docs: 记录 Sense 设备台账与凭据边界 (#65)

Local-Development-and-Verification.-.md

@@ -143,6 +143,18 @@ Remove-Variable bootstrapToken, bootstrapBody
 身份回归至少覆盖：admin 可管理账户及查看审计；implementation_operator 只能查看实施所需日志和字典支撑数据；site_admin 可维护账户并读取角色、部门、岗位、字典，但不能修改角色或菜单；viewer 不能访问管理接口。还要验证配置/接口管理路由返回 404、短密码被拒绝、6 位全小写密码可用，以及登录/登出/改密/拒绝审计中不含密码、令牌、Cookie 或验证码。身份审计直接写入 PostgreSQL，不依赖通用操作日志数据库开关。
 
 详细来源与安全约束见 `Sense/LICENSES/SOURCES.md` 和 `Sense/README.md`。
+
+设备台账启用凭据写入前，还必须在服务进程环境提供独立随机密钥；示例文件 `Sense/server/config/credential.env.example` 只保留空值：
+
+```powershell
+# 生成一次随机 32 字节密钥并以 Base64 形式注入当前进程；不要打印或写入仓库
+$keyBytes = New-Object byte[] 32
+[System.Security.Cryptography.RandomNumberGenerator]::Fill($keyBytes)
+$env:SENSE_CREDENTIAL_KEY = [Convert]::ToBase64String($keyBytes)
+[Array]::Clear($keyBytes, 0, $keyBytes.Length)
+```
+
+缺少或格式错误的密钥时，普通设备台账仍可读写，但凭据更新返回服务不可用且不得产生部分写入。设备回归至少覆盖：中文名称与位置、未知 JSON 字段拒绝、版本冲突返回 409、非视频设备显示适配器未就绪、viewer 只读、凭据响应/操作日志不含明文，以及 PostgreSQL 迁移重复执行不增加菜单或权限记录。
 <!-- sense-runtime:end -->