feat(deploy): initialize authentication security secrets

2026-07-15 11:29:41 +08:00
parent 2a40ad91c8
commit 64bbf5c109
7 changed files with 238 additions and 4 deletions
@@ -106,7 +106,34 @@ CONFIG_MQ_VHOST=/

 # ========== 8. 鉴权与安全 ==========
 CONFIG_TOKEN_EXPIRE=1800
-CONFIG_JWT_SECRET='this is a very secret secret'
+# JWT 签名密钥。启动/升级脚本发现空值、历史默认值或不足 32 字节时会生成并持久化到 .env。
+# 也可手动生成：openssl rand -base64 48
+CONFIG_JWT_SECRET=
+
+# 后台 JWT 动态配置的 AES-256-GCM 独立主密钥，建议与 JWT 签名密钥分别生成。
+# 启动/升级脚本会为新部署生成；数据库中已有的 JWT 轮转配置优先，不会被覆盖。
+CONFIG_SECURITY_CONFIG_ENCRYPTION_KEY=
+
+# 验证码 HMAC、设备/指纹哈希和审计完整性密钥，由启动/升级脚本独立生成并持久化。
+CONFIG_OTP_HASH_SECRET=
+CONFIG_AUDIT_HASH_PEPPER=
+CONFIG_AUDIT_INTEGRITY_KEY=
+
+# 允许访问后端的浏览器 Origin，多个值用英文逗号分隔，生产环境禁止使用 *。
+# 域名部署示例：https://yourwebsite.com,https://www.yourwebsite.com
+CONFIG_SECURITY_ORIGIN=http://127.0.0.1:3010,http://localhost:3010
+
+# 可信反向代理 IP/CIDR，多个值用英文逗号分隔；未使用反向代理时保持为空。
+# 仅填写实际 Nginx/负载均衡地址，不要使用 0.0.0.0/0。
+CONFIG_TRUSTED_PROXY=
+
+# 完成身份冲突扫描和人工处置后才能启用手机号、邮箱和微信身份唯一索引。
+CONFIG_AUTH_UNIQUE_INDEXES_ENABLED=false
+
+# 仅在首次创建 admin 账号时使用；启动脚本会生成随机值并持久化到 .env。
+# 已存在 admin 的升级环境不会使用或修改现有管理员密码。
+CONFIG_INITIAL_ADMIN_PASSWORD=
+
 CONFIG_TOKEN_SIGN_SK=easyai2025easyai

 # ========== 9. 运维与调试 ==========