chore: 统一本地服务器与远程仓库源码

- 合并 main 与 master 历史并以服务器结构为基线
- 保留迁移、数据保留、AWS 账单与部署安全能力
- 建立 SDD 规格和 CI 验证闭环

deploy/kubernetes/README.md

@@ -11,11 +11,11 @@ AIOps 平台在 Kubernetes 上的部署清单（Go/Gin 后端 + go:embed 前端
 | 文件 | 说明 |
 |------|------|
 | `namespace.yaml` | `devops` 命名空间 |
-| `secret.yaml` | MySQL/JWT 密码（Secret） |
+| `secret.yaml` | MySQL/JWT Secret 模板（部署前必须注入随机值） |
 | `configmap.yaml` | 后端 `config.yaml`（ConfigMap） |
-| `mysql.yaml` | MySQL 8.0 StatefulSet + Headless Service + 10Gi 持久卷 |
-| `redis.yaml` | Redis 7 StatefulSet + Headless Service + 2Gi 持久卷 |
-| `deployment.yaml` | AIOps Deployment（embed 单端口 8080）+ NodePort Service (30080) |
+| `mysql.yaml` | MySQL 8.0 Deployment + Service + 10Gi 持久卷 |
+| `redis.yaml` | Redis 7 Deployment + Service + 2Gi 持久卷 |
+| `deployment.yaml` | AIOps Deployment、NodePort Service (30080) 和 MySQL/Redis NetworkPolicy |
 | `pvc-aiops-data.yaml` | local 模式 PVC：`sqlite3.db` / `redka.db` 与 `/app/aiops` 同级 |
 | `ingress.yaml` | Ingress：所有流量 → aiops:8080（含 WebSocket 支持） |
 
@@ -35,7 +35,7 @@ AIOps 平台在 Kubernetes 上的部署清单（Go/Gin 后端 + go:embed 前端
                  ┌──────────────┼──────────────┐
                  ▼                             ▼
            MySQL 8.0                    Redis 7
-         (StatefulSet)               (StatefulSet)
+         (Deployment)                (Deployment)
          mysql:3306                  redis:6379
          10Gi PV                     2Gi PV
 ```
@@ -72,14 +72,16 @@ AIOps 平台在 Kubernetes 上的部署清单（Go/Gin 后端 + go:embed 前端
 cd deploy/kubernetes
 
 kubectl apply -f namespace.yaml
+# 先生成随机密钥并替换 secret.yaml 的 REPLACE_WITH_* 占位符，勿提交真实值。 // Logan.Li
+# openssl rand -hex 32
 kubectl apply -f secret.yaml
 kubectl apply -f configmap.yaml
 kubectl apply -f pvc-aiops-data.yaml
 kubectl apply -f mysql.yaml
 kubectl apply -f redis.yaml
 
-kubectl -n devops rollout status statefulset/mysql
-kubectl -n devops rollout status statefulset/redis
+kubectl -n devops rollout status deployment/mysql
+kubectl -n devops rollout status deployment/redis
 
 # 构建镜像（Mac/Linux 均可，按 TARGETARCH 自动选架构）
 cd ../..
@@ -114,8 +116,9 @@ kubectl -n devops logs -f deployment/aiops
 # 进入应用容器
 kubectl -n devops exec -it deployment/aiops -- bash
 
-# 进入 MySQL
-kubectl -n devops exec -it mysql-0 -- mysql -uaiops -paiops_pass_2026 aiops
+# 进入 MySQL（密码从本地 Secret 读取，避免出现在 shell 历史中）
+MYSQL_PASSWORD="$(kubectl -n devops get secret aiops-secret -o jsonpath='{.data.mysql-password}' | base64 -d)"
+kubectl -n devops exec -it deployment/mysql -- mysql -uaiops -p"$MYSQL_PASSWORD" aiops
 
 # 滚动更新（换镜像 tag 后）
 kubectl -n devops set image deployment/aiops aiops=lghost/aiops:v1.5.0 --record
@@ -140,12 +143,19 @@ kubectl -n devops get pvc
 
 | 项目 | 来源 | 值 |
 |------|------|----|
-| MySQL 业务账号 | Secret `aiops-secret` | 用户 `aiops` / 密码 `aiops_pass_2026` / 库 `aiops` |
-| MySQL root | Secret `aiops-secret` | `aiops_root_2026` |
-| JWT | Secret `aiops-secret` | `aiops-jwt-secret-key-2026` |
+| MySQL 业务账号 | Secret `aiops-secret` | 用户 `aiops` / `mysql-password` 键 / 库 `aiops` |
+| MySQL root | Secret `aiops-secret` | `mysql-root-password` 键 |
+| JWT | Secret `aiops-secret` | `jwt-secret` 键 |
 | Redis | 无密码 | db `0` |
 
-> ⚠️ 生产环境请修改 `secret.yaml` 和 `configmap.yaml` 中的默认密码。
+> ⚠️ `secret.yaml` 只包含不可用的占位符。部署前须通过受控 Secret 管理系统或本地安全通道填充随机值；ConfigMap 不得保存密码和 JWT。
+
+## 安全基线
+
+- 应用容器以 UID/GID `10001` 运行，移除了 `hostNetwork` 和 Docker Socket 挂载。
+- SQLite/redka 与 uploads 分别通过 PVC 持久化；不要以 `emptyDir` 替代 uploads PVC。
+- `deployment.yaml` 中的 NetworkPolicy 保护 MySQL/Redis 的集群内入口。应用同时接收集群外 Agent 上报，待明确 Ingress 与 Agent 出口 CIDR 后，再增加应用 Pod 的严格入站策略。
+- 使用 Ingress 时应创建 TLS Secret 并配置 HTTPS；NodePort 仅适合受防火墙保护的内网运维入口。
 
 ## 资源限额