chore: 统一本地服务器与远程仓库源码

- 合并 main 与 master 历史并以服务器结构为基线
- 保留迁移、数据保留、AWS 账单与部署安全能力
- 建立 SDD 规格和 CI 验证闭环

docs/deployment.md

@@ -160,9 +160,14 @@ mysql:8.0  +  redis:7-alpine  +  aiops (Dockerfile)
 环境变量（可选）：
 
 ```bash
-VERSION=v1.5.0 MYSQL_PASSWORD=xxx ./run.sh docker up
+cp .env.example .env
+chmod 600 .env
+# 填写 MYSQL_ROOT_PASSWORD、MYSQL_PASSWORD、JWT_SECRET 后再启动
+VERSION=v1.5.0 ./run.sh docker up
 ```
 
+Compose 不再为密码或 JWT 提供不安全默认值；缺少任一必要值会拒绝启动。MySQL/Redis 端口仅绑定本机回环地址，Docker Socket 不会挂载给 AIOps 容器。
+
 ### 推送镜像
 
 ```bash
@@ -172,12 +177,14 @@ VERSION=v1.5.0 MYSQL_PASSWORD=xxx ./run.sh docker up
 
 ### 连接外部数据库
 
-使用 `docker-compose.k8s.yml`（仅单应用容器，挂载 `backend/config.external.yaml`）：
+使用 `docker-compose.k8s.yml`（仅单应用容器，连接外部 MySQL/Redis）：
 
 ```bash
 VERSION=v1.5.0 docker compose -f docker-compose.k8s.yml up -d --build
 ```
 
+该方式要求在 `.env`（权限 `600`）提供 `DATABASE_HOST`、`DATABASE_USER`、`DATABASE_PASSWORD`、`REDIS_HOST` 和 `JWT_SECRET`；uploads 使用命名卷持久化。
+
 ### 管理命令
 
 ```bash
@@ -268,10 +275,12 @@ K8s 探针使用 `/version`。
 ## 生产配置建议
 
 1. **数据库**：生产使用 MySQL + Redis（`MODE=release`），local 模式仅适合单副本
-2. **JWT Secret**：更换默认密钥
-3. **版本**：生产环境 pin 镜像 tag（`lghost/aiops:v1.5.0`），避免使用 `:dev`
-4. **HTTPS**：Ingress 或前置 Nginx 终止 TLS
-5. **备份**：定期备份 MySQL 数据和 PVC
+2. **Secret**：通过 Secret 管理系统或权限为 `600` 的 `.env` 注入数据库密码和至少 32 字节 JWT；不得提交真实值
+3. **运行身份**：镜像默认以非 root UID `10001` 运行；不得恢复 Docker Socket 或 `hostNetwork` 挂载
+4. **持久化**：备份 MySQL 数据、SQLite/redka PVC 和 uploads PVC，并定期验证恢复
+5. **网络**：K8s 的 `deployment.yaml` 内置 MySQL/Redis NetworkPolicy；在收集 Ingress/Agent 出口 CIDR 后继续收紧 AIOps 入站规则
+6. **版本**：生产环境 pin 镜像 tag（`lghost/aiops:v1.5.0`），避免使用 `:dev`
+7. **HTTPS**：Ingress 或前置 Nginx 终止 TLS
 
 ---
 
@@ -283,4 +292,4 @@ K8s 探针使用 `/version`。
 | `Dockerfile` | embed 单容器镜像（推荐） |
 | `docker-compose.yml` | MySQL + Redis + AIOps |
 | `deploy/kubernetes/deployment.yaml` | K8s Deployment + NodePort |
-| `.gitignore` | 忽略 `aiops`、`backend/aiops*` 等编译产物 |
+| `.gitignore` | 忽略 `aiops`、`backend/aiops*` 等编译产物 |