M4 加固检查归档（本地工程环境）

日期：2026-10-23。用户确认当前没有生产环境，因此本轮只归档本地工程环境。依据 deploy/mlps-hardening-checklist.md v0.1 逐项审查。本归档由代理记录本机工程验证，未替部署负责人/安全负责人签字，也未对未知生产环境勾选通过。☑ 表示本地已验证，☐ 表示需要部署环境证据，N/A 表示当前 R1 不适用。完整执行结果见 M4 记录。

原编号	检查项	状态	实际证据与边界
1.1	生产环境与 Cookie 配置	☐	生产强制 JWE、非 HTTPS 启动 WARN 已有回归；真实部署配置待核对
1.2	对外只暴露反向代理 443	☐	未提供生产代理/安全组；不把本地 loopback 当作生产边界
1.3	metrics/调试端点不对公网开放	☑ 本地	指标强制 loopback；非法地址拒绝测试、业务 listener 404、进程抓取通过；生产网络仍待核对
1.4	配置与 Secret 不进入镜像/仓库	☐	演练凭证仅环境传递，dump 临时私有目录已清理；生产 Secret 挂载待核对
1.5	无通用默认管理员口令	☑ 工程	初始化显式执行，随机夹具独立清理；初始化/首次改密走真实 E2E；生产账号待部署方确认
2.1	TLS 1.2+ 与 cipher 策略	☐	httptest TLS 仅证明测试链路；生产证书与协议策略待查
2.2	HSTS	☐	须按真实域名与代理策略验收
2.3	代理协议转发	☐	未执行真实生产代理验证
3.1	数据库内网/最小权限	☐	Docker 测试使用管理账号创建隔离库，不能作为生产运行账号基线
3.2	Redis 认证/网络隔离	☐	本机专用回归不代表生产已启用认证
3.3	对象存储私有桶/授权下载	N/A	R1 未启用生产文件存储，不宣称认证
3.4	NTP	☐	宿主机与数据库服务时钟同步需部署方证据
4.1	日志凭证脱敏	☑ 工程	HTTP 错误/日志脱敏、真实进程 DSN 不泄漏、指标标签不含敏感值均有回归
4.2	审计保留策略	☑ 工程，部署待验	保留策略与审计查询已有双库测试；生产配置/集中存储留存需部署方确认
4.3	可选日志外送	☐	已写 stdout JSON 采集说明，尚未接通生产日志平台
5.1	周期备份策略及 RPO/RTO	☐	提供停写/备份/恢复/回滚步骤；生产周期、异地位置和目标数值待提供
5.2	至少一次恢复演练	☑ 本地	MySQL 8.4.13/PostgreSQL 16.6，31 表全库逻辑恢复、旧版快照回滚及序列新增通过；真实生产仍待演练
6.1	主机补丁/最小安装	☐	未提供部署主机基线
6.2	防火墙/安全组	☐	未提供部署网络规则
6.3	堡垒机/SSH	☐	未提供运维访问环境

本轮另加入 Go 官方漏洞源码扫描与 CI 门槛；命名、合同、模块独立性和前端包检查归入 M4 发布报告。检查表尚有部署侧未验证项；本轮 M4 本地候选工程验收完成，生产部署验收未执行，不能据此宣布生产发布完成或二级等保通过。