- build.sh 第 12 步跑 security_check.py --warn-only(不阻断部署,打印清单); CI 可直接调脚本本体做硬门禁(A/B/D/E 返回 1) - 新增 [E] 类:白名单放行的定时任务端点必须自带 client_ip=localhost 校验, 防止白名单本身变成漏洞 - 静态资源目录通配(/rag/imgs/ 等)与 token 鉴权代理加入白名单,消除永久噪音
- build.sh 第 12 步跑 security_check.py --warn-only(不阻断部署,打印清单); CI 可直接调脚本本体做硬门禁(A/B/D/E 返回 1) - 新增 [E] 类:白名单放行的定时任务端点必须自带 client_ip=localhost 校验, 防止白名单本身变成漏洞 - 静态资源目录通配(/rag/imgs/ 等)与 token 鉴权代理加入白名单,消除永久噪音