docs(security): 修正安全审计文档与代码不一致

- core: MQ kill/exec 实际未禁用，修正错误声明；HttpTask.cpp 行号 L53→L58
- gateway: 更新 20+ 处行号偏移（_KEYGEN/handleProxy/is_safe_target 等）
- aibox: shell=True 4处→3处，handle_connection/WebSocket 行号更新
- DEPS: WebSocketServer.cpp 已删除，fuzz 需求转移至 HttpServer_WsSession
- 加固计划: Phase 1.1 (127.0.0.1 绑定) 标记为已完成
- captcha/libhttp: 修正轻微行号偏移

docs/security/SECURITY_HARDENING_PLAN_20260803.md

@@ -3,7 +3,7 @@
 > 项目：qing/micro_servers（DIY 轻量微服务框架）
 > 场景：单机部署（所有服务同一台，仅 waf:443 对外）
 > 目标：在"单机 + 绑 127.0.0.1"基础上，补齐服务间认证与加密
-> 状态：计划 v1.0
+> 状态：计划 v1.0（阶段一部分完成）
 
 ---
 
@@ -55,7 +55,7 @@
 ### 阶段一：隔离加固（P0，先行）
 对齐"绑 127.0.0.1 + 只放行 443"的基线。
 
-- [ ] 1.1 检查并修改所有服务监听地址为 `127.0.0.1`（禁止 `0.0.0.0`）
+- [x] 1.1 检查并修改所有服务监听地址为 `127.0.0.1`（禁止 `0.0.0.0`）→ ✅ 已实现（db/confs/captcha/gateway/static/smtp/dnfs 均已绑定 127.0.0.1）
   - waf 例外：443 对外；但可考虑 waf 内部转发目标为 127.0.0.1:8443
 - [ ] 1.2 云安全组 / ufw：仅放行 TCP 443，其余端口公网关闭
   - 规则示例：`ufw default deny incoming` + `ufw allow 443/tcp`
@@ -126,7 +126,7 @@
 
 | 里程碑 | 内容 | 预估 |
 |--------|------|------|
-| M1 | 阶段一：隔离加固完成，对外仅 443 | 0.5 天 |
+| M1 | 阶段一：隔离加固完成，对外仅 443 | 0.5 天（127.0.0.1 已完成，剩余防火墙配置与验证） |
 | M2 | 阶段二：core 密钥注入 + 子进程读取 | 1 天 |
 | M3 | 阶段三：AES-GCM 库 + 接入全部服务 | 2-3 天 |
 | M4 | 回归测试 + 安全验证（篡改/伪造/重放） | 1 天 |