feat(deploy): add Ubuntu 26.04 production package

2026-08-15 22:50:07 +08:00
parent 0a91cafc4e
commit 65eac893d8
28 changed files with 1101 additions and 4 deletions
@@ -6,6 +6,20 @@

 2026-08-15

+任务：生成 Ubuntu 26.04 LTS 云服务器部署版本。
+
+完成：新增独立 `infra/ubuntu` 生产部署包，采用 Nginx/管理后台、API、MySQL 8.4、Redis 7.4、私有 MinIO 的单机 Docker Compose 基线，仅发布 80/443。提供 Ubuntu 26.04 Docker 官方仓库安装、生产环境文件生成与 600 权限保护、TLS/域名/磁盘/Compose 预检、不可变镜像构建、数据服务初始化、migration、首次管理员初始化、HTTPS/readiness 冒烟、应用镜像回滚、MySQL 校验和备份、受控恢复和 systemd 每日备份定时器。API 生产镜像包含 Prisma migration 与管理员初始化产物且运行时不依赖 Corepack 下载；管理后台使用独立生产镜像和 Nginx HTTPS 网关。同步补充根目录、国内部署、发布清单与生产就绪文档，新增 D-024。
+
+范围：未改变业务架构、认证、数据库 schema、API 契约、权限、状态机或 V1.0 产品范围；没有把单机基线扩展为 Kubernetes、微服务或多租户。部署包是可复现交付，不代表真实生产发布条件已经满足。
+
+验证：全仓格式检查、Lint、类型检查、28 个单元测试、38 个真实 MySQL 集成测试和生产构建全部通过；测试库 12 个 migration 无待执行项，小程序 28 个页面完整性与运行时依赖门禁通过。Ubuntu Compose 配置、全部 Bash 脚本语法、22 个控制器权限扫描和 npm 官方 High 级依赖审计通过；MySQL、Redis、MinIO、MinIO Client 的固定镜像标签均可拉取；API 与管理后台生产镜像构建通过，最终镜像内 Prisma 7.9.1 可直接执行，管理端静态资源完整且双域名 HTTPS Nginx 配置通过真实 `nginx -t`。
+
+遗留：部署前仍需用户提供两个已备案合法 HTTPS 域名及 TLS 证书、微信 AppID/AppSecret 与合法域名配置，并在真实服务器确认防火墙、安全组、DNS、告警接收方和异地加密备份目标；随后执行 staging、恢复演练、UAT 和生产发布审批。当前未使用示例域名或测试密钥冒充生产配置。
+
+---
+
+2026-08-15
+
 任务：发布前安全与环境配置加固并重新同步仓库。

 完成：在既有未提交安全改动基础上完成复核和修正。审计增加原始会话 token 防御性剥离；后台写请求使用精确 Origin 或无 Origin 时的完整 Referer origin 校验，不允许前缀或通配来源；管理 Cookie 仅在 Secure 模式附加 Partitioned，避免本地 HTTP 丢失登录态；私有上传签名由 600 秒缩短到 120 秒；台账导出审计补充关键词条件；数据库启动只记录已完成 migration 数量与最新名称，不把运行时日志冒充待部署校验。小程序开发版保留 localhost 回环调试，体验版/正式版拒绝回环、`0.0.0.0` 和非 HTTPS API，防止不安全发布配置。