create-dwy 0.1.0 → 0.3.0

package/templates/claude-global/rules/server-security.md

@@ -1,12 +1,3 @@
----
-name: server-security
-description: 服务器安全部署规则
-type: claude-rule
-tags: [security, server, docker, nginx]
-version: 1.0.0
-author: chances
----
-
 # 服务器安全部署规则
 
 所有项目部署到云服务器时必须遵循以下规则。如果任何操作违反这些规则，必须**立即提示用户并获得明确确认**后才能继续。
@@ -37,7 +28,40 @@ backend:
     - "{port}:{port}"
 ```
 
-## 二、凭证与密钥管理
+## 二、防火墙
+
+### 强制规则
+- 生产服务器**必须启用防火墙**（ufw 或 iptables）
+- **只开放业务必需端口**，其余全部关闭
+
+### 最小端口策略
+
+| 端口 | 用途 | 开放方式 |
+|------|------|---------|
+| 80 | HTTP（Nginx） | `ufw allow 80/tcp` |
+| 443 | HTTPS（Nginx） | `ufw allow 443/tcp` |
+| SSH 非标端口 | SSH 远程管理 | `ufw allow {ssh_port}/tcp` |
+
+**禁止开放的端口：**
+- 5432（PostgreSQL）
+- 6379（Redis）
+- 9000（MinIO）
+- 8000-9999（后端应用）
+
+### 配置示例
+```bash
+ufw default deny incoming
+ufw default allow outgoing
+ufw allow 80/tcp
+ufw allow 443/tcp
+ufw allow {ssh_port}/tcp
+ufw enable
+```
+
+### 违规检测
+如果在部署脚本或命令中发现 `ufw allow 5432` 等数据库端口开放命令，必须立即提示用户。
+
+## 三、凭证与密钥管理
 
 ### 强制规则
 - **禁止在代码中硬编码**数据库密码、API Key、Secret 等凭证
@@ -52,7 +76,7 @@ backend:
 - API Key 出现在非 `.env` 文件中
 - SSH 密码、私钥路径出现在代码或文档中
 
-## 三、Nginx 安全配置（最小访问控制）
+## 四、Nginx 安全配置
 
 ### 核心原则
 **只开放业务必需的路径和方法，其余一律拒绝。**
@@ -64,19 +88,39 @@ backend:
 **1. 频率限制（http 块）**
 ```nginx
 limit_req_zone $binary_remote_addr zone=api_limit:10m rate=10r/s;
+limit_req_zone $binary_remote_addr zone=login_limit:10m rate=3r/m;
 limit_req_zone $binary_remote_addr zone=page_limit:10m rate=30r/s;
 limit_conn_zone $binary_remote_addr zone=conn_limit:10m;
 ```
 
+注意：`limit_req_zone` 和 `limit_conn_zone` **必须放在 `http` 块**，不能放在 `server` 块。
+
 **2. 安全响应头（server 块）**
 ```nginx
 add_header X-Frame-Options "SAMEORIGIN" always;
 add_header X-Content-Type-Options "nosniff" always;
 add_header X-XSS-Protection "1; mode=block" always;
 add_header Referrer-Policy "strict-origin-when-cross-origin" always;
+add_header Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'" always;
+add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
+```
+
+**3. HTTPS 强制（server 块）**
+```nginx
+# HTTP → HTTPS 重定向
+server {
+    listen 80;
+    server_name example.com;
+    return 301 https://$server_name$request_uri;
+}
 ```
 
-**3. 全局限制（server 块）**
+生产环境**必须启用 HTTPS**，使用 certbot 自动续期：
+```bash
+certbot --nginx -d example.com
+```
+
+**4. 全局限制（server 块）**
 ```nginx
 client_max_body_size 1m;        # 无文件上传业务时默认 1m
 client_body_timeout 10s;
@@ -84,7 +128,7 @@ client_header_timeout 10s;
 limit_conn conn_limit 20;
 ```
 
-**4. 敏感文件屏蔽（最高优先级）**
+**5. 敏感文件屏蔽（最高优先级）**
 ```nginx
 location ~ /\. {
     deny all;
@@ -97,7 +141,7 @@ location ~* \.(env|git|xlsx|sql|log|bak|dump|tar|gz|zip|csv)$ {
 }
 ```
 
-**5. API 路径最小化**
+**6. API 路径最小化**
 ```nginx
 location /api {
     limit_except GET POST {
@@ -108,14 +152,44 @@ location /api {
 }
 ```
 
-**6. 攻击路径屏蔽**
+**7. 登录接口专用限流**
 ```nginx
-location ~ ^/(admin|phpmyadmin|wp-admin|cgi-bin|actuator|console|debug) {
+location /api/auth/login {
+    limit_req zone=login_limit burst=5 nodelay;
+    proxy_pass http://127.0.0.1:{backend_port};
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+}
+```
+
+**8. 攻击路径屏蔽**
+```nginx
+location ~ ^/(admin|phpmyadmin|wp-admin|cgi-bin|actuator|console|debug|\.well-known/security\.txt) {
     deny all;
     return 404;
 }
 ```
 
+**9. 扫描器 User-Agent 屏蔽（http 块）**
+```nginx
+map $http_user_agent $is_scanner {
+    default 0;
+    ~*sqlmap 1;
+    ~*nmap 1;
+    ~*nikto 1;
+    ~*dirbuster 1;
+    ~*gobuster 1;
+    ~*masscan 1;
+    ~*zgrab 1;
+    ~*python-requests 1;
+}
+
+# 在 server 块中
+if ($is_scanner) {
+    return 403;
+}
+```
+
 ### 违规检测
 如果 Nginx 配置中出现以下情况，必须提示用户：
 - 缺少 `limit_req` 频率限制
@@ -123,6 +197,8 @@ location ~ ^/(admin|phpmyadmin|wp-admin|cgi-bin|actuator|console|debug) {
 - API 路径允许 PUT/DELETE 但业务不需要
 - 缺少 `location ~ /\.` 敏感文件屏蔽
 - 使用 `proxy_pass` 但未设置 `proxy_connect_timeout`
+- 生产环境未启用 HTTPS
+- 缺少登录接口专用限流
 
 ### 部署后必须验证
 ```bash
@@ -131,8 +207,9 @@ curl -s -o /dev/null -w "%{http_code}" http://{server}/.git/config
 curl -s -o /dev/null -w "%{http_code}" http://{server}/.env
 
 # 2. 安全头存在
-curl -sI http://{server}/ | grep -i "x-frame-options"
-curl -sI http://{server}/ | grep -i "x-content-type-options"
+curl -sI https://{server}/ | grep -i "x-frame-options"
+curl -sI https://{server}/ | grep -i "x-content-type-options"
+curl -sI https://{server}/ | grep -i "strict-transport-security"
 
 # 3. 非法方法被拒绝
 curl -s -o /dev/null -w "%{http_code}" -X DELETE http://{server}/api/health
@@ -140,19 +217,49 @@ curl -s -o /dev/null -w "%{http_code}" -X DELETE http://{server}/api/health
 # 4. 攻击路径被屏蔽
 curl -s -o /dev/null -w "%{http_code}" http://{server}/phpmyadmin
 
-# 5. 正常服务可用
+# 5. 扫描器 UA 被拒绝
+curl -s -o /dev/null -w "%{http_code}" -A "sqlmap/1.0" http://{server}/
+
+# 6. 登录限流生效
+for i in {1..10}; do curl -s -o /dev/null -w "%{http_code}\n" -X POST http://{server}/api/auth/login; done
+
+# 7. 正常服务可用
 curl -s http://{server}/api/health
 ```
 
-## 四、Docker 容器安全
+## 五、Docker 容器安全
 
 ### 强制规则
-- Dockerfile 必须使用非 root 用户运行应用
+- Dockerfile **必须使用非 root 用户**运行应用
 - 必须创建 `.dockerignore` 排除 `.env`、`.git`、`cache/`、`__pycache__`
 - Python 项目设置 `ENV PYTHONUNBUFFERED=1`
 - Node.js 项目设置 `ENV NODE_ENV=production`
+- **使用最小化基础镜像**（`python:3.11-slim`，不用 `python:3.11`）
+- **禁止在镜像中安装不必要的工具**（ssh、telnet、curl 等调试工具生产不需要）
+- 容器文件系统**建议只读挂载**（`read_only: true`），需要写入的目录用 `tmpfs` 或 volume
+
+### Dockerfile 安全示例
+```dockerfile
+FROM python:3.11-slim
+
+# 只安装必要的编译依赖，安装后清理
+RUN apt-get update && apt-get install -y --no-install-recommends gcc \
+    && rm -rf /var/lib/apt/lists/*
 
-## 五、CORS 配置
+WORKDIR /app
+COPY pyproject.toml .
+RUN pip install --no-cache-dir .
+
+COPY src/ src/
+
+# 创建非 root 用户
+RUN useradd -m appuser
+USER appuser
+
+CMD ["uvicorn", "app.main:app", "--host", "0.0.0.0", "--port", "8000"]
+```
+
+## 六、CORS 配置
 
 ### 强制规则
 - **禁止生产环境使用 `*` 通配符**
@@ -161,28 +268,12 @@ curl -s http://{server}/api/health
 
 ```
 # ✅ 正确 — 明确列出
-ALLOWED_ORIGINS=http://localhost,http://{server_ip}
+ALLOWED_ORIGINS=["https://example.com","https://www.example.com"]
 
 # ❌ 违规
 ALLOWED_ORIGINS=*
 ```
 
-## 六、API 安全
-
-### 强制规则
-- 敏感数据查询接口必须有限流（推荐 5-10 次/分钟/IP）
-- 错误消息不得回显用户输入内容（防止信息泄露）
-- 不得提供批量查询/列表接口暴露全量数据
-- 如项目含认证机制，未配置时必须在日志中输出 WARNING
-
-```
-# ✅ 正确 — 通用错误消息
-return {"message": "记录不存在"}
-
-# ❌ 违规 — 回显用户输入
-return {"message": f"未找到: {user_input}"}
-```
-
 ## 七、数据安全
 
 ### 强制规则
@@ -240,7 +331,7 @@ LoginGraceTime 30                    # 登录超时 30 秒
 ```
 
 ### 配合 fail2ban
-建议服务器配置 fail2ban 防暴力破解：
+服务器**必须配置** fail2ban 防暴力破解：
 ```
 # /etc/fail2ban/jail.local
 [sshd]
@@ -248,6 +339,14 @@ enabled = true
 port = 66
 maxretry = 5
 bantime = 3600
+
+# Nginx 暴力请求封禁
+[nginx-limit-req]
+enabled = true
+filter = nginx-limit-req
+logpath = /var/log/nginx/error.log
+maxretry = 10
+bantime = 600
 ```
 
 ### 部署操作规范
@@ -262,7 +361,42 @@ Host myserver
 ```
 - 部署脚本中使用 `ssh myserver` 而非完整连接命令
 
-## 十、数据持久化与防删除
+## 十、系统安全加固
+
+### 自动安全更新
+生产服务器**必须启用自动安全更新**：
+```bash
+apt install -y unattended-upgrades
+dpkg-reconfigure -plow unattended-upgrades
+```
+
+### 文件权限
+| 文件 | 权限 | 命令 |
+|------|------|------|
+| `.env` | 600（仅所有者读写） | `chmod 600 .env` |
+| SSH 私钥 | 600 | `chmod 600 ~/.ssh/id_*` |
+| `authorized_keys` | 644 | `chmod 644 ~/.ssh/authorized_keys` |
+| 应用目录 | 755 | `chmod 755 /opt/myapp` |
+
+**禁止出现 777 权限。** 如果在部署脚本中发现 `chmod 777`，必须立即提示用户。
+
+### 日志监控
+生产服务器必须定期检查以下日志：
+```bash
+# SSH 登录记录
+journalctl -u sshd --since "1 hour ago"
+
+# Nginx 错误日志
+tail -100 /var/log/nginx/error.log
+
+# 被 fail2ban 封禁的 IP
+fail2ban-client status sshd
+
+# Docker 容器日志
+docker compose logs --tail 100 backend
+```
+
+## 十一、数据持久化与防删除
 
 ### 核心原则
 **所有业务数据必须通过 Docker Named Volume 持久化。任何可能导致数据丢失的操作，必须提前说明原因并获得用户确认。**
@@ -277,8 +411,7 @@ Host myserver
 # ✅ 正确 — Named Volume 持久化
 db:
   volumes:
-    - dbdata:/var/lib/postgresql/data  # PostgreSQL
-    # 或 - dbdata:/var/lib/mysql       # MySQL
+    - dbdata:/var/lib/postgresql/data
   restart: unless-stopped
 
 volumes:
@@ -315,57 +448,58 @@ db:
 4. **提供替代方案**（如有）：是否有不删除数据的方式达到目的
 5. **等待用户明确回复"确认"**后才能执行
 
-示例对话：
-```
-AI: 我需要执行 `docker compose down -v` 来重建数据库。
-    原因：数据库 schema 发生了不兼容的变更。
-    影响：将删除数据库 Volume，所有业务数据将永久丢失。
-    替代方案：可以用 ALTER TABLE 迁移 schema，不需要删库。
-    是否确认执行？
-```
-
-### 备份建议
-生产环境建议配置定期备份：
+### 备份
+生产环境**必须配置定期备份**：
 ```bash
-# PostgreSQL 备份
+# PostgreSQL 每日备份（建议 cron 每天凌晨执行）
 docker exec <db_container> pg_dump -U <user> <database> > backup_$(date +%Y%m%d).sql
 
-# MySQL 备份
-docker exec <db_container> mysqldump -u <user> -p<password> <database> > backup_$(date +%Y%m%d).sql
-
-# Volume 备份
-docker run --rm -v <volume_name>:/data -v $(pwd):/backup alpine tar czf /backup/volume_$(date +%Y%m%d).tar.gz /data
+# 备份文件不得放在 Web 可访问目录
+# 建议放在 /var/backups/ 下，定期清理超过 30 天的备份
+find /var/backups/ -name "backup_*.sql" -mtime +30 -delete
 ```
 
-## 十一、部署后检查清单
+## 十二、部署后检查清单
 
 每次部署完成后，必须执行以下验证：
 
 ```bash
-# 1. 数据库端口不可外部访问
-timeout 3 nc -z {server_ip} {db_port} && echo "FAIL" || echo "PASS"
+# 1. 防火墙状态
+ufw status | grep -E "80|443|{ssh_port}"
+
+# 2. 数据库端口不可外部访问
+timeout 3 nc -z {server_ip} 5432 && echo "FAIL" || echo "PASS"
+timeout 3 nc -z {server_ip} 6379 && echo "FAIL" || echo "PASS"
 
-# 2. 后端端口不可外部直连
+# 3. 后端端口不可外部直连
 timeout 3 nc -z {server_ip} {backend_port} && echo "FAIL" || echo "PASS"
 
-# 3. 敏感文件不可下载
-curl -s -o /dev/null -w "%{http_code}" http://{server}/.git/config  # 必须 404
-curl -s -o /dev/null -w "%{http_code}" http://{server}/.env          # 必须 404
+# 4. 敏感文件不可下载
+curl -s -o /dev/null -w "%{http_code}" https://{server}/.git/config  # 必须 404
+curl -s -o /dev/null -w "%{http_code}" https://{server}/.env          # 必须 404
 
-# 4. 正常服务可用
-curl -s http://{server}/api/health  # 必须返回 200
+# 5. HTTPS 工作正常
+curl -sI https://{server}/ | grep "strict-transport-security"  # 必须有输出
 
-# 5. 安全头存在
-curl -sI http://{server}/ | grep -i "x-frame-options"  # 必须有输出
+# 6. 安全头完整
+curl -sI https://{server}/ | grep -i "x-frame-options"
+curl -sI https://{server}/ | grep -i "x-content-type-options"
+curl -sI https://{server}/ | grep -i "content-security-policy"
 
-# 6. 非法方法被拒绝
-curl -s -o /dev/null -w "%{http_code}" -X DELETE http://{server}/api/health  # 必须 403/405
+# 7. 非法方法被拒绝
+curl -s -o /dev/null -w "%{http_code}" -X DELETE https://{server}/api/health  # 必须 403/405
 
-# 7. Volume 存在且数据完整
+# 8. Volume 存在且数据完整
 docker volume ls | grep {volume_name}  # 必须存在
+
+# 9. fail2ban 运行中
+fail2ban-client status sshd
+
+# 10. 正常服务可用
+curl -s https://{server}/api/health  # 必须返回 200
 ```
 
-## 十二、违规处理流程
+## 十三、违规处理流程
 
 当 AI 检测到操作违反以上任何规则时：