库迁移、MediaMTX API、启动/停止和备份/恢复。真实摄像机、目标浏览器与客户数据库账号仍在授权现场验证。
+- 包内 `README-WINDOWS.md` 是现场事实入口；真实 `config\sense.env`、运行生成的 `data\runtime\settings.yml`、日志和备份不得提交 Git 或重新打入 ZIP。
 <!-- sense-windows-package:end -->

 <!-- sense-device-ledger:start -->
@@ -0,0 +1,107 @@
+<!-- gitea-wiki-mirror:start -->
+generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
+wiki_page: Task-101-Sense-GoAdmin-应用外壳
+wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Task-101-Sense-GoAdmin-%E5%BA%94%E7%94%A8%E5%A4%96%E5%A3%B3.-
+wiki_revision: a32fd29a7b8c4fa42396e9f249bcdd99d0c09e74
+synchronized_at: 2026-08-27T07:52:48Z
+<!-- gitea-wiki-mirror:end -->
+
+# 101 Sense-GoAdmin-应用外壳
+
+- 类型：缺陷修复
+- 所属 Epic：#7
+- 所属 MVP / 版本：#8 / Sense 首个独立纵切
+- 状态：已完成
+- 日期：2026-08-16
+- Gitea 工单：https://git.ilapage.cn/ila/yovision/issues/101
+- Wiki 页面：Task-101-Sense-GoAdmin-应用外壳
+- Wiki revision：见本地镜像头
+
+## 背景与目标
+
+Sense 五个业务菜单原来都以顶层业务组件注册。go-admin-ui 只有在动态路由组件为 `Layout` 时才保留侧栏、顶部导航和标签页，因此点击设备管理等入口会用业务页面替换整个 GoAdmin 外壳。
+
+本任务恢复冻结 GoAdmin 的标准父子菜单结构：应用外壳保持不变，模块切换只替换右侧内容区域。
+
+## 最终方案
+
+新增迁移 `2026081623100_sense_layout.go`，创建唯一的“视频感知”顶层目录：
+
+- 顶层目录：`MenuType=M`、`Path=/sense`、`Component=Layout`。
+- 设备管理、视频接入、视频服务、实时监看、区域与警戒线：作为相对路径的 `MenuType=C` 子页面。
+- 页面下既有 `MenuType=F` 操作权限保持不变。
+- 递归重算父目录、页面和按钮的完整 `paths`。
+- 页面 URL、组件、权限标识、角色关联和业务 API 均不改变。
+- 使用新增事务迁移兼容已经执行旧迁移的 PostgreSQL 数据库，不修改历史迁移。
+
+与建单方案一致，没有修改 go-admin-ui 公共 Layout 或动态路由生成器。
+
+## 修改文件
+
+- `Sense/server/cmd/migrate/migration/version/2026081623100_sense_layout.go`：新增 GoAdmin Layout 菜单兼容迁移。
+- `Sense/server/cmd/migrate/migration/version/2026081623100_sense_layout_test.go`：覆盖菜单层级、相对路径、完整 paths、角色关联保持、重复对齐、事务回滚和 PostgreSQL。
+- `docs/02-architecture-and-code-map.md`：同步架构 Wiki 中的 Sense 动态菜单长期规则。
+- `wiki-docs.json`、`docs/task/101-Sense-GoAdmin-应用外壳.md`：任务归档映射与镜像。
+
+## 验收结果
+
+| 验收标准 | 结果 |
+|---|---|
+| 五个业务页位于 Layout 父路由下 | 通过 |
+| 设备管理进入 `#/sense/devices`，标题与路径不串位 | 通过 |
+| 切换和刷新后侧栏、顶部栏、标签页保留 | 通过 |
+| 页面组件、权限标识和角色关联保持 | 通过 |
+| 已有 PostgreSQL 数据库迁移无重复菜单 | 通过 |
+| 重复对齐安全、失败事务回滚 | 通过 |
+| 后端、前端和 Windows 包验证 | 通过 |
+| Wiki、归档、PR 和证据 | 通过，用户已验收 |
+
+## 测试
+
+- `go test ./cmd/migrate/migration/version -run 'Test(AlignSenseLayout|MigrateSenseLayout|SenseLayout)' -count=1`：通过。
+- 真实 PostgreSQL 隔离 schema `TestSenseLayoutMigrationOnPostgres`：通过并清理测试 schema。
+- `go test ./...`：通过。
+- `go vet ./...`、后端构建：通过。
+- `pnpm lint`：0 error，32 条冻结上游/既有 warning。
+- `pnpm test:unit -- --runInBand`：17 suites、46 tests 全部通过。
+- `pnpm build:prod`：通过，4 条既有构建 warning。
+- Windows PowerShell 5.1 包测试：21 assertions 通过；包审计通过。
+- 本机生产数据库迁移及启动：通过。
+- Headless Edge：依次打开五个菜单及刷新区域页面，`.app-wrapper`、侧栏、navbar、TagsView 全程可见，URL 均正确。
+- Windows ZIP：`Sense/dist/sense-windows-amd64.zip`，SHA-256 `BAAA973F8502BB5B0BC080F11931E60419B25EFA8FF722A6B9F9B98364399642`，源码提交 `4423d528b1dc6ebe8b6f7b8272ca5111032a1608`。
+- **未验证部分**：客户全新 Windows 主机及 implementation_operator/site_admin/viewer 三种岗位的人工视觉验收；本机使用 admin 完成真实浏览器回归，用户已确认验收通过。
+
+## 遗留问题
+
+#99、#104 与 #101 均已由用户验收；#101 经 PR #102 合入 `dev`，`main` 保持不变。#90 的项目档案 Wiki 更新未混入本任务提交；客户全新 Windows 主机及三个非 admin 岗位的人工视觉验收仍未覆盖。
+
+## 相关提交
+
+- `4423d528b1dc6ebe8b6f7b8272ca5111032a1608` 修复 Sense GoAdmin 应用外壳。
+- `e652109` 记录 Sense Layout 菜单长期架构。
+
+## #99 合入后的组合验收包
+
+- 用户验收 #99 后，PR #100 已合入 `dev`；本任务分支通过合并提交 `42dc77b1f904032131c51b3864184c4ccaea6b8f` 更新到该基线。
+- 冲突处理保留 Wiki 事实源中 #99 的匿名只读 `app-config` 边界、#101 的 GoAdmin Layout 菜单规则，以及两张任务归档映射。
+- 重新生成 `Sense/dist/sense-windows-amd64.zip`；包内 `source_commit=42dc77b1f904032131c51b3864184c4ccaea6b8f`。
+- 新 ZIP SHA-256：`65AF5DD1CFB5D4F8339DCCC53717354495259F13630FBC0C6A4AFC1ACD794B26`。
+- 固定工具链 production build、包审计、Windows PowerShell 5.1 包测试 21 项、真实 PostgreSQL 迁移/启动及 `TestRegisterBaseRouterExposesOnlyFrontendAppConfig` 均通过。
+- 现场配置在构建前备份、ZIP 生成后恢复；ZIP 仍只包含模板配置。Sense 当前监听 `127.0.0.1:18080`。
+## #104 合入后的最终组合验收包
+
+- #104 已由用户验收并经 PR #105 合入 `dev@46c3232da40528d031367225b09d4f28c85a8312`；#101 分支通过合并提交 `8cdd3f61cbd8f5bbc1a972525da91aaf49a39bb0` 更新到该基线。
+- 唯一合并冲突是 `Architecture-and-Code-Map` 镜像头；读取 Wiki revision `8df12aa3e136b1faee9c2dffb58ca39b045bc49f` 确认页面同时包含 #101 Layout 菜单规则和 #104 30 天登录规则后，以该事实源解决。业务代码无冲突。
+- `go test ./...`、`go vet ./...`、`go build ./...` 全部通过；前端 lint 0 error（32 条既有 warning），18 suites / 48 tests 通过，production build 通过（4 条既有 warning）。
+- Windows 包资源审计、包审计和 22 assertions 通过；使用现场 PostgreSQL 完成幂等迁移与生产启动，`data/runtime/settings.yml` 确认 `timeout: 2592000`。
+- Chrome 真实回归依次验证设备管理、视频接入、视频服务、实时监看、区域与警戒线五个入口；URL 分别为 `#/sense/devices`、`#/sense/admission`、`#/sense/media`、`#/sense/liveview`、`#/sense/area`，侧栏、Navbar、TagsView 全程可见。直接刷新区域页面后外壳与选中标签保持，控制台无错误。
+- 本机直连验证 `/health`、`/api/v1/app-config` 和 `/` 均返回 200；首次命令行请求受开发机 HTTP 代理影响，明确绕过代理后通过，不属于 Sense 服务错误。
+- 组合 ZIP：`Sense/dist/sense-windows-amd64-101-104.zip`，56,461,005 bytes，SHA-256 `46B2B5654EE3F61788CA4E51F5CB66C1A7C7D1088EFFD39C0281E86E84F964A2`，包内 `source_commit=8cdd3f61cbd8f5bbc1a972525da91aaf49a39bb0`。标准 ZIP 内容相同且仅含模板配置；现场配置只恢复到解压目录。
+- 当前组合服务监听 `127.0.0.1:18080`。临时现场配置备份已删除，源码目录 `node_modules` 已清理。
+- **未验证部分**：客户全新 Windows 主机及 implementation_operator/site_admin/viewer 三种岗位的人工视觉验收；用户已确认当前交付验收通过。
+
+## 验收确认
+
+- 2026-08-27，用户明确确认“#101通过验收”。
+- PR #102 按规定合入 `dev`，`main` 未变更。
+- 工单 #101 状态更新为“已完成”并关闭；所属 MVP #8 的子工单索引同步勾选。
@@ -0,0 +1,80 @@
+<!-- gitea-wiki-mirror:start -->
+generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
+wiki_page: Task-104-Sense-30天登录有效期
+wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Task-104-Sense-30%E5%A4%A9%E7%99%BB%E5%BD%95%E6%9C%89%E6%95%88%E6%9C%9F.-
+wiki_revision: 2b4df23ec321de868840da61d87d8d6fce8537a7
+synchronized_at: 2026-08-17T03:46:13Z
+<!-- gitea-wiki-mirror:end -->
+
+# 104 Sense-30天登录有效期
+
+- 类型：需求
+- 所属 Epic：#7
+- 所属 MVP / 版本：#8
+- 状态：已完成
+- 日期：2026-08-17
+- Gitea 工单：https://git.ilapage.cn/ila/yovision/issues/104
+- Wiki 页面：Task-104-Sense-30天登录有效期
+- Wiki revision：见本地镜像头
+
+## 背景与目标
+
+Sense 原生产、demo、SQLite 和完整配置默认 JWT 有效期为 3600 秒，前端 Token 使用浏览器会话 Cookie。按用户确认，将默认登录有效期统一调整为固定 30 天，使浏览器重启后在 Token 未过期时仍可保持登录。
+
+## 最终方案
+
+- 保留 go-admin JWT 中间件和 go-admin-ui `js-cookie` 封装；非开发模式未显式配置时默认使用 30 天，合法显式配置仍优先，开发模式保持上游行为。
+- 生产、demo、SQLite、full 与 Windows 运行时生成配置统一使用 2,592,000 秒。
+- `Sense-Admin-Token` Cookie 使用 `expires: 30`；退出登录仍删除 Cookie。
+- 不是滑动续期，不增加 Refresh Token、服务端会话表或 Token 黑名单。已有 Token 不自动延长，部署后需重新登录。
+- Token 泄露窗口扩大到 30 天；紧急失效需要轮换 JWT secret，这会使全部现有登录失效。
+
+## 修改文件
+
+- `Sense/server/common/middleware/auth.go`、`auth_test.go`：实现并验证默认 30 天 JWT。
+- `Sense/server/config/settings*.yml`、`READMEN.md`：统一配置值和示例。
+- `Sense/scripts/runtime/sense-common.ps1`、`Sense/tests/package/run-tests.ps1`：统一并验证 Windows 运行时配置。
+- `Sense/ui/src/utils/auth.js`、`Sense/ui/tests/unit/utils/auth.spec.js`：持久化 Cookie 30 天并验证设置、读取和删除。
+- `docs/02-architecture-and-code-map.md`、`docs/04-local-development-and-verification.md`、`docs/09-product-requirements.md`：由 Wiki 同步的长期文档镜像。
+
+## 验收结果
+
+| 验收标准 | 结果 |
+|---|---|
+| 非开发模式签发 JWT 的到期时间为签发后 30 天 | 通过 |
+| Token Cookie 使用 30 天持久化期限，退出仍删除 | 通过 |
+| 浏览器关闭后重新打开仍保持登录 | 通过（用户验收） |
+| 所有运行配置及 Windows 生成值为 2,592,000 秒 | 通过 |
+| Go、Vue、Windows 包测试与 PostgreSQL 启动回归 | 通过 |
+| ZIP 仅含模板配置，不包含现场秘密或数据 | 通过 |
+| 已有 Token 不自动延长并记录重新登录要求 | 通过 |
+
+## 测试
+
+- `go test ./...`：通过。
+- `go vet ./...`：通过。
+- `go build ./...`：通过。
+- `pnpm run lint`：0 error，32 条上游既有 warning。
+- `pnpm exec vue-cli-service test:unit --runInBand`：18 suites、48 tests 通过。
+- `Sense/tests/package/run-tests.bat -PackageRoot Sense/dist/sense-windows-amd64`：22 assertions 通过。
+- Windows amd64 生产构建、资源审计、包审计：通过；4 条既有构建 warning。
+- 独立 #104 包使用现场 PostgreSQL 完成迁移和启动，`127.0.0.1:18080` 监听成功，生成配置确认 `timeout: 2592000`。
+- 包：`Sense/dist/sense-windows-amd64-104.zip`，56,457,546 bytes，SHA-256 `BCE3EDD3F5BD79C75A953CB7673D1C9867CE3BB89755D6A188C7CA1226D05CE3`，来源提交 `adc227f110bf0c456d1523eac151ed1d8360cc83`。
+- 一次错误的 Vue 测试参数把 `--runInBand` 识别为模式而未找到测试，已改用正确命令并通过；一次临时运行数据恢复把日志目录复制成同名文件，修正验证环境后从失败点重试并通过，均非产品代码缺陷。
+- **未验证部分**：无法用真实等待 30 天验证自然到期；以固定时钟 JWT 测试和 Cookie 参数单测覆盖。用户已于 2026-08-17 明确验收通过，浏览器关闭/重开行为由人工确认。#104 独立包不包含仍待验收的 #101；两项进入 `dev` 后才能生成最终组合包。
+
+## 遗留问题
+
+- 当前服务已恢复为用户原有的 #101 验证包，避免应用外壳回退；#104 独立包保留为具名 ZIP，未覆盖当前标准包。
+- 当前架构没有服务端单 Token 撤销能力，这是确认范围内的安全限制。
+
+## 验收确认
+
+- 用户于 2026-08-17 明确回复“#104 验收通过”。
+- PR #105 按仓库门禁合入 `dev`；`main` 不变。
+
+## 相关提交
+
+- `857ba45` feat: 将 Sense 登录有效期调整为30天 (#104)
+- `a843121` docs: 记录 Sense 30天登录有效期 (#104)
+- `adc227f` test: 验证 Sense 30天 JWT 到期时间 (#104)
@@ -0,0 +1,77 @@
+<!-- gitea-wiki-mirror:start -->
+generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
+wiki_page: Task-106-Sense-本机-Supervisor-实例
+wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Task-106-Sense-%E6%9C%AC%E6%9C%BA-Supervisor-%E5%AE%9E%E4%BE%8B.-
+wiki_revision: fcff45a700cba3db939819cfc5deb1cc97b8155b
+synchronized_at: 2026-08-27T08:17:20Z
+<!-- gitea-wiki-mirror:end -->
+
+# 106 Sense-本机-Supervisor-实例
+
+- 类型：运维配置
+- 所属 Epic：#7
+- 所属 MVP / 版本：#8 / Sense 首个独立纵切
+- 状态：已完成
+- 日期：2026-08-27
+- Gitea 工单：https://git.ilapage.cn/ila/yovision/issues/106
+- Wiki 页面：Task-106-Sense-本机-Supervisor-实例
+- Wiki revision：见本地镜像头
+
+## 背景与目标
+
+本机 Sense 原由独立终端启动，不受 `D:\supervisor` 管理。目标是在不复制现场秘密、不修改 Sense 业务代码的前提下，让 Supervisor 托管现有 Windows 交付包，并提供自动启动、异常重启、进程组停止和独立日志。
+
+当前 Brain、Bell 只有规则文件，没有可运行交付物，因此本任务只创建 `yovision-sense`，不创建空实例。
+
+## 最终方案
+
+- 在仓库外新增 `D:\supervisor\programs\yovision.conf`，实例名为 `yovision-sense`。
+- 工作目录使用 `D:\OPC\yovision\Sense\dist\sense-windows-amd64`。
+- Supervisor 直接调用包内 `scripts/runtime/start-sense.ps1`，配置仍由 `config/sense.env` 读取。
+- 配置启用 autostart、autorestart、启动重试、进程组停止和 50 MB × 5 的日志轮转。
+- 日志写入 `D:\supervisor\logs\yovision-sense.log`；Supervisor 配置不含 environment、数据库连接、令牌、密码或摄像头凭据。
+- 使用包内停止脚本核对并停止原 Sense PID 28440，释放 18080 后执行 Supervisor reload。
+
+原计划按最坏情况说明 reload 会重启全部实例；实际命令返回 `Added Groups: yovision-sense`。dsh/goauto PID 未变化，原先处于 Backoff 的三个 Chorus 实例在 reload 后恢复 Running，因此没有观察到既有 Running 实例被重启。
+
+## 修改文件
+
+- `D:\supervisor\programs\yovision.conf`：新增本机 Supervisor 实例配置；该文件位于仓库外。
+- `Local-Development-and-Verification` Wiki：记录实例位置、常用命令、秘密边界和验证方式。
+- `docs/04-local-development-and-verification.md`：上述 Wiki 的只读镜像。
+- `wiki-docs.json`、`docs/task/106-Sense-本机-Supervisor-实例.md`：任务归档登记与镜像。
+
+## 验收结果
+
+| 验收标准 | 结果 |
+|---|---|
+| `yovision-sense` 稳定为 Running | 通过 |
+| Sense 监听 18080，健康检查与首页返回 200 | 通过 |
+| Sense 管理的 MediaMTX 随单实例重启更新 PID | 通过 |
+| Supervisor 配置不包含现场秘密 | 通过 |
+| dsh/goauto 保持运行，Chorus 从既有 Backoff 恢复 | 通过 |
+| Wiki、归档、提交、PR 和证据 | 通过，用户已验收 |
+
+## 测试
+
+- `supervisord.exe ctl /c supervisord.conf reload`：返回新增 `yovision-sense` 配置组。
+- `supervisord.exe ctl /c supervisord.conf status`：七个实例均为 Running；`yovision-sense` Supervisor PID 28000。
+- `GET /health`、`GET /healthz`、`GET /`：均返回 200。
+- 受控执行 `restart yovision-sense`：Sense PID 从 38408 更新为 43916，MediaMTX PID 从 27880 更新为 27212，重启后健康检查与首页仍为 200。
+- 外部配置 SHA-256：`7C5BDDD574384ED6038F0C2DAA8CE364FB1EA996B256831595ABF4E22EDA4769`。
+- 配置敏感字段扫描：未发现 password、token、secret、`SENSE_DATABASE_URL` 或 `environment=`。
+- **未验证部分**：未通过重启 Windows 验证开机后的整体 Supervisor 自启动；未故意崩溃 Sense 验证异常自动重启，已用 Supervisor 受控重启验证停止与拉起链路。
+
+## 遗留问题
+
+Supervisor 管理端口当前监听 `0.0.0.0:9009` 且未配置认证，这是任务开始前已存在的安全风险，本任务按确认范围未修改，建议另建安全工单处理。
+
+## 相关提交
+
+- `0646f5effd53536ae3f608c5e5dffe7fe950cb8f` 记录 Sense Supervisor 托管方式。
+
+## 验收确认
+
+- 2026-08-27，用户明确确认“#106 验收通过”。
+- PR #107 按规定合入 `dev`，`main` 未变更。
+- 工单 #106 状态更新为“已完成”并关闭；所属 MVP #8 的子工单索引同步勾选。
@@ -0,0 +1,110 @@
+<!-- gitea-wiki-mirror:start -->
+generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
+wiki_page: Task-70-Sense-Windows配置启动与打包交付
+wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Task-70-Sense-Windows%E9%85%8D%E7%BD%AE%E5%90%AF%E5%8A%A8%E4%B8%8E%E6%89%93%E5%8C%85%E4%BA%A4%E4%BB%98.-
+wiki_revision: 9eb390dfd691acc089656a838dd3f12e24f97884
+synchronized_at: 2026-08-16T11:33:28Z
+<!-- gitea-wiki-mirror:end -->
+
+# 70 Sense Windows配置启动与打包交付
+
+- 类型：需求
+- 所属 Epic：#7
+- 所属 MVP / 版本：#8
+- 状态：已完成
+- 日期：2026-08-15
+- Gitea 工单：https://git.ilapage.cn/ila/yovision/issues/70
+- Wiki 页面：Task-70-Sense-Windows配置启动与打包交付
+- Wiki revision：见本地镜像头
+
+## 背景与目标
+
+在 #61–#69 完成冻结 GoAdmin 基线及 Sense 独立业务纵切后，重建 Windows amd64 前后端单包交付能力。交付必须继续使用 GoAdmin Cobra 的迁移与服务入口，并覆盖包内配置、PostgreSQL、MediaMTX、管理员初始化、停止、备份和恢复；不得回用 explore 中的自研运行框架，也不得包含默认密码或客户秘密。
+
+## 最终方案
+
+- `Sense/scripts/build/build-windows.ps1` 严格检查 Go 1.26.5、Node 22.22.1、pnpm 9.15.1，执行前后端生产构建、许可证和迁移基线复制、内容审计并生成目录与 ZIP。
+- `Sense/scripts/runtime` 提供白名单 env 解析、check/start/stop/migrate/bootstrap/backup/restore。配置文件只作为数据读取，同名非空进程环境优先，日志不打印秘密。
+- production 只接受 PostgreSQL，要求至少 32 字符 JWT secret，MediaMTX 使用 managed 或 external；启动前完成迁移与媒体服务就绪检查，失败不开放 HTTP。Demo 使用独立配置和名称含 demo/test 的数据库。
+- 继续调用现有 `sense.exe migrate -c ...` 与 `sense.exe server -c ...`。在现有 Gin Engine 上增加可选同源 SPA fallback；未配置 `SENSE_WEB_ROOT` 时保持上游行为。MediaMTX 显式模式增加启动前就绪门禁，未配置模式保留既有惰性行为。
+- 管理员初始化无默认账户密码；密码经隐藏提示输入。停止脚本验证端口与可执行文件归属；备份密码只通过子进程环境；恢复要求目标库名称和二次短语确认。
+- 空白 PostgreSQL 17 已成功执行完整迁移，未复现 #67 曾记录的旧 `sys_config` 字段长度问题，因此未修改上游迁移。
+
+## 修改文件
+
+- `Sense/scripts/build/**`、`Sense/tests/package/**`：固定工具链构建、包审计与配置/失败路径自动化。
+- `Sense/scripts/runtime/**`：Windows 配置、检查、迁移、启动停止、初始化、备份恢复入口。
+- `Sense/config/**`、`Sense/package/**`、`Sense/README-WINDOWS.md`：空值示例、MediaMTX 基线和现场说明。
+- `Sense/server/cmd/api/server.go`、`web.go`、`web_test.go`：现有 GoAdmin Gin 服务的可选 SPA 托管。
+- `Sense/server/app/sense/media/runtime.go`、`runtime_test.go`：显式 MediaMTX 模式的启动前就绪门禁。
+- `Sense/.gitignore`：忽略可重建交付产物并允许版本化构建脚本。
+- Wiki `Architecture-and-Code-Map`、`Local-Development-and-Verification`、`Delivery-Documentation-Guide` 及对应 `docs/` 镜像：运行链、构建验证和现场交付说明。
+
+## 验收结果
+
+| 验收标准 | 结果 |
+|---|---|
+| 干净环境按单一命令生成 Windows amd64 交付包 | 通过；固定工具链构建目录和 ZIP |
+| 包不包含 node_modules、构建缓存、真实秘密或客户数据 | 通过；包审计及源码残留检查通过 |
+| start 读取 config/sense.env，进程环境优先且不执行内容 | 通过；自动化覆盖优先级、特殊字符和注入非执行 |
+| production 检查 PostgreSQL、迁移、端口和 MediaMTX | 通过；隔离 PostgreSQL 17 与 MediaMTX 包 smoke 通过 |
+| demo 与 production 明确隔离 | 通过；独立配置且数据库名必须含 demo/test |
+| 提供安全初始化、密码修改、停止、备份和恢复步骤 | 通过；脚本、包内说明与长期 Wiki 已更新 |
+
+最终 ZIP：`Sense/dist/sense-windows-amd64.zip`，大小 56,455,903 字节，SHA-256 `B500982BD566005DC8876A418C26A75BCABE41F498D10E3DAD286A71C92F0241`。包内 `VERSION.txt` 记录实现提交 `b66c39724c42b9e63891d06a41fb4a87c8c3f6c7`，包含 #92、#95 的旧库兼容修复、白屏修复及已验收 #97 的免验证码登录。
+
+## 测试
+
+- `go test ./...`、`go vet ./...`、`go build ./...`：通过。
+- `go test -race ./app/sense/media ./cmd/api`：通过。
+- PowerShell 包测试：21 项断言通过，覆盖配置注入不执行、特殊字符、环境优先级、demo 数据库隔离、不支持字段拒绝、HTML 本地资源正反例及全部脚本语法。
+- `Sense/scripts/build/build-windows.ps1 -MediaMTXPath <已审核本机路径>`：通过；前端剩余 4 条非阻塞构建 warning；导致启动失败的 runtime 与 SCSS 导出 warning 已消除。
+- `Sense/scripts/build/test-package.ps1 -PackageRoot Sense/dist/sense-windows-amd64`：通过。
+- 隔离 PostgreSQL 17：空库 8 个迁移通过；首页、SPA fallback、`/healthz`、MediaMTX Control API、包外目录启动停止通过；119,630 字节 custom-format 备份及恢复到另一数据库通过。
+- `git diff --check`：通过。
+- `python dev_scripts/check_harness.py --strict`：未通过，原因仅为既存 `docs/task/66`、`docs/task/67` 缺少当前模板要求的“修改文件/未验证”章节；#70 未修改这两个既有归档，也未发现 #70 新增问题。
+- **未验证部分**：尚未在全新客户 Windows 机器、客户生产 PostgreSQL 账号、目标浏览器和真实获准摄像机上验收；Windows 服务化不在本工单范围。
+
+## 旧库交付回归
+
+- 真实迁移前已生成仓库外 PostgreSQL custom-format 备份与配置副本，备份通过 `pg_restore --list` 校验。
+- #92 成功把旧设备 `capabilities` 转为 JSONB；#95 继续兼容旧媒体路由 `path` 唯一约束和缺失运行态列。
+- 真实库 2 条媒体路由完整保留，运行态列无空值，`idx_sense_media_routes_path` 与设备/Profile 组合唯一索引均有效，媒体迁移版本已登记。
+- Web 首页、SPA、`/healthz`、MediaMTX Control API 均返回 200；停止脚本成功且 Sense/MediaMTX 监听端口全部清空。
+- PowerShell `Invoke-WebRequest` 在本机受代理环境影响而无法访问 loopback；使用明确绕过代理的本机 HTTP 客户端确认服务正常，该现象不属于 Sense 服务失败。
+
+
+## 白屏验收反馈修复
+
+- 用户运行发布包后访问生产入口出现白屏。只读诊断确认首页 HTML 返回 200，但现代浏览器请求的 `runtime.daef9028.js` 不在包内并返回 404；修复 runtime 内联配置后，浏览器继续暴露 GoAdmin `:export` 主题变量在 css-loader 6 下没有 JavaScript 导出的启动错误。
+- 删除不可靠的 runtime 内联插件配置，使现代与 legacy runtime 都作为独立文件进入产物；为 css-loader 启用不改写普通类名的 ICSS mode，保留 GoAdmin 原有 SCSS `:export` 变量模式。
+- 新增 `assert-web-assets.ps1`，构建阶段逐项核对 `index.html` 引用的本地 JS/CSS；缺失 runtime 的反例会直接使包构建失败。
+- Chromium 最终打开 `http://127.0.0.1:18080/` 并进入账号登录页；首屏 7 个 JS/CSS 全部返回 200，白屏和阻止 Vue 挂载的错误消失。测试完成后停止 Sense 与 MediaMTX，18080 无监听。
+- 浏览器仍观察到不阻塞首屏的既有 `/api/v1/app-config` 404 和上游默认百度统计请求；不属于本次白屏修复范围，未混入当前提交。
+
+## 遗留问题
+
+- Harness 严格检查的 #66/#67 既有归档格式问题需独立处理，不阻塞 #70 产品代码和交付包验证。
+- 客户环境验收需由实施人员使用脱敏测试账户和获准设备完成。
+
+## 相关提交
+
+- `6b79478` 建立 Sense Windows 交付包。
+- `e4544a0` 记录 Sense Windows 交付流程。
+- `4ca4abf` 修复 Windows 包白屏并增加静态资源闭环审计。
+
+
+## #97 集成与最终重打包（2026-08-16）
+
+- 将 `dev@116318df748ff0d46d3fe5f8a4f41a6507567eec` 合入 #70 分支，发布包现已包含 #97 的账号密码直接登录；登录页和登录载荷不再包含验证码字段或请求，兼容 captcha API 保留。
+- Windows PowerShell 构建在生成清单时暴露 `Get-FileHash` 模块自动加载依赖；改用 .NET `SHA256` 流式计算，避免客户构建环境因模块加载差异失败。实现提交：`b66c39724c42b9e63891d06a41fb4a87c8c3f6c7`。
+- 固定工具链构建通过；21 项包测试、Go 全量 test/vet、65 个 ZIP 清单文件逐项哈希、模板配置/无 node_modules 审计通过。
+- 使用仓库外配置备份完成真实 PostgreSQL 迁移、首页/SPA、MediaMTX、外部目录 start/stop smoke；测试后 18080/9997 无监听。本地解压目录恢复现场 `sense.env`，ZIP 内仍只含无秘密模板。
+- 首次在 PowerShell 7 下调用 smoke 的 `Invoke-WebRequest` 出现 loopback 超时；同一服务用 curl 返回 200，按交付目标的 Windows PowerShell 5.1 正式入口复测全部通过，确认不是 Sense 服务阻塞。
+- 新 ZIP：56,455,903 字节；SHA-256 `B500982BD566005DC8876A418C26A75BCABE41F498D10E3DAD286A71C92F0241`。
+
+
+## 人工验收
+
+- 2026-08-16：用户明确验收通过 #70。
+- #95 已先合入 `dev`，随后按依赖顺序合并 PR #89；`main` 保持不变。
@@ -0,0 +1,80 @@
+<!-- gitea-wiki-mirror:start -->
+generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
+wiki_page: Task-92-Sense旧设备能力JSONB兼容迁移
+wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Task-92-Sense%E6%97%A7%E8%AE%BE%E5%A4%87%E8%83%BD%E5%8A%9BJSONB%E5%85%BC%E5%AE%B9%E8%BF%81%E7%A7%BB.-
+wiki_revision: cbdcc65c2b7da74048713d49dcb4b49b47cec17e
+synchronized_at: 2026-08-15T07:30:56Z
+<!-- gitea-wiki-mirror:end -->
+
+# 92 Sense旧设备能力JSONB兼容迁移
+
+- 类型：缺陷
+- 所属 Epic：#7
+- 所属 MVP / 版本：#8
+- 状态：已完成
+- 日期：2026-08-15
+- Gitea 工单：https://git.ilapage.cn/ila/yovision/issues/92
+- Wiki 页面：Task-92-Sense旧设备能力JSONB兼容迁移
+- Wiki revision：见本地镜像头
+
+## 背景与目标
+
+用户通过 Windows 包启动 Sense 时，设备迁移报 PostgreSQL `SQLSTATE 42804`。只读诊断确认旧数据库的 `sense_devices.capabilities` 为 `text NOT NULL DEFAULT ''::text`，一条旧记录保存受支持的单值能力但不是 JSON；新模型要求 JSONB，GORM AutoMigrate 无法直接转换旧默认值和数据。
+
+目标是在不删除设备、不跳过迁移、不修改当前用户数据库的前提下，为旧 schema 提供确定性、可回滚的 JSONB 兼容迁移。
+
+## 最终方案
+
+在现有 `2026081414000` 设备迁移事务开头执行 PostgreSQL 专用兼容步骤。受影响数据库尚未登记该迁移版本，后置新版本无法越过失败点，因此兼容逻辑必须放在原失败迁移内。
+
+兼容步骤只处理既有 text/varchar 列：取得 ACCESS EXCLUSIVE 表锁，读取并验证全部旧值后才开始改变默认值和数据。空值转为 `[]`；六种受支持旧单值转为单元素 JSON 数组；合法字符串数组规范化后保持语义。未知单值、对象、非字符串数组、未知数组元素和超过 16 项的数组会返回不含业务值的错误，整个事务回滚。
+
+全部验证通过后删除旧 text 默认值，参数化更新规范 JSON，使用显式 `USING capabilities::jsonb` 转型并设置 `'[]'::jsonb` 默认值，再继续原有 GORM AutoMigrate、菜单、权限和迁移版本登记。非 PostgreSQL、表/列不存在以及已是 json/jsonb 时不执行旧值转换。
+
+## 修改文件
+
+- `Sense/server/cmd/migrate/migration/version/2026081414000_device.go`：事务内旧 text 能力验证、转换、锁表和 JSONB 默认值处理。
+- `Sense/server/cmd/migrate/migration/version/2026081414000_device_test.go`：纯函数和隔离 PostgreSQL 17 回归，包括完整设备迁移与版本登记。
+- Wiki `Troubleshooting`、`docs/06-troubleshooting.md`：备份、重试、未知旧值和回退说明。
+- `wiki-docs.json`、`docs/task/92-Sense旧设备能力JSONB兼容迁移.md`：任务归档登记和镜像。
+
+## 验收结果
+
+| 验收标准 | 结果 |
+|---|---|
+| 旧 text 默认值不再触发 SQLSTATE 42804 | 通过；隔离 PostgreSQL 重现结构成功转为 jsonb |
+| 旧单值无损转换为 JSONB 数组 | 通过；`video` 转为单元素数组 |
+| 空值与合法数组正确处理 | 通过；空字符串转空数组，合法数组保持顺序与值 |
+| 未知值拒绝且无半成品 | 通过；类型、默认值和已验证行均保持旧状态 |
+| 新库、jsonb 和重复执行兼容 | 通过；无表跳过、jsonb 重复调用无操作 |
+| 全量 Go 和迁移回归通过 | 通过 |
+| 当前用户数据库未被修改 | 通过；仅执行只读诊断，写测试使用独立数据库并在结束后删除 |
+| Wiki 与归档一致 | 受影响页面定向检查通过 |
+
+## 测试
+
+- `go test ./cmd/migrate/migration/version -run TestCanonicalLegacyCapabilities -count=1 -v`：通过。
+- 隔离 PostgreSQL 17 `TestDeviceCapabilitiesMigrationOnPostgres`：旧单值/空值/合法数组、未知值事务回滚、无表、重复调用、完整设备迁移和 `sys_migration` 登记全部通过。
+- 隔离数据库 `sense92_migration_test` 测试前确认不存在，测试后确认计数为 0。
+- `go test ./...`、`go vet ./...`、`go build ./...`：通过。
+- `go test -race ./cmd/migrate/migration/version -run TestCanonicalLegacyCapabilities -count=1`：通过。
+- `git diff --check`：通过。
+- 受影响 Wiki 定向同步与检查：通过。
+- **未验证部分**：按工单安全边界未在当前用户 `sense` 数据库执行写迁移，也未替换当前 `Sense/dist` 中的待验收 #70 二进制；需先备份，再部署包含 #92 的新包进行最终启动验收。全量 Wiki 检查仍会先发现待验收 PR #89 的 #70 镜像尚未合入 `dev`。
+
+## 用户验收
+
+- 用户于 2026-08-15 明确确认 `#92 验收通过`。
+- 实现 PR #93 已合入 `dev`，合并提交为 `eaa6ae081542b0b9c74cc2d92a9138639fdbe530`。
+- #92 已完成；真实数据库备份、交付包重建与启动回归继续在 #70 的交付闭环中执行。
+
+## 遗留问题
+
+- 当前交付包仍含 #92 修复前的 `sense.exe`。#92 合入 `dev` 后需让 #70 交付分支吸收该提交并重新打包，用户备份数据库后再运行迁移。
+- Harness strict 的 #66/#67 既有归档格式问题不属于本工单。
+
+## 相关提交
+
+- `68b436a` 兼容旧设备能力字段迁移。
+- `fe3badf` 覆盖旧设备完整迁移链。
+- `aee5f45` 记录设备能力迁移排错。
@@ -0,0 +1,80 @@
+<!-- gitea-wiki-mirror:start -->
+generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
+wiki_page: Task-95-Sense旧媒体路由唯一约束兼容迁移
+wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Task-95-Sense%E6%97%A7%E5%AA%92%E4%BD%93%E8%B7%AF%E7%94%B1%E5%94%AF%E4%B8%80%E7%BA%A6%E6%9D%9F%E5%85%BC%E5%AE%B9%E8%BF%81%E7%A7%BB.-
+wiki_revision: 5f3bdf3786f2a72dac5d29236ff466743e2912b5
+synchronized_at: 2026-08-16T11:31:47Z
+<!-- gitea-wiki-mirror:end -->
+
+# 95 Sense旧媒体路由唯一约束兼容迁移
+
+- 类型：缺陷
+- 所属 Epic：#7
+- 所属 MVP / 版本：#8
+- 状态：已完成
+- 日期：2026-08-15
+- Gitea 工单：https://git.ilapage.cn/ila/yovision/issues/95
+- Wiki 页面：Task-95-Sense旧媒体路由唯一约束兼容迁移
+- Wiki revision：见本地镜像头
+
+## 背景与目标
+
+#92 修复进入真实旧库后，设备能力字段已成功转换为 JSONB；下一条媒体迁移因 GORM 尝试删除不存在的推导约束名 `uni_sense_media_routes_path` 而报 SQLSTATE 42704。只读核对确认旧 `sense_media_routes.path` 实际由 PostgreSQL 自动命名约束 `sense_media_routes_path_key` 保证唯一，且表中已有 2 条路由。
+
+隔离回归越过约束错误后进一步确认，旧非空表缺少当前模型要求的运行态列，直接新增 `source_ready NOT NULL` 会报 SQLSTATE 23502。目标是在不删除路由、不削弱 path 唯一性、不伪造媒体已就绪的前提下完成旧表迁移。
+
+## 最终方案
+
+在现有 `2026081419000` 媒体迁移事务开头执行 PostgreSQL 专用兼容步骤。仅当旧表存在时取得 ACCESS EXCLUSIVE 锁，从 pg_catalog 读取包含 path 的唯一约束；只接受唯一的单列 `UNIQUE(path)`，复合、多重或冲突结构拒绝迁移并整体回滚。
+
+确认结构后，把数据库实际约束名规范为 GORM 能识别和移除的名称，让 AutoMigrate 转换为模型的 `idx_sense_media_routes_path` 唯一索引。锁在整个迁移事务提交前持续有效，因此约束切换期间没有并发写入窗口。
+
+兼容步骤同时为旧路由添加并回填当前模型要求的运行态列：`source_ready=false`、`failure_count=0`、`last_error_code=''`，随后设为 NOT NULL。保守初值表示服务启动后必须重新对账，不把旧路由冒充为已经就绪；`next_retry_at` 保持可空并由 AutoMigrate 建立。
+
+## 修改文件
+
+- `Sense/server/cmd/migrate/migration/version/2026081419000_media.go`：旧约束识别、规范化、锁表和运行态列兼容。
+- `Sense/server/cmd/migrate/migration/version/2026081419000_media_test.go`：隔离 PostgreSQL 旧表、非空路由、空库、无表、重复执行、唯一性和不安全结构回滚测试。
+- Wiki `Troubleshooting`、`docs/06-troubleshooting.md`：错误含义、备份、迁移、验证和回退步骤。
+- `wiki-docs.json`、`docs/task/95-Sense旧媒体路由唯一约束兼容迁移.md`：任务归档登记和镜像。
+
+## 验收结果
+
+| 验收标准 | 结果 |
+|---|---|
+| 旧约束名不再触发 SQLSTATE 42704 | 通过；隔离和真实 PostgreSQL 均完成媒体迁移 |
+| 既有媒体路由完整保留 | 通过；真实库迁移前后均为 2 条 |
+| path 始终具有唯一性保护 | 通过；迁移后 `idx_sense_media_routes_path` 唯一索引有效，重复 path 写入被拒绝 |
+| 无表、新库、已迁移库和重复兼容 | 通过 |
+| 不安全结构拒绝并回滚 | 通过；复合 path 约束夹具未发生部分变更 |
+| Go 全量与隔离 PostgreSQL 回归 | 通过 |
+| #70 Windows 包真实迁移与启动 smoke | 通过；Web/SPA/health/MediaMTX 200，停止后端口清空 |
+| Wiki 镜像与任务归档一致 | 通过 |
+
+## 测试
+
+- 隔离 PostgreSQL 17 `TestMediaMigrationOnPostgres`：旧 2 路由、旧约束、运行态回填、空库、无表、重复兼容、唯一性冲突和复合约束回滚全部通过；独立测试数据库每次运行后删除。
+- `go test ./...`、`go vet ./...`、`go build ./...`：通过。
+- `go test -race ./cmd/migrate/migration/version -run TestMediaMigrationOnPostgres -count=1`：使用隔离 PostgreSQL 通过。
+- #70 固定 Go 1.26.5、Node 22.22.1、pnpm 9.15.1 production build 与包审计通过。
+- 迁移前 PostgreSQL custom-format 备份通过 `pg_restore --list`；真实迁移完成，2 条旧路由保留、运行态列无空值、媒体迁移版本登记、唯一索引有效。
+- Web 首页、SPA、`/healthz` 与 MediaMTX Control API 均返回 200；`stop-sense.bat` 后相关端口无监听。
+- `git diff --check`：通过。
+- **未验证部分**：尚未在客户全新 Windows 主机、客户生产 PostgreSQL 账号和真实获准摄像机上验收；当前回归使用本机 PostgreSQL、脱敏业务计数和已配置测试摄像机环境。Harness strict 仍只受既存 #66/#67 归档格式影响。
+
+## 遗留问题
+
+- PowerShell `Invoke-WebRequest` 在本机受代理环境影响，访问 loopback 时失败；明确绕过代理的本机 HTTP 请求验证服务正常，不属于 Sense 服务端故障。
+- #95 需先经用户验收并合入 `dev`，随后 #70 才能按依赖顺序完成合并。
+
+## 相关提交
+
+- `3dd4890` 兼容旧媒体路由约束和运行态列迁移。
+- `6257859` 记录旧媒体路由迁移排错。
+- `c088caf` #70 集成 #95 后用于 Windows 包真实回归。
+
+
+## 人工验收
+
+- 2026-08-16：用户明确验收通过 #95。
+- 按依赖顺序先将 PR #96 合入 `dev`；`main` 保持不变。
@@ -0,0 +1,85 @@
+<!-- gitea-wiki-mirror:start -->
+generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
+wiki_page: Task-97-Sense免验证码登录与管理员密码重置
+wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Task-97-Sense%E5%85%8D%E9%AA%8C%E8%AF%81%E7%A0%81%E7%99%BB%E5%BD%95%E4%B8%8E%E7%AE%A1%E7%90%86%E5%91%98%E5%AF%86%E7%A0%81%E9%87%8D%E7%BD%AE.-
+wiki_revision: 486ebcca10e4cef0bd905df59b928c17006db17e
+synchronized_at: 2026-08-16T11:04:57Z
+<!-- gitea-wiki-mirror:end -->
+
+# 97 Sense免验证码登录与管理员密码重置
+
+- 类型：安全行为调整 / 缺陷修复
+- 所属 Epic：#7
+- 所属 MVP / 版本：#8
+- 状态：已完成
+- 日期：2026-08-15
+- Gitea 工单：https://git.ilapage.cn/ila/yovision/issues/97
+- Wiki 页面：Task-97-Sense免验证码登录与管理员密码重置
+- Wiki revision：见本地镜像头
+
+## 背景与目标
+
+GoAdmin 重建后的 Sense 登录页和生产后端重新启用了验证码，与用户确认的账号密码直接登录流程不一致。用户要求所有运行模式恢复免验证码登录，并把当前本地 PostgreSQL 的管理员账号设置为用户指定、满足现行 6–72 字节策略的密码；密码明文不得进入仓库、工单、Wiki 或日志。
+
+## 最终方案
+
+- 保留冻结 GoAdmin 的 Gin/GORM/JWT/Casbin `Authenticator`、登录路由、Vuex 登录动作、Element Plus 表单和同步身份审计。
+- 登录 DTO 只保留 `username/password`；production、test、dev 均不再校验验证码。
+- 登录页移除验证码字段、规则、图标、接口请求、失败刷新和样式；兼容保留 `/api/v1/captcha` 端点及上游存储初始化，便于回退。
+- Swagger 登录载荷同步为只要求账号和密码。
+- 修复失败认证分支未把用户名写入审计的问题，使错误密码尝试可按账号追踪。
+- 目标数据库起初没有任何用户，因此没有执行不安全的直接插入；使用一次性高熵进程令牌走既有 `/api/v1/bootstrap` 安全初始化路径创建 `admin`，密码只在进程内传递。随后验证正确密码成功、错误密码拒绝和成功/失败审计。
+- 密码最少 6 位、最多 72 字节且不强制字符复杂度的既有策略保持不变；JWT、RBAC、Cookie 和会话有效期未修改。
+
+## 修改文件
+
+- `Sense/server/common/middleware/handler/auth.go`：移除验证码校验并补齐失败登录用户名审计。
+- `Sense/server/common/middleware/handler/login.go`：登录载荷只保留账号和密码。
+- `Sense/server/common/middleware/handler/login_test.go`：覆盖无验证码登录载荷。
+- `Sense/server/docs/admin/admin_docs.go`、`admin_swagger.json`、`admin_swagger.yaml`：同步登录接口模型。
+- `Sense/ui/src/views/login/index.vue`：移除验证码 UI、请求和状态。
+- `Sense/ui/tests/unit/login/loginPage.spec.js`：覆盖登录页只使用账号密码。
+- Wiki `Product-Requirements`、`Local-Development-and-Verification` 及镜像：记录免验证码登录、安全审计和密码策略边界。
+
+## 验收结果
+
+| 验收标准 | 结果 |
+|---|---|
+| 登录页不显示验证码且不请求验证码接口 | 通过：组件状态、规则与方法均只含账号密码；生产构建通过 |
+| 所有模式接受仅账号密码的登录载荷 | 通过：后端不再按模式进入 captcha 校验，DTO 定向测试通过 |
+| 正确密码成功、错误密码拒绝并有脱敏审计 | 通过：本地 production/PostgreSQL smoke 成功；成功与失败审计均可按 admin 查询 |
+| JWT、RBAC、未登录拒绝不变 | 通过：未认证管理路由返回 401，全量后端测试通过 |
+| 密码策略仍为 6–72 字节 | 通过：现有密码策略测试通过，相关代码未修改 |
+| 管理员密码安全设置且仓库无明文 | 通过：空用户库经一次性 bootstrap 创建，跟踪差异秘密扫描无泄漏 |
+| 前后端测试和 production build | 通过 |
+
+## 测试
+
+- `go test ./...`：通过。
+- `go vet ./...`：通过。
+- `go build ./...`：通过。
+- `corepack pnpm@9.15.1 exec eslint src/views/login/index.vue tests/unit/login/loginPage.spec.js`：通过。
+- 前端全量单测：17 个 suite、46 个 test 通过。
+- `corepack pnpm@9.15.1 run build:prod`：通过；存在既有 Sass、SCSS export、代码生成器和体积 warning，未由本工单引入。
+- production/PostgreSQL/MediaMTX smoke：安全初始化成功、免验证码登录成功、错误密码拒绝、未认证接口返回 401；身份审计包含首个管理员创建、登录成功和登录失败记录。
+- `python -m unittest discover -s tests -v`：31 项通过。
+- `python dev_scripts/check_harness.py --strict`：只因既有 #66/#67 归档缺少当前模板章节失败 4 项，与本工单修改无关。
+- `git diff --check` 与跟踪差异密码扫描：通过。
+- 测试结束后 Sense、MediaMTX 均已停止，18080/9997 无监听；`Sense/ui/node_modules` 与 `Sense/ui/dist` 已清理。
+- **未验证部分**：尚未在 #70 最终 Windows ZIP、客户全新 Windows 主机和客户目标浏览器中重新打包验收；#70 与 #97 合入 `dev` 后需重新生成发布包。
+
+## 遗留问题
+
+- 验证码 API 为上游兼容而保留但登录链不使用；若未来永久删除，需单独清理工单核对依赖和回退。
+- 取消验证码降低自动化暴力尝试阻力；本工单按用户确认保留失败登录审计，但未引入未确认的限流或锁定体系。
+
+## 相关提交
+
+- `0bbdb27f6db4f9d08445ca02abae9061c81598b8` 恢复免验证码登录并补充测试。
+- `bc1a01848d1769250b706f207d542b63fee2afa6` 更新 Sense 登录安全边界镜像。
+
+
+## 人工验收
+
+- 2026-08-16：用户明确验收通过 #97。
+- 按工作流将 PR #98 合入 `dev`；`main` 保持不变。
@@ -0,0 +1,79 @@
+<!-- gitea-wiki-mirror:start -->
+generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件)
+wiki_page: Task-99-Sense登录页只读配置接口
+wiki_url: https://git.ilapage.cn/ila/yovision/wiki/Task-99-Sense%E7%99%BB%E5%BD%95%E9%A1%B5%E5%8F%AA%E8%AF%BB%E9%85%8D%E7%BD%AE%E6%8E%A5%E5%8F%A3.-
+wiki_revision: 7d0dd9b216e443b00a97f021d49678b848006db9
+synchronized_at: 2026-08-16T15:41:39Z
+<!-- gitea-wiki-mirror:end -->
+
+# 99 Sense登录页只读配置接口
+
+- 类型：缺陷修复 / GoAdmin 路由精简回归
+- 所属 Epic：#7
+- 所属 MVP / 版本：#8
+- 状态：已完成
+- 日期：2026-08-16
+- Gitea 工单：https://git.ilapage.cn/ila/yovision/issues/99
+- Wiki 页面：Task-99-Sense登录页只读配置接口
+- Wiki revision：见本地镜像头
+
+## 背景与目标
+
+用户启动 #70 Windows 发布包后，登录页弹出 `Request failed with status code 404`。只读诊断确认首页、runtime JS 和兼容 captcha 端点均为 200，唯一失败请求是登录页在 created 阶段发出的 `GET /api/v1/app-config`。
+
+冻结 go-admin-ui 使用该匿名接口取得系统名称等登录外壳展示配置；Sense 后端保留了 `SysConfig.Get2SysApp` handler，但在最小化默认模块时没有注册此路由。目标是恢复这一个只读端点，同时继续禁用系统配置管理和写接口。
+
+## 最终方案
+
+- 在现有 `registerBaseRouter` 中单独注册匿名 `GET /api/v1/app-config`，直接复用 GoAdmin `SysConfig.Get2SysApp`。
+- 不调用上游完整 `registerSysConfigRouter`，因此 `/api/v1/config`、`/api/v1/configKey` 和 `/api/v1/set-config` 不会随之开放。
+- handler 继续只查询 `is_frontend=1` 的配置并返回标准响应；没有前端配置时返回空对象和业务码 200。
+- 保持 #97 的免验证码登录、JWT、RBAC、Cookie、密码策略和 captcha 兼容端点不变。
+- 基于实现提交重新生成 Windows 包，恢复仓库外备份的现场配置，并重新启动 Sense/MediaMTX。
+
+## 修改文件
+
+- `Sense/server/app/admin/router/sys_router.go`：恢复登录外壳必需的匿名只读 app-config 路由。
+- `Sense/server/app/admin/router/sys_router_test.go`：锁定公开端点和八个仍禁用的配置管理路由。
+- Wiki `Architecture-and-Code-Map` 及镜像：记录匿名只读例外与配置管理禁用边界。
+- `wiki-docs.json` 与本任务镜像：登记任务归档。
+
+## 验收结果
+
+| 验收标准 | 结果 |
+|---|---|
+| 匿名 app-config 返回 HTTP 200 和标准结构 | 通过：HTTP 200、业务码 200 |
+| 登录页不再出现该 404 | 通过：真实 Edge 页面 app-config 200，错误消息数 0 |
+| 配置 CRUD/configKey/set-config 未启用 | 通过：GET/PUT 定向 smoke 均为 404 |
+| 免验证码登录与认证边界不变 | 通过：登录页仅账号和密码，无验证码文本；后端全量测试通过 |
+| Go 与 Windows 包测试 | 通过 |
+| ZIP 无秘密、node_modules 或客户数据 | 通过：构建内置包审计通过，ZIP 使用模板配置 |
+| Wiki、归档与证据完整 | 通过 |
+
+## 测试
+
+- `go test ./app/admin/router -run TestRegisterBaseRouterExposesOnlyFrontendAppConfig -count=1`：通过。
+- `go test ./...`、`go vet ./...`、`go build ./...`：通过。
+- Windows PowerShell 包测试：21 项断言通过。
+- 固定 Go 1.26.5、Node 22.22.1、pnpm 9.15.1 production build 与 11 个 HTML 本地资源审计通过；存在既有 4 条非阻塞构建 warning。
+- 真实运行：`GET /api/v1/app-config` 为 HTTP 200/业务码 200；配置 CRUD、configKey、set-config GET/PUT 均为 404。
+- Headless Edge：进入 `/#/login?redirect=/dashboard`；app-config 200；错误消息 0；仅账号、密码两个输入；无验证码文本、失败请求或页面异常。
+- 新 ZIP：56,457,323 字节；SHA-256 `A98EB70B709BBA546F4968723E4F89CE44DAF412FCC426869820FB7454CB3CC7`；包内 `source_commit=713c9e4e3003088e29aafcf1fdd3bd87078ec394`。
+- 测试后 Sense 与 MediaMTX 已使用恢复的现场配置重新启动，监听 18080/9997。
+- `git diff --check` 与 Wiki 定向同步检查：通过。
+- **未验证部分**：尚未在客户全新 Windows 主机、客户生产 PostgreSQL 账号和客户目标浏览器中验收；本轮使用当前机器 PostgreSQL、Microsoft Edge 和现有脱敏配置验证。
+
+## 遗留问题
+
+- 无本工单阻塞项。
+
+## 相关提交
+
+- `713c9e4e3003088e29aafcf1fdd3bd87078ec394` 恢复登录页只读配置接口并增加负向路由测试。
+- `08b4b61` 记录登录外壳只读配置边界。
+
+## 人工验收
+
+- 用户于 2026-08-16 明确回复“#99 验收通过”。
+- PR #100 已合入 `dev`，合并提交：`34ee5ed619d122a8670dc50039578686a7a9ef66`。
+- 工单已按验收流程关闭；MVP #8 与 Epic #7 的子工单索引同步为完成。