.gitignore

@@ -103,3 +103,4 @@
_tmp_codexhome/
# Codex åº”用在本仓库根目录产生的产物目录（保留在本地，不入库）
outputs/
traffic-audit-server/config/application.yml

 docs/¹¦ÄܲâÊÔ±¨¸æ/¹¦ÄܲâÊÔ±¨¸æ_ÃÜÔ¿Íⲿ»¯Óë´ò°üÈ¥ÃÜ_2026-09-26.md

New file
@@ -0,0 +1,74 @@
# åŠŸèƒ½æµ‹è¯•æŠ¥å‘Šï¼šå¯†é’¥å¤–部化与打包去密（2026-09-26）

> æ—¥æœŸï¼š2026-09-26　模块：配置/打包（traffic-audit-server é…ç½®åˆ†å±‚ + .gitignore + éƒ¨ç½²è¯´æ˜Žï¼‰ã€€æµ‹è¯•äººï¼šCodex
> èµ·å› ï¼šæ£€æŸ¥éƒ¨ç½²åŒ… `E:\试验\traffic-audit-deploy-20260913` æ—¶å‘现——外层 `backend/application.yml` æ˜¯å¹²å‡€çš„占位版，但 **jar å†…置的 `BOOT-INF/classes/application.yml` é‡Œå¸¦ç€çœŸå®žå¯†é’¥**（DeepSeek API key、本机数据库口令、JWT å¯†é’¥ï¼‰ã€‚

## ä¸€ã€åŠŸèƒ½è¯´æ˜Žï¼ˆæ”¹åŠ¨ï¼‰

1. **进 jar çš„配置一律占位符**：`traffic-audit-server/src/main/resources/application.yml`
   - `spring.datasource.url: ${TRAFFIC_DB_URL:...}`、`username: ${TRAFFIC_DB_USER:root}`、`password: ${TRAFFIC_DB_PASSWORD:}`（默认空）
   - `jwt.secret: ${TRAFFIC_JWT_SECRET:traffic-audit-dev-jwt-secret-change-me}`
   - `deepseek.api-key: ${DEEPSEEK_API_KEY:}`（默认空）
   â†’ æ‰“包出的 jar **不再包含任何真实密钥**。
2. **本机开发的真实值单独放**：新建 `traffic-audit-server/config/application.yml`（保存数据库口令、JWT、DeepSeek key），
   Spring Boot é»˜è®¤åŠ è½½ `file:./config/application.yml`，优先级高于 classpath çš„同名配置 â†’ æœ¬æœº `mvn spring-boot:run` è¡Œä¸ºä¸å˜ã€‚
   è¯¥æ–‡ä»¶å·²åŠ å…¥ `.gitignore`（第 106 è¡Œï¼‰ï¼Œ**既不进仓库、也不进 jar**。
3. **部署说明补充**：`docs/打包部署说明.md` å¢žåŠ "密钥与配置"一节（含服务器上轮换 key çš„步骤）。

## äºŒã€æµ‹è¯•çŽ¯å¢ƒ

后端 `mvn -q spring-boot:run -f traffic-audit-server/pom.xml`（8090）；MySQL æœ¬æœº `localhost:3308/traffic_audit`；账号 admin/123456。

## ä¸‰ã€ç”¨ä¾‹è¡¨

| ç¼–号 | è¾“å…¥ | é¢„期 | å®žé™… | ç»“论 |
| --- | --- | --- | --- | --- |
| TC-1 | å¯åŠ¨åŽç«¯ï¼ˆæœ¬æœºè¦†ç›–文件存在） | æ­£å¸¸å¯åŠ¨ | æ—¥å¿—出现 `Started TrafficAuditApplication` | é€šè¿‡ |
| TC-2 | `POST /api/auth/login`（admin/123456） | åº“口令取自 `config/application.yml` | ç™»å½•æˆåŠŸã€è¿”回 token（若覆盖文件未生效，占位符默认空口令会连不上库） | é€šè¿‡ |
| TC-3 | `POST /api/llm/chat`（"只回复两个字：收到"） | DeepSeek key å–自 `config/application.yml` | HTTP 200、回答"收到" | é€šè¿‡ |
| TC-4 | è¿› jar çš„ `application.yml` å†…容 | æ— çœŸå®žå¯†é’¥ | ä¸‰å¤„均为 `${...}` å ä½ç¬¦ï¼ˆå£ä»¤ä¸Ž api-key é»˜è®¤ç©ºï¼‰ | é€šè¿‡ |
| TC-5 | `git check-ignore` | æœ¬æœºçœŸå®žé…ç½®ä¸è¿›åº“ | `.gitignore:106 traffic-audit-server/config/application.yml` | é€šè¿‡ |
| TC-6 | `git grep -E "sk-[A-Za-z0-9]{16,}"` | è·Ÿè¸ªæ–‡ä»¶é‡Œæ— å¯†é’¥ | æ— å‘½ä¸­ï¼ˆå¦ï¼š09-23 å‰æ ¸æŸ¥è¿‡ git åŽ†å²ä¹Ÿæ— å‘½ä¸­ï¼‰ | é€šè¿‡ |
| TC-7 | ä»“库内两份部署模板（`deploy/.../backend/application.yml`、`_deploytest/application.yml`） | æ— çœŸå®žå¯†é’¥ | å‡ä¸ºã€Œè¯·æ”¹æˆä½ çš„数据库密码」+ `api-key: ""` | é€šè¿‡ |

## å››ã€å‘现的问题与处置

1. **jar å†…置配置带真实密钥**（本次根因）：Spring Boot å¤–部配置优先级更高，所以线上运行时用的是外部值、功能上没受影响；但 jar å¯è§£åŽ‹ï¼Œæ˜Žæ–‡å¯†é’¥å°±åœ¨é‡Œé¢ï¼ˆäºŒè¿›åˆ¶é‡Œæœä¸åˆ° `sk-` æ˜¯å› ä¸ºè¢« zip åŽ‹ç¼©ï¼Œè§£åŽ‹å³è§ï¼‰ã€‚
   â†’ å·²æŒ‰ä¸Šè¿°æ–¹æ¡ˆæ ¹æ²»ï¼š**以后打包不会再把密钥打进 jar**。
2. **已带出去的那份 jar æ— æ³•æ”¶å›ž**：里面的 key ä»åœ¨ã€‚处置建议（必须做）：
   - åˆ° DeepSeek æŽ§åˆ¶å°**新建一个 key å¹¶åˆ é™¤æ—§çš„**（旧 key ç«‹å³å¤±æ•ˆï¼Œjar é‡Œçš„那份就废了）；
   - åŽ»é‚£å°æœåŠ¡å™¨ä¸ŠæŠŠå¤–部 `backend/application.yml` çš„ `deepseek.api-key` æ¢æˆæ–° key（或直接留空，AI åˆ†æžå°±ä¸ç”¨ï¼‰ï¼›
   - é‡å¯åŽç«¯ï¼ˆ`start-backend.cmd`），在页面点一次 AI åˆ†æžç¡®è®¤å¯ç”¨ã€‚
3. æœ¬æœºæ•°æ®åº“ root å£ä»¤åŒæ ·åœ¨æ—§ jar é‡Œï¼šè‹¥é‚£å°æœåŠ¡å™¨ç”¨è¿‡åŒä¸€å£ä»¤ï¼Œå»ºè®®ä¸€å¹¶æ”¹æŽ‰ï¼ˆéƒ¨ç½²æ¨¡æ¿æœ¬æ¥å°±è¦æ±‚现场改）。

## äº”、结论

配置分层改造完成并通过 7 æ¡ç”¨ä¾‹ï¼šè¿› jar çš„只有占位符，真实值仅存在于本机未跟踪文件或环境变量；本机开发与线上部署行为均未退化。轮换 key çš„步骤已写入部署说明。

## å…­ã€ç¬¬äºŒè½®ï¼ˆåŒæ—¥æ™šï¼Œç”¨æˆ·åŒæ„åŽè¿½åŠ ï¼‰ï¼šæœ¬æœºä¹Ÿä¸ç•™æ˜Žæ–‡

1. **本机真实值改为 Windows ç”¨æˆ·çŽ¯å¢ƒå˜é‡**（不再落文件）：
   ```powershell
   setx TRAFFIC_DB_PASSWORD "本机 MySQL å£ä»¤"
   setx DEEPSEEK_API_KEY   "DeepSeek key"
   ```
   `traffic-audit-server/config/application.yml` æ”¹æˆ"只有说明、无明文"的注释文件（值全部由环境变量提供）。
2. **start-dev.ps1 åŠ æ³¨å†Œè¡¨å…œåº•**：若当前 shell æ˜¯æ—§è¿›ç¨‹ã€æ‹¿ä¸åˆ°æ–°è®¾å˜é‡ï¼Œåˆ™ä»Ž `HKCU\Environment` è¯»å–并注入后端进程，避免"文件里没有、环境变量也读不到"的空档。
3. **清理仓库内含 key çš„历史文件**（未跟踪/已忽略，非提交内容）：
   | æ–‡ä»¶ | å‘½ä¸­ |
   | --- | --- |
   | `_shots/all_events.json` | 13 å¤„ |
   | `_dep_readme.txt` | 1 å¤„ |
   â†’ å…¨éƒ¨æ›¿æ¢ä¸º `sk-REDACTED`，复查全仓库**已无明文 key**。

### è¿½åŠ ç”¨ä¾‹

| ç¼–号 | è¾“å…¥ | é¢„期 | å®žé™… | ç»“论 |
| --- | --- | --- | --- | --- |
| TC-8 | `start-dev.ps1`（在未继承新变量的 shell é‡Œï¼‰ | è‡ªåŠ¨ä»Žæ³¨å†Œè¡¨è½½å…¥ | è¾“出"已从用户环境变量载入 TRAFFIC_DB_PASSWORD / DEEPSEEK_API_KEY" | é€šè¿‡ |
| TC-9 | å¯åŠ¨åŽç™»å½• `admin/123456` | åº“口令取自环境变量 | ç™»å½•æˆåŠŸã€token 156 å­—符 | é€šè¿‡ |
| TC-10 | `POST /api/llm/chat` | key å–自环境变量 | HTTP 200、回答"收到" | é€šè¿‡ |
| TC-11 | å…¨ä»“库扫描 `sk-[A-Za-z0-9]{16,}` | æ— æ˜Žæ–‡ | æ¸…理后复查为 0 | é€šè¿‡ |
| TC-12 | `traffic-audit-server/config/application.yml` | æ— æ˜Žæ–‡ | ä»…注释说明（值走环境变量） | é€šè¿‡ |

> è¯´æ˜Žï¼šçŽ¯å¢ƒå˜é‡æœ¬èº«ä»æ˜¯æœ¬æœºæ˜Žæ–‡ï¼ˆå­˜åœ¨æ³¨å†Œè¡¨ `HKCU\Environment`），适合单机开发；协作/生产请用部署机外部配置或密钥管理工具。轮换 key ä»æ˜¯æ ¹æ²»æ³„露的唯一手段。

 docs/¹¤×÷ÈÕ½á/¹¤×÷ÈÕ½á_2026-09-26.md

New file
@@ -0,0 +1,45 @@
# å·¥ä½œæ—¥ç»“_2026-09-26

## ä¸€ã€ä»Šå¤©åšäº†ä»€ä¹ˆ

### 1. æ£€æŸ¥åŒäº‹æœ€è¿‘提交与部署包安全

- å…¬å¸ gitea `main` ä¸Žæœ¬åœ°ä¸€è‡´ï¼ˆ`ecf2b3c`），09-24~09-26 æ— æ–°æäº¤ï¼›åŒäº‹æœ€è¿‘两条是 09-23 çš„ `e5faa88`、`3b68e9e`。服务器实为 Gitblit（无可用 REST API），以 `git ls-remote` ä¸ºå‡†ã€‚
- æ£€æŸ¥ `E:\试验\traffic-audit-deploy-20260913`：
  - å¤–层 `backend/application.yml` é…çš„是 `127.0.0.1:3306/traffic_audit`、root、密码占位符、`api-key: ""`（干净）；
  - **但 jar å†…ç½® `BOOT-INF/classes/application.yml` å¸¦çœŸå®žå¯†é’¥**（DeepSeek key、本机库口令 3308/root/123456、JWT å¯†é’¥ï¼‰ã€‚
  - git å±‚面是干净的：`application.yml` ä¸Ž `_shots/` éƒ½è¢« gitignore，`git grep`/`git log -S` å‡æ— å‘½ä¸­ã€‚

### 2. é…ç½®åˆ†å±‚改造（打包去密）

- è¿› jar çš„ `src/main/resources/application.yml` å…¨éƒ¨æ”¹ä¸ºå ä½ç¬¦ï¼ˆ`${TRAFFIC_DB_*}`、`${DEEPSEEK_API_KEY:}`、`${TRAFFIC_JWT_SECRET:...}`）；
- æœ¬æœºçœŸå®žå€¼ç§»åˆ° `traffic-audit-server/config/application.yml`（Spring çš„ `file:./config/` ä¼˜å…ˆçº§æ›´é«˜ï¼‰ï¼Œå¹¶åŠ å…¥ `.gitignore`；
- `docs/打包部署说明.md` å¢žåŠ "密钥与配置"一节（分层表 + æ‰“包前自查 + éƒ¨ç½²æœºæ¢ key + è½®æ¢æ­¥éª¤ï¼‰ã€‚

### 3. éªŒè¯

- åŽç«¯å¯åŠ¨ OK；登录成功（证明库口令取自本机覆盖文件，否则占位符空口令连不上）；`/api/llm/chat` è¿”回"收到"（证明 DeepSeek key å–自本机覆盖文件）；
- `git grep` ç¡®è®¤è·Ÿè¸ªæ–‡ä»¶ä¸­æ—  `sk-` å¯†é’¥ï¼›ä»“库内两份部署模板均为占位版。

### 4. æœ¬æœºåŽ»æ˜Žæ–‡ + æ¸…理历史密钥（用户同意后）

- æœ¬æœºçœŸå®žå€¼æ”¹ä¸º **Windows ç”¨æˆ·çŽ¯å¢ƒå˜é‡**（`setx TRAFFIC_DB_PASSWORD` / `setx DEEPSEEK_API_KEY`），`config/application.yml` æ”¹æˆæ— æ˜Žæ–‡è¯´æ˜Žæ–‡ä»¶ï¼›
- `start-dev.ps1` å¢žåŠ **注册表兜底**：旧 shell ä¹Ÿèƒ½è‡ªåŠ¨è½½å…¥çŽ¯å¢ƒå˜é‡ï¼ˆå®žæµ‹è¾“出"已从用户环境变量载入 â€¦"）；
- æ¸…理仓库内含 key çš„未跟踪文件：`_shots/all_events.json`（13 å¤„）、`_dep_readme.txt`（1 å¤„）→ æ›¿æ¢ä¸º `sk-REDACTED`，全仓复查无明文；
- å½“前服务已用新方式重启：登录 OK + AI å›žç­”"收到"，功能无回归。

## äºŒã€æµ‹è¯•ç»“果摘要

- æŠ¥å‘Šï¼š`docs/功能测试报告/功能测试报告_密钥外部化与打包去密_2026-09-26.md`（7 æ¡ç”¨ä¾‹å…¨é€šè¿‡ï¼‰ã€‚

## ä¸‰ã€é—留问题与待办

1. **【仍需用户操作】轮换已泄露的 DeepSeek key**（本机与仓库已无明文，但旧 jar é‡Œçš„那份还没作废）：控制台新建 key â†’ åˆ é™¤æ—§ key â†’ éƒ¨ç½²æœºå¤–部 `application.yml` å¡«æ–° key â†’ é‡å¯éªŒè¯ã€‚æ—§ jar æ— æ³•æ”¶å›žï¼Œè½®æ¢æ˜¯å”¯ä¸€æ ¹æ²»æ‰‹æ®µã€‚
2. æœ¬æœºæ•°æ®åº“ root å£ä»¤ï¼ˆ123456）同样在旧 jar é‡Œï¼Œå»ºè®®éƒ¨ç½²æœºæ¢å£ä»¤ã€‚
3. ä¸‹æ¬¡é‡æ–°æ‰“包给部署机时，建议按 `打包部署说明.md` çš„自查步骤确认 jar å†…无真实值，并顺带同步部署包内的旧母版（P2-5）。
4. é¡¹ç›®å…¶å®ƒé—留（P0/P1/P2）见 `docs/交接文档_2026-09-21.md` ç¬¬ 4 èŠ‚与 `docs/交接文档_2026-09-23.md`。

## å››ã€æ˜Žå¤©è®¡åˆ’

1. è§†ç”¨æˆ·å®‰æŽ’推进 P0：亿元投资项目按月追列（P0-2）、导出前基数体检 + ç¼ºå¤±æ¸…单页（P0-3）、2026-06/09 æ¯ç‰ˆï¼ˆP0-4）。
2. æ±‡æ€»å¤§è¡¨ 304 æ ¼ã€Œ2025 ç´¯è®¡åˆ—少加 7、8 æœˆã€æ¸…空（业务已确认口径）。

 docs/´ò°ü²¿Êð˵Ã÷.md

@@ -219,3 +219,51 @@

- **2026-09-13**：新增一键打包脚本 `package-deploy.py`；jar æ”¹ä¸ºå†…嵌前端（部署机不再需要 nginx）；删除 Redis ç›¸å…³è¯´æ˜Žï¼ˆä»£ç æœªä½¿ç”¨ï¼‰ï¼›è¡¥ `sql_wyc.sql` ä¸Ž `summary.template-dir`；补 `jwt.secret` å–值规则；补部署后验证清单。
- 2026-08-27：首版（zip éƒ¨ç½²åŒ… + nginx æ–¹æ¡ˆï¼‰ã€‚

---

## å¯†é’¥ä¸Žé…ç½®ï¼ˆ2026-09-26 èµ·ï¼Œæ‰“包必读）

### åˆ†å±‚约定

| ä½ç½® | ç”¨é€” | æ˜¯å¦è¿› git | æ˜¯å¦è¿› jar |
| --- | --- | --- | --- |
| `traffic-audit-server/src/main/resources/application.yml` | è¿› jar çš„默认配置，**只有占位符**（`${TRAFFIC_DB_PASSWORD:}`、`${DEEPSEEK_API_KEY:}` ç­‰ï¼‰ | å¦ï¼ˆå·² gitignore，用 `application.yml.example` åšæ¨¡æ¿ï¼‰ | **是**（无真实值） |
| `traffic-audit-server/config/application.yml` | æœ¬æœºå¼€å‘真实值（库口令 / JWT / DeepSeek key） | å¦ï¼ˆå·² gitignore） | å¦ |
| jar åŒçº§çš„ `backend/application.yml` | éƒ¨ç½²æœºçœŸå®žå€¼ï¼ˆä¼˜å…ˆçº§é«˜äºŽ jar å†…置） | å¦ | å¦ï¼ˆåœ¨åŒ…外，现场填） |
| çŽ¯å¢ƒå˜é‡ `TRAFFIC_DB_PASSWORD` / `TRAFFIC_DB_USER` / `TRAFFIC_DB_URL` / `TRAFFIC_JWT_SECRET` / `DEEPSEEK_API_KEY` | è¦†ç›–以上任意一项 | å¦ | å¦ |

### æœ¬æœºå¼€å‘（值放环境变量，不落文件）

```powershell
setx TRAFFIC_DB_PASSWORD "本机 MySQL å£ä»¤"     # è®¾ä¸€æ¬¡å³å¯ï¼Œä¹‹åŽæ–°å¼€çš„终端自动带上
setx DEEPSEEK_API_KEY   "DeepSeek key"
# éœ€è¦æ—¶å†è¦†ç›–：setx TRAFFIC_DB_URL / TRAFFIC_DB_USER / TRAFFIC_JWT_SECRET

powershell -NoProfile -ExecutionPolicy Bypass -File start-dev.ps1   # ä¼šè‡ªåŠ¨ä»Žæ³¨å†Œè¡¨è¡¥é½å¹¶æ³¨å…¥åŽç«¯è¿›ç¨‹
```

- `traffic-audit-server/config/application.yml` åªç•™æ³¨é‡Šè¯´æ˜Žï¼ˆæ— æ˜Žæ–‡ï¼‰ï¼›åˆ æŽ‰å®ƒä¹Ÿä¸å½±å“ï¼ˆå€¼å…¨åœ¨çŽ¯å¢ƒå˜é‡é‡Œï¼‰ã€‚
- è‹¥ç”¨ IDE ç›´æŽ¥è·‘主类，请在**新开的**终端/IDE é‡Œå¯åŠ¨ï¼ˆè®©æ–°ç»ˆç«¯ç»§æ‰¿ç”¨æˆ·çŽ¯å¢ƒå˜é‡ï¼‰ï¼Œæˆ–手动 `setx` åŽé‡å¯ IDE。

### æ‰“包前自查（30 ç§’）

```powershell
# 1) ç¡®è®¤è¿› jar çš„配置没有真实密钥（应只看到 ${...}）
Select-String -Path traffic-audit-server\src\main\resources\application.yml -Pattern "password:|api-key:|secret:"
# 2) æ‰“完包后再验证一次 jar å†…部
python -c "import zipfile;print(zipfile.ZipFile('traffic-audit-server/target/traffic-audit-server-1.0.0-SNAPSHOT.jar').read('BOOT-INF/classes/application.yml').decode('utf-8'))" | Select-String "password:|api-key:"
```

### éƒ¨ç½²æœºä¸ŠåŠ /换 DeepSeek key

1. æ‰“包上传后，编辑 **jar åŒçº§**的 `backend/application.yml`：`deepseek.api-key: "你的新key"`（留空则页面 AI åˆ†æžä¸å¯ç”¨ï¼Œå…¶ä½™åŠŸèƒ½æ­£å¸¸ï¼‰ï¼›
2. é‡å¯åŽç«¯ï¼š`start-backend.cmd`（或 `java -jar traffic-audit-server-1.0.0-SNAPSHOT.jar`）；
3. é¡µé¢é‡Œç‚¹ä¸€æ¬¡ AI åˆ†æžç¡®è®¤å¯ç”¨ï¼›
4. **不要**去改 jar å†…部的配置（改了下次发包就丢），也不要把 key æäº¤è¿›ä»»ä½•ä»“库文件。

### è½®æ¢ï¼ˆä½œåºŸï¼‰å·²æ³„露的 key

1. ç™»å½• DeepSeek æŽ§åˆ¶å° â†’ API Keys â†’ æ–°å»ºä¸€ä¸ª key；
2. åˆ é™¤/禁用旧 key（旧 key ç«‹åˆ»å¤±æ•ˆï¼Œæ­¤å‰æ‰“包带出去的 jar é‡Œé‚£ä»½å³ä½œåºŸï¼‰ï¼›
3. æŒ‰ä¸Šé¢ç¬¬ 1~3 æ­¥æŠŠæ–° key å¡«åˆ°éƒ¨ç½²æœºçš„外部配置并重启验证。

 start-dev.ps1

@@ -12,6 +12,19 @@
$root = Split-Path -Parent $MyInvocation.MyCommand.Path
$webDir = Join-Path $root 'traffic-audit-web'

# ---------- å¯†é’¥ï¼šä»Ž Windows ç”¨æˆ·çŽ¯å¢ƒå˜é‡è¡¥é½ï¼ˆçœŸå®žå€¼ä¸è½æ–‡ä»¶ï¼‰----------
# è‹¥å½“前 shell æ˜¯æ—§è¿›ç¨‹ã€æ‹¿ä¸åˆ°æ–°è®¾çš„变量，则从注册表 HKCU\Environment è¯»ä¸€æ¬¡ï¼Œ
# ä¾›åŽç«¯å­è¿›ç¨‹ç»§æ‰¿ï¼ˆé¿å…"密钥不在任何文件里、又读不到环境变量"的空档）。
foreach ($name in @('TRAFFIC_DB_PASSWORD', 'DEEPSEEK_API_KEY', 'TRAFFIC_DB_URL', 'TRAFFIC_DB_USER', 'TRAFFIC_JWT_SECRET')) {
  if (-not [Environment]::GetEnvironmentVariable($name, 'Process')) {
    $val = [Environment]::GetEnvironmentVariable($name, 'User')
    if ($val) {
      [Environment]::SetEnvironmentVariable($name, $val, 'Process')
      Write-Host "已从用户环境变量载入 $name"
    }
  }
}

function Test-PortListening($port) {
  try {
    $c = Get-NetTCPConnection -LocalPort $port -State Listen -ErrorAction Stop