# 部署配置安全审计报告

**审计日期**: 2026-08-01  
**审计范围**: `docker-compose.yml`、`docker.sh`、`_inst.sh`、`_setup.*.sh`、`.env.example`  
**代码版本**: dev_qing 分支

---

## 修复进度

| 优先级 | 总数 | 已修复 | 待修复 |
|--------|------|--------|--------|
| P0 | 1 | 0 | 1 |
| P1 | 2 | 0 | 2 |
| P2 | 3 | 0 | 3 |

---

## 🔴 P0 — 严重问题

### P0-1: WAF 规则默认全部注释，WAF 形同虚设
- **位置**: `waf/rules/local/custom.conf`
- **问题**: 所有 WAF 安全规则默认被注释掉：
  ```
  # SecRule ... SQL 注入规则...
  # SecRule ... XSS 规则...
  ```
  部署后 WAF 实际不拦截任何攻击，恶意请求直接透传到后端
- **修复建议**:
  1. 启用核心规则集（SQLi、XSS、命令注入等关键规则）
  2. docker.sh 启动时检测规则是否启用，若全注释则打印警告
  3. 异常模式先运行一周，观察误报后切换到拦截模式

---

## 🟠 P1 — 高危问题

| # | 问题 | 位置 | 说明 |
|---|------|------|------|
| P1-1 | 默认密钥/密码需检查 | `.env.example`、各 `_set.sh` | 确认没有硬编码的默认数据库密码、API Key |
| P1-2 | Docker 容器权限过高 | `docker-compose.yml` | 检查是否使用 `--privileged`、是否挂载了敏感目录（`/etc`、`/root`） |

---

## 🟡 P2 — 中危问题

| # | 问题 |
|---|------|
| P2-1 | Docker 镜像未指定非 root 用户运行 |
| P2-2 | 没有健康检查配置，异常服务不会自动重启 |
| P2-3 | 数据库文件/配置文件未配置定期备份 |

---

## ✅ 已有安全机制

1. ✅ **端口绑定限制**: 内部服务（db、confs、smtp、captcha、pymsg 服务）均绑定 `127.0.0.1`，不对外暴露
2. ✅ **Docker Compose 编排**: 容器化部署，环境一致性
3. ✅ **.env.example 模板**: 环境变量配置模板，不硬编码密钥
4. ✅ **独立 Docker 网络**: 服务间通过内部网络通信
5. ✅ **waf 前置**: 所有公网流量先经过 WAF 再到 gateway

---

## 修复路线图

### 立即（24小时）
- [ ] 启用 WAF 核心规则（关键攻击类型）

### 短期（72小时）
- [ ] 检查所有默认密码/密钥
- [ ] 容器非 root 用户运行
- [ ] 移除不必要的 privileged 权限

### 中期
- [ ] 添加健康检查配置
- [ ] 自动备份策略
- [ ] Docker 镜像安全扫描