@alanwang-merit/meritdata-platform-skill-package 1.0.9 → 1.0.11

package/skills/meritdata-platform-crypto-gm/agents/openai.yaml

@@ -0,0 +1,15 @@
+display_name: "MeritData 国密"
+short_description: "SM2/SM3/SM4 国密算法与 KMS 加密机"
+default_prompt: |
+  meritdata-platform-crypto-gm 处理国密算法场景。
+
+  适用场景：
+  - SM2 非对称加解密
+  - SM3 摘要（密码存储）
+  - SM4 对称加解密
+  - KMS 硬件加密机对接
+
+  强制约束：
+  - 密钥必须来自 KMS 加密机
+  - 源码中不得出现密钥明文
+  - SM3 用于密码摘要（禁止明文存密码）

package/skills/meritdata-platform-crypto-gm/references/api-quick-ref.md

@@ -0,0 +1,39 @@
+# 国密 API 速查（7 方法）
+
+> 来源：基于公司研发攻略 05_二通用工具-2.1加解密-SM2-SM3-SM4（已并入本 skill）
+
+## SM2（非对称，3 方法）
+
+| 方法 | 签名 | 用途 |
+|------|------|------|
+| 加密 | `String encrypt(String publicKey, String plaintext)` | 用公钥加密 |
+| 解密 | `String decrypt(String privateKey, String cipher)` | 用私钥解密 |
+| 签名 | `String sign(String privateKey, String data)` | 用私钥签 |
+| 验签 | `boolean verify(String publicKey, String data, String sign)` | 用公钥验签 |
+
+**完整方法**：实际平台封装支持更多（如密钥对生成、cipher 解码等），详见 05 号文档。
+
+## SM3（哈希，2 方法）
+
+| 方法 | 签名 | 用途 |
+|------|------|------|
+| 加密 | `String encrypt(String plaintext)` | 哈希值（不可逆） |
+| HMAC | `String encryptHmac(String data, String key)` | 带密钥哈希 |
+
+## SM4（对称，2 方法）
+
+| 方法 | 签名 | 用途 |
+|------|------|------|
+| 加密 | `String encrypt(String key, String plaintext)` | 16 字节密钥 |
+| 解密 | `String decrypt(String key, String cipher)` | 同密钥解密 |
+
+---
+
+## 🚨 易错点
+
+| 算法 | 错误 | 正确 |
+|------|------|------|
+| SM2 | 公私钥混淆 | public 用于 encrypt/verify，private 用于 decrypt/sign |
+| SM4 | 密钥长度非 16 字节 | 严格 16 字节（hex 编码后 32 字符） |
+| SM3 | 把 hash 当加密用 | SM3 是单向哈希，不可解密 |
+| 全部 | 密钥硬编码 | Nacos 读 `meritdata.cloud.sm4-key` 等 |

package/skills/{meritdata-dev-docs-file-finder/references/dev-docs → meritdata-platform-crypto-gm/references/assets}/05_/344/272/214/351/200/232/347/224/250/345/267/245/345/205/267-2.1/345/212/240/350/247/243/345/257/206-SM2-SM3-SM4.md

@@ -1,176 +1,176 @@
----
-name: 二通用工具-2.1加解密-SM2-SM3-SM4
-source-file: 公共资产清单
-source-section: 二、通用工具类 → 2.1 SM2 SM3 SM4 加解密 L687-L835
-keywords: [SM2, SM3, SM4, 国密, Sm2Utils, Sm4Utils, SM3Encoder, encryptWithHMacMD5, 非对称加密, 对称加密, 哈希]
-use-cases: [电子签章, 合同加密, 数据签名, 密码哈希, 敏感数据加密存储]
-related: [15_外部接口-1.16组织人员同步.md, 16_外部接口-1.17资源数据密级.md]
----
-
-# 2.1 SM2 SM3 SM4 加解密
-
-> **原文章节**：`公共资产清单 → 二、通用工具类 → 2.1 SM2 SM3 SM4 加解密`
-> **行号范围**：L687-L835
-
-## 🎯 一句话
-平台国密套件包含 3 个工具类（Sm2Utils / SM3Encoder / Sm4Utils）共 7 个方法，覆盖非对称加密（SM2）、哈希（SM3）、对称加密（SM4），是电子签章场景的标配。
-
-## 📋 接口/方法清单
-
-### 2.1 SM2 SM3 SM4 加解密
-
-#### Sm2Utils
-
-##### 2.1.1 生成SM2密钥对
-
-完整包路径：`com.meritdata.cloud.utils.Sm2Utils`
-
-方法：`createSM2Key()`
-
-入参：无
-
-返回：MutablePair<String, String> (公钥, 私钥)
-
-使用场景：生成SM2密钥对用于数据加密传输
-
-示例：
-```java
-MutablePair<String, String> keyPair = Sm2Utils.createSM2Key();
-String publicKey = keyPair.getLeft();
-String privateKey = keyPair.getRight();
-```
-
-##### 2.1.2 SM2加密
-
-方法：`encrypt(data, publicKey)`
-
-入参：String data, String publicKey
-
-返回：String
-
-使用场景：SM2公钥加密，用于数据加密传输
-
-示例：
-```java
-String encrypted = Sm2Utils.encrypt(data, publicKey);
-```
-
-##### 2.1.3 SM2解密
-
-方法：`decrypt(data, privateKey)`
-
-入参：String data, String privateKey
-
-返回：String
-
-使用场景：SM2私钥解密，用于解密接收的加密数据，从header获取SM4密钥
-
-示例：
-```java
-// 从请求header获取SM4密钥
-String key = Sm2Utils.decrypt(request.getHeader("smPrivate"), meritdataCloudProperties.getSmPrivateKey());
-```
-
-#### SM3Encoder
-
-##### 2.1.4 SM3加密
-
-完整包路径：`com.meritdata.cloud.utils.SM3Encoder`
-
-方法：`encryptWithHMacMD5(str)` / `encode(str)`
-
-入参：String str
-
-返回：String
-
-使用场景：SM3哈希算法，用于数据完整性校验、密码加密
-
-**注意**：`SM3Encoder`没有`encrypt(str)`方法，应该使用`encryptWithHMacMD5(str)`或从`PasswordEncoder`接口继承的`encode(CharSequence)`方法
-
-示例：
-```java
-// 正确用法 - 使用encryptWithHMacMD5
-String hash = SM3Encoder.encryptWithHMacMD5(originalPassword);
-boolean matches = SM3Encoder.encryptWithHMacMD5(rawPassword).equals(hash);
-
-// 或者实现PasswordEncoder接口的encode方法
-String encoded = SM3Encoder.encode(rawPassword);
-```
-
-##### 2.1.5 SM3加密（带HMAC）
-
-方法：`encryptWithHMacMD5(src)`
-
-入参：String src
-
-返回：String
-
-使用场景：SM3带密钥的哈希运算
-
-示例：
-```java
-String sm3Data = SM3Encoder.encryptWithHMacMD5(word);
-```
-
-#### Sm4Utils
-
-##### 2.1.6 SM4加密（默认密钥）
-
-完整包路径：`com.meritdata.cloud.utils.Sm4Utils`
-
-常量：`SM4_KEY = "nXwqj7JVe@czbD4E"`
-
-方法：`encrypt(text)` / `encrypt(text, key)`
-
-入参：String text, String key(可选)
-
-返回：String
-
-使用场景：SM4对称加密，用于大量数据的加密存储
-
-示例：
-```java
-// 使用默认密钥加密
-String encrypted = Sm4Utils.encrypt(plainText);
-
-// 使用指定密钥加密
-String encrypted = Sm4Utils.encrypt(plainText, privateKey);
-
-// 加密用户数据
-handset = Sm4Utils.encrypt(handset, privateKey);
-email = Sm4Utils.encrypt(email, privateKey);
-```
-
-##### 2.1.7 SM4解密
-
-方法：`decrypt(encryptStr)` / `decrypt(encryptStr, key)` / `decrypt(encryptStr, sm4privateKey, privateKey, flag)`
-
-入参：String encryptStr, String key(可选), String sm4privateKey(可选), String flag(可选)
-
-返回：String
-
-使用场景：SM4对称解密，用于解密存储的加密数据
-
-示例：
-```java
-// 使用默认密钥解密
-String decrypted = Sm4Utils.decrypt(encryptStr);
-
-// 使用指定密钥解密
-String decrypted = Sm4Utils.decrypt(encryptStr, privateKey);
-
-// SM2解密后SM4解密 (flag="1"表示需要SM2解密)
-userNameDec = Sm4Utils.decrypt(username, key, "", "1");
-passwordDec = Sm4Utils.decrypt(password, key, "", "1");
-```
-
----
-
-## 💡 使用建议
-- **电子签章必须 SM2 + SM4 组合**：合同签署场景使用 SM2 签名 + SM4 加密传输正文，公私钥从 Nacos 配置 `meritdata.cloud.sm4-key` / SM2 公私钥对读取，**禁止硬编码**。
-- **SM3 没有 `encrypt()` 方法**：调用方常误写 `SM3Encoder.encrypt(password)`，正确调用是 `SM3Encoder.encryptWithHMacMD5(password)`。
-- **默认 SM4 密钥已内置**：`Sm4Utils.SM4_KEY = "nXwqj7JVe@czbD4E"`，二开测试可临时使用，生产必须替换为 Nacos 下发的密钥。
-
-## 🔗 相关章节
-- 15_外部接口-1.16组织人员同步.md
-- 16_外部接口-1.17资源数据密级.md
+---
+name: 二通用工具-2.1加解密-SM2-SM3-SM4
+source-file: 公共资产清单
+source-section: 二、通用工具类 → 2.1 SM2 SM3 SM4 加解密 L687-L835
+keywords: [SM2, SM3, SM4, 国密, Sm2Utils, Sm4Utils, SM3Encoder, encryptWithHMacMD5, 非对称加密, 对称加密, 哈希]
+use-cases: [电子签章, 合同加密, 数据签名, 密码哈希, 敏感数据加密存储]
+related: [15_外部接口-1.16组织人员同步.md, 16_外部接口-1.17资源数据密级.md]
+---
+
+# 2.1 SM2 SM3 SM4 加解密
+
+> **原文章节**：`公共资产清单 → 二、通用工具类 → 2.1 SM2 SM3 SM4 加解密`
+> **行号范围**：L687-L835
+
+## 🎯 一句话
+平台国密套件包含 3 个工具类（Sm2Utils / SM3Encoder / Sm4Utils）共 7 个方法，覆盖非对称加密（SM2）、哈希（SM3）、对称加密（SM4），是电子签章场景的标配。
+
+## 📋 接口/方法清单
+
+### 2.1 SM2 SM3 SM4 加解密
+
+#### Sm2Utils
+
+##### 2.1.1 生成SM2密钥对
+
+完整包路径：`com.meritdata.cloud.utils.Sm2Utils`
+
+方法：`createSM2Key()`
+
+入参：无
+
+返回：MutablePair<String, String> (公钥, 私钥)
+
+使用场景：生成SM2密钥对用于数据加密传输
+
+示例：
+```java
+MutablePair<String, String> keyPair = Sm2Utils.createSM2Key();
+String publicKey = keyPair.getLeft();
+String privateKey = keyPair.getRight();
+```
+
+##### 2.1.2 SM2加密
+
+方法：`encrypt(data, publicKey)`
+
+入参：String data, String publicKey
+
+返回：String
+
+使用场景：SM2公钥加密，用于数据加密传输
+
+示例：
+```java
+String encrypted = Sm2Utils.encrypt(data, publicKey);
+```
+
+##### 2.1.3 SM2解密
+
+方法：`decrypt(data, privateKey)`
+
+入参：String data, String privateKey
+
+返回：String
+
+使用场景：SM2私钥解密，用于解密接收的加密数据，从header获取SM4密钥
+
+示例：
+```java
+// 从请求header获取SM4密钥
+String key = Sm2Utils.decrypt(request.getHeader("smPrivate"), meritdataCloudProperties.getSmPrivateKey());
+```
+
+#### SM3Encoder
+
+##### 2.1.4 SM3加密
+
+完整包路径：`com.meritdata.cloud.utils.SM3Encoder`
+
+方法：`encryptWithHMacMD5(str)` / `encode(str)`
+
+入参：String str
+
+返回：String
+
+使用场景：SM3哈希算法，用于数据完整性校验、密码加密
+
+**注意**：`SM3Encoder`没有`encrypt(str)`方法，应该使用`encryptWithHMacMD5(str)`或从`PasswordEncoder`接口继承的`encode(CharSequence)`方法
+
+示例：
+```java
+// 正确用法 - 使用encryptWithHMacMD5
+String hash = SM3Encoder.encryptWithHMacMD5(originalPassword);
+boolean matches = SM3Encoder.encryptWithHMacMD5(rawPassword).equals(hash);
+
+// 或者实现PasswordEncoder接口的encode方法
+String encoded = SM3Encoder.encode(rawPassword);
+```
+
+##### 2.1.5 SM3加密（带HMAC）
+
+方法：`encryptWithHMacMD5(src)`
+
+入参：String src
+
+返回：String
+
+使用场景：SM3带密钥的哈希运算
+
+示例：
+```java
+String sm3Data = SM3Encoder.encryptWithHMacMD5(word);
+```
+
+#### Sm4Utils
+
+##### 2.1.6 SM4加密（默认密钥）
+
+完整包路径：`com.meritdata.cloud.utils.Sm4Utils`
+
+常量：`SM4_KEY = "nXwqj7JVe@czbD4E"`
+
+方法：`encrypt(text)` / `encrypt(text, key)`
+
+入参：String text, String key(可选)
+
+返回：String
+
+使用场景：SM4对称加密，用于大量数据的加密存储
+
+示例：
+```java
+// 使用默认密钥加密
+String encrypted = Sm4Utils.encrypt(plainText);
+
+// 使用指定密钥加密
+String encrypted = Sm4Utils.encrypt(plainText, privateKey);
+
+// 加密用户数据
+handset = Sm4Utils.encrypt(handset, privateKey);
+email = Sm4Utils.encrypt(email, privateKey);
+```
+
+##### 2.1.7 SM4解密
+
+方法：`decrypt(encryptStr)` / `decrypt(encryptStr, key)` / `decrypt(encryptStr, sm4privateKey, privateKey, flag)`
+
+入参：String encryptStr, String key(可选), String sm4privateKey(可选), String flag(可选)
+
+返回：String
+
+使用场景：SM4对称解密，用于解密存储的加密数据
+
+示例：
+```java
+// 使用默认密钥解密
+String decrypted = Sm4Utils.decrypt(encryptStr);
+
+// 使用指定密钥解密
+String decrypted = Sm4Utils.decrypt(encryptStr, privateKey);
+
+// SM2解密后SM4解密 (flag="1"表示需要SM2解密)
+userNameDec = Sm4Utils.decrypt(username, key, "", "1");
+passwordDec = Sm4Utils.decrypt(password, key, "", "1");
+```
+
+---
+
+## 💡 使用建议
+- **电子签章必须 SM2 + SM4 组合**：合同签署场景使用 SM2 签名 + SM4 加密传输正文，公私钥从 Nacos 配置 `meritdata.cloud.sm4-key` / SM2 公私钥对读取，**禁止硬编码**。
+- **SM3 没有 `encrypt()` 方法**：调用方常误写 `SM3Encoder.encrypt(password)`，正确调用是 `SM3Encoder.encryptWithHMacMD5(password)`。
+- **默认 SM4 密钥已内置**：`Sm4Utils.SM4_KEY = "nXwqj7JVe@czbD4E"`，二开测试可临时使用，生产必须替换为 Nacos 下发的密钥。
+
+## 🔗 相关章节
+- 15_外部接口-1.16组织人员同步.md
+- 16_外部接口-1.17资源数据密级.md

package/skills/meritdata-platform-crypto-gm/references/contract-signing.md

@@ -0,0 +1,60 @@
+# 合同电子签章完整流程
+
+> 来源：基于公司研发攻略 06-系统认证-章节02_token_认证集成 + 平台国密组件（已并入本 skill）
+
+## 签名 + 加密组合（合同场景强制）
+
+### 流程图
+
+```
+发送方：
+  plaintext → SM4 加密 → cipher
+  hash(plaintext) → SM2 签名（私钥）→ sign
+  → 发送 cipher + sign + 公钥
+
+接收方：
+  cipher → SM4 解密 → plaintext
+  SM2 验签（公钥，plaintext，sign）→ 验证完整性
+```
+
+### Java 示例
+
+```java
+@Service
+public class ContractSignService {
+
+    @Autowired
+    private NacosConfigService nacosConfigService;
+
+    public SignedContract signContract(String contractText) {
+        // 1. 从 Nacos 读密钥
+        String sm4Key = nacosConfigService.getConfig("meritdata.cloud.sm4-key");
+        String sm2PrivateKey = nacosConfigService.getConfig("meritdata.cloud.sm2-private-key");
+
+        // 2. SM4 对称加密合同内容
+        String cipher = Sm4Utils.encrypt(sm4Key, contractText);
+
+        // 3. SM3 哈希 + SM2 签名（法律效力）
+        String hash = SM3Encoder.encrypt(contractText);
+        String sign = Sm2Utils.sign(sm2PrivateKey, hash);
+
+        return new SignedContract(cipher, sign, hash);
+    }
+}
+```
+
+## ⚠️ 合规要求
+
+| 要求 | 来源 |
+|------|------|
+| 国密 SM2/SM3/SM4 强制 | 《电子签名法》 |
+| 密钥从 Nacos 配置读 | 美林平台规范 |
+| 签名时间戳 | 防止重放攻击 |
+| 操作审计日志 | ILogPostService 留痕 |
+
+## 密钥轮换
+
+定期（如 90 天）轮换 SM2 密钥对 + SM4 密钥：
+1. Nacos 推送新密钥
+2. 旧合同用旧密钥仍可解密（兼容性保留）
+3. 新合同用新密钥

package/skills/meritdata-platform-crypto-gm/references/crypto.md

@@ -0,0 +1,144 @@
+## 前置条件
+
+Maven 依赖已包含在 `cloud-starter-core` 基础包中，二开项目继承平台脚手架后自动引入，无需额外配置。
+
+| 工具类 | 完整包路径 | 类型 |
+|--------|-----------|------|
+| `Sm2Utils` | `com.meritdata.cloud.utils.Sm2Utils` | 非对称加密（公钥/私钥） |
+| `SM3Encoder` | `com.meritdata.cloud.utils.SM3Encoder` | 哈希摘要 |
+| `Sm4Utils` | `com.meritdata.cloud.utils.Sm4Utils` | 对称加密 |
+
+---
+
+## Sm2Utils — SM2 非对称加密
+
+### 生成密钥对
+
+```java
+MutablePair<String, String> keyPair = Sm2Utils.createSM2Key();
+String publicKey = keyPair.getLeft();   // 公钥
+String privateKey = keyPair.getRight(); // 私钥
+```
+
+### 加密
+
+```java
+String encrypted = Sm2Utils.encrypt(data, publicKey);
+```
+
+### 解密
+
+典型场景：从请求 Header 获取前端传来的 SM4 密钥（经 SM2 加密），用服务端私钥解密。
+
+```java
+String key = Sm2Utils.decrypt(
+    request.getHeader("smPrivate"),
+    meritdataCloudProperties.getSmPrivateKey()
+);
+```
+
+---
+
+## SM3Encoder — SM3 哈希摘要
+
+### 基础用法
+
+用于密码加密存储和比对。
+
+```java
+// 加密
+String hash = SM3Encoder.encryptWithHMacMD5(originalPassword);
+
+// 比对
+boolean matches = SM3Encoder.encryptWithHMacMD5(rawPassword).equals(storedHash);
+```
+
+### PasswordEncoder 接口
+
+`SM3Encoder` 实现了 `PasswordEncoder` 接口：
+
+```java
+String encoded = SM3Encoder.encode(rawPassword);
+```
+
+**注意**：`SM3Encoder` 没有 `encrypt(str)` 方法，应使用 `encryptWithHMacMD5(str)` 或 `encode(CharSequence)`。
+
+---
+
+## Sm4Utils — SM4 对称加密
+
+> **⚠️ 2026-09-10 源码实测**：Sm4Utils 实际有 **5 个 public 静态方法**（3 decrypt + 2 encrypt），不是声明的 2 个。
+
+只使用由已批准配置或密钥服务提供的密钥。不要调用依赖库的默认密钥重载，也不要把密钥、私钥或解密后的值写入代码、文档或日志。
+
+### 方法清单（基于源码实测，2026-09-10）
+
+| # | 方法名 | 返回类型 | 入参 | throws |
+|---|--------|---------|------|--------|
+| 1 | `decrypt` | `String` | `(encryptStr: String)` | - |
+| 2 | `decrypt` | `String` | `(encryptStr: String, sm4privateKey: String)` | - |
+| 3 | `decrypt` | `String` | `(encryptStr: String, sm4privateKey: String, privateKey: String, flag: String)` | `throws Exception` |
+| 4 | `encrypt` | `String` | `(text: String)` | `throws UnsupportedEncodingException` |
+| 5 | `encrypt` | `String` | `(text: String, key: String)` | `throws UnsupportedEncodingException` |
+
+### 类常量
+
+```java
+public static final String SM4_KEY = "nXwqj7JVe@czbD4E"  // 默认密钥
+```
+
+### 典型用法（3 种加密 + 3 种解密场景）
+
+```java
+// 单参数解密（使用类常量 SM4_KEY）
+String plain1 = Sm4Utils.decrypt(encryptedStr);
+
+// 双参数解密（指定 SM4 私钥）
+String plain2 = Sm4Utils.decrypt(encryptedStr, sm4PrivateKey);
+
+// 四参数解密（前后端组合，含 throws Exception）
+String plain3;
+try {
+    plain3 = Sm4Utils.decrypt(encryptedStr, sm4PrivateKey, privateKey, flag);
+} catch (Exception e) {
+    // 错误处理
+}
+
+// 单参数加密（throws UnsupportedEncodingException）
+String encrypted1;
+try {
+    encrypted1 = Sm4Utils.encrypt(text);
+} catch (UnsupportedEncodingException e) {
+    // 错误处理
+}
+
+// 双参数加密（指定密钥）
+String encrypted2;
+try {
+    encrypted2 = Sm4Utils.encrypt(text, key);
+} catch (UnsupportedEncodingException e) {
+    // 错误处理
+}
+```
+
+### ⚠️ 重要陷阱
+
+`encrypt` 方法会抛出受检异常 `UnsupportedEncodingException`，调用方必须 try-catch 或 throws；
+`decrypt` 4 参重载会抛出 `Exception`，包含组合解密失败场景。
+
+### ⚠️ KMS 硬件加密机说明
+
+> ⚠️ **2026-09-10 源码核实警告**：skill 之前提及"**KMS 硬件加密机接入**"——**实测源码中无任何 KMS / HSM 相关实现**。当前国密三件套（Sm2/SM3/SM4）均为**纯软算法**（基于 Hutool + BouncyCastle）。
+> 若需要 KMS/HSM 接入，需自行扩展 `crypto-gm` skill（如新增 KMS Feign Client）。
+
+---
+
+---
+
+## 加解密注意事项
+
+1. `SM3Encoder` 没有 `encrypt()` 方法，使用 `encryptWithHMacMD5()` 或 `encode()`
+2. 不记录、打印或提交密钥和令牌；生产密钥必须可轮换并受访问控制。
+3. 先用现有集成测试验证加密、解密和错误密钥处理，再接入业务接口。
+
+---

package/skills/meritdata-platform-crypto-gm/references/key-management.md

@@ -0,0 +1,48 @@
+# 密钥管理（Nacos 配置）
+
+> **铁律**：国密密钥**100% 从 Nacos 读取**，**严禁硬编码**到代码或 commit。
+
+## Nacos 配置规范
+
+| 密钥 | 配置项示例 | 长度要求 |
+|------|----------|---------|
+| SM4 key | `meritdata.cloud.sm4-key=0123456789abcdef` | 16 字节（hex 32 字符） |
+| SM2 private key | `meritdata.cloud.sm2-private-key=...` | PEM 格式 |
+| SM2 public key | `meritdata.cloud.sm2-public-key=...` | PEM 格式 |
+
+## Java 读取示例
+
+```java
+@Autowired
+private NacosConfigService nacosConfigService;
+
+String sm4Key = nacosConfigService.getConfig("meritdata.cloud.sm4-key");
+// 立即用，不要缓存在成员变量（多环境隔离）
+String cipher = Sm4Utils.encrypt(sm4Key, data);
+```
+
+## 🚨 反模式（禁止）
+
+```java
+// ❌ 硬编码
+private static final String SM4_KEY = "0123456789abcdef";
+
+// ❌ 从环境变量读（多环境隔离困难）
+String key = System.getenv("SM4_KEY");
+
+// ❌ 从前端传
+@PostMapping("/encrypt")
+public String encrypt(@RequestParam String key, @RequestParam String data) {
+    return Sm4Utils.encrypt(key, data);  // 密钥泄露到前端！
+}
+```
+
+## 密钥轮换
+
+```
+第 0 天   推送 v1 密钥（所有新合同用 v1）
+第 30 天  推送 v2 密钥（新合同用 v2，旧合同仍可解）
+第 60 天  下线 v1 密钥（历史合同已归档）
+```
+
+通过**项目内 Nacos 导出目录**（默认 `nacos_config_export/DEFAULT_GROUP/`）下的 `common-${APP_NAME}.properties` 推送。