feat(deploy): add Ubuntu 26.04 production package

2026-08-15 22:50:07 +08:00
parent 0a91cafc4e
commit 65eac893d8
28 changed files with 1101 additions and 4 deletions
@@ -6,6 +6,20 @@

 2026-08-15

+任务：生成 Ubuntu 26.04 LTS 云服务器部署版本。
+
+完成：新增独立 `infra/ubuntu` 生产部署包，采用 Nginx/管理后台、API、MySQL 8.4、Redis 7.4、私有 MinIO 的单机 Docker Compose 基线，仅发布 80/443。提供 Ubuntu 26.04 Docker 官方仓库安装、生产环境文件生成与 600 权限保护、TLS/域名/磁盘/Compose 预检、不可变镜像构建、数据服务初始化、migration、首次管理员初始化、HTTPS/readiness 冒烟、应用镜像回滚、MySQL 校验和备份、受控恢复和 systemd 每日备份定时器。API 生产镜像包含 Prisma migration 与管理员初始化产物且运行时不依赖 Corepack 下载；管理后台使用独立生产镜像和 Nginx HTTPS 网关。同步补充根目录、国内部署、发布清单与生产就绪文档，新增 D-024。
+
+范围：未改变业务架构、认证、数据库 schema、API 契约、权限、状态机或 V1.0 产品范围；没有把单机基线扩展为 Kubernetes、微服务或多租户。部署包是可复现交付，不代表真实生产发布条件已经满足。
+
+验证：全仓格式检查、Lint、类型检查、28 个单元测试、38 个真实 MySQL 集成测试和生产构建全部通过；测试库 12 个 migration 无待执行项，小程序 28 个页面完整性与运行时依赖门禁通过。Ubuntu Compose 配置、全部 Bash 脚本语法、22 个控制器权限扫描和 npm 官方 High 级依赖审计通过；MySQL、Redis、MinIO、MinIO Client 的固定镜像标签均可拉取；API 与管理后台生产镜像构建通过，最终镜像内 Prisma 7.9.1 可直接执行，管理端静态资源完整且双域名 HTTPS Nginx 配置通过真实 `nginx -t`。
+
+遗留：部署前仍需用户提供两个已备案合法 HTTPS 域名及 TLS 证书、微信 AppID/AppSecret 与合法域名配置，并在真实服务器确认防火墙、安全组、DNS、告警接收方和异地加密备份目标；随后执行 staging、恢复演练、UAT 和生产发布审批。当前未使用示例域名或测试密钥冒充生产配置。
+
+---
+
+2026-08-15
+
 任务：发布前安全与环境配置加固并重新同步仓库。

 完成：在既有未提交安全改动基础上完成复核和修正。审计增加原始会话 token 防御性剥离；后台写请求使用精确 Origin 或无 Origin 时的完整 Referer origin 校验，不允许前缀或通配来源；管理 Cookie 仅在 Secure 模式附加 Partitioned，避免本地 HTTP 丢失登录态；私有上传签名由 600 秒缩短到 120 秒；台账导出审计补充关键词条件；数据库启动只记录已完成 migration 数量与最新名称，不把运行时日志冒充待部署校验。小程序开发版保留 localhost 回环调试，体验版/正式版拒绝回环、`0.0.0.0` 和非 HTTPS API，防止不安全发布配置。
@@ -285,6 +285,20 @@ Excel 在管理端浏览器本地读取和生成，API 只接收固定结构、

 ---

+## D-024 Ubuntu 26.04 初期生产采用可迁移单机 Compose 基线
+
+状态：ACCEPTED
+
+决定：为用户已准备的 Ubuntu 26.04 LTS 云服务器提供独立 Linux 部署包。初期拓扑在单机 Docker Compose 内运行 Nginx/管理后台、模块化单体 API、MySQL 8.4、Redis 7.4 和私有 MinIO，仅向宿主机发布 80/443；管理后台/API 与签名文件服务使用两个不同的合法 HTTPS 域名。数据、对象和缓存使用独立持久卷，生产环境文件以 600 权限保存在 `/etc/lehuo`，数据库每日备份并生成 SHA-256。
+
+API 与管理后台镜像使用批准的 Git commit 作为不可变标签并可本机构建；固定执行预检、构建、迁移前备份、migration、部署、HTTPS/readiness 冒烟和观察。应用回滚只允许切换到本机存在的上一不可变镜像，不自动回滚数据库。自建 MinIO 继续通过既有 S3 Adapter 接入，未来可替换为腾讯 COS 或其他 S3 兼容私有存储，不改变业务服务。
+
+该基线是可部署交付，不代表生产发布条件已满足。真实域名/备案/TLS、微信配置、staging、UAT、告警接收、异地加密备份、恢复演练和发布审批仍按 D-016 阻断；单机部署不扩展为 Kubernetes、微服务或多租户架构。
+
+原因：在不改变批准技术栈和 V1 边界的前提下，为现有 Ubuntu 云服务器提供可复现、可备份、可回滚的最低复杂度部署路径，并保持未来迁移到托管 MySQL/Redis/COS 的能力。
+
+---
+
 ## 待确认建议

 Codex 若有会改变已批准架构的建议，只能写在这里，不得直接实施：
@@ -153,3 +153,15 @@ CI 自动化测试。
 - 审核材料

 微信平台规则可能变化，因此上线前必须重新查官方文档，不得只依赖本文件。
+
+---
+
+## 10. Ubuntu 26.04 单机部署基线
+
+- Ubuntu 26.04 LTS 使用 Docker 官方 apt 仓库安装 Docker Engine 与 Compose plugin，不使用生产环境不推荐的 convenience script。
+- 初期单机拓扑采用 Docker Compose：Nginx/管理后台、API、MySQL 8.4、Redis 7.4 和私有 MinIO；仅发布 80/443，其他服务不映射宿主机端口。
+- 管理后台/API 与对象存储使用两个不同的合法 HTTPS 域名；对象存储保持私有 Bucket、版本控制、精确管理端 CORS 和 120 秒签名 URL。
+- API 和管理后台镜像以批准的 Git commit 作为不可变标签，本机构建不使用 `latest`；发布顺序仍为预检、构建、备份、migration、部署、冒烟和观察。
+- 环境文件固定保存到 `/etc/lehuo/lehuo.env` 且权限为 600；TLS、备份和发布状态分别保存在 `/opt/lehuo/shared`、`/opt/lehuo/backups` 和 `/opt/lehuo/releases`。
+- 每日备份由 systemd timer 执行并生成 SHA-256；本机 30 天保留不替代异地加密备份和季度独立库恢复演练。
+- 完整资产与执行命令见 `infra/ubuntu/README.md`。该基线只提供可部署版本，不代表真实 staging、UAT、微信联调或 production approval 已完成。
@@ -50,8 +50,13 @@
 - [x] health
 - [x] monitor
 - [x] alert
+- [ ] Ubuntu 26.04 host preflight pass
+- [ ] only 80/443 exposed by host/cloud firewall
+- [ ] TLS certificate covers admin/API and file domains
 - [ ] backup
 - [x] restore procedure
+- [ ] offsite encrypted backup configured
+- [ ] systemd backup timer verified
 - [ ] rollback image available

 ## UAT
@@ -66,6 +66,8 @@ Phase 0–7 的可自动化开发与本地生产工程验证已完成。当前

 当前证据：统计/导出、health/metrics、权限扫描、官方依赖审计、密钥扫描、CodeQL 工作流、备份/恢复脚本、Nginx、immutable image Compose、预检/冒烟和告警规则已完成；本地恢复演练源库与恢复库均为 42 张表。真实 staging、UAT、告警接收和生产发布尚未执行，因此本退出条件仍未满足。

+2026-08-15 补充 Ubuntu 26.04 单机部署包：增加 Docker 官方源安装、生产 Compose、管理后台/API 镜像、双域名 TLS、私有 MySQL/Redis/MinIO、Linux 预检、migration、备份恢复、初始管理员、systemd 定时备份、HTTPS 冒烟与应用回滚。该交付仅关闭“Ubuntu 可执行部署资产”差距，不改变真实域名、微信、staging、UAT、告警接收、异地备份和发布审批阻断项。
+
 ## 3. 需要人工或外部环境配合

 以下内容不能用测试值替代正式验收：