chore: 恢复旧布局基线（迁移改动丢失后重建，apps/packages 布局暂存）

server/internal/docs/content/09-security.md

@@ -0,0 +1,35 @@
+连生产库的工具，安全必须是默认项。OpsxDB 的安全设计围绕一句话：**数据不出你的机器。**
+
+## 本地优先
+
+- 连接配置、查询历史、主题偏好全部保存在本机；
+- 无账号体系、无遥测、无云端同步；
+- 后端默认只监听 `127.0.0.1`，对外服务需要显式配置（`OPSXDB_BIND_PUBLIC=1` 或 `OPSXDB_ADDR`）。
+
+## 凭据保护
+
+| 层面 | 机制 |
+| --- | --- |
+| 存储 | 连接密码在本机混淆存储，不落明文 |
+| 传输 | 连接建立后，后续查询只携带 `sessionId`，账密不再每次上送 |
+| 会话 | 会话在服务端维护，可主动关闭（连接断开即失效） |
+
+## 加密通道
+
+**SSL / TLS**：每个连接可独立开启；数据库支持 TLS 即可启用（MySQL、PostgreSQL、SQL Server、Redis、MongoDB 均支持）。
+
+**SSH 隧道**：数据库在跳板机后时，配置 SSH 字段组，OpsxDB 先建隧道再转发数据库连接 —— 库端口不必暴露公网。
+
+## 危险操作防护
+
+- DROP / TRUNCATE 执行前确认；
+- 无 WHERE 的 UPDATE / DELETE 执行前确认；
+- 结果集按阈值截断，避免误操作拖垮界面。
+
+## 内网部署形态
+
+单二进制 + 内置静态页（官网 / 文档 / 工作台），无外部依赖：
+
+- 任意内网主机可部署；
+- 无外联请求，可在纯内网环境运行；
+- 升级即替换一个二进制。