yumoqing fb853ca350 security: security_check.py 挂进 build.sh + 新增 E 类检查
- build.sh 第 12 步跑 security_check.py --warn-only(不阻断部署,打印清单);
  CI 可直接调脚本本体做硬门禁(A/B/D/E 返回 1)
- 新增 [E] 类:白名单放行的定时任务端点必须自带 client_ip=localhost 校验,
  防止白名单本身变成漏洞
- 静态资源目录通配(/rag/imgs/ 等)与 token 鉴权代理加入白名单,消除永久噪音
2026-08-25 15:01:44 +08:00
..