create-dwy 0.15.0 → 0.16.1

package/templates/ai-tools/skills/unitcircle/uc-deploy-audit/scripts/check_secrets.sh

@@ -0,0 +1,265 @@
+#!/usr/bin/env bash
+# 凭证强度审计 (只读, 全脱敏)
+#
+# 检查范围 (5 类):
+#   1. .env 文件: PASSWORD/SECRET/TOKEN/KEY/AK/SK 字段
+#   2. docker 容器内联 env (Config.Env)
+#   3. Redis 容器 --requirepass 启动参数
+#   4. Postgres 容器 POSTGRES_PASSWORD
+#   5. SSH 私钥 类型 + 位数 (~/.ssh/id_*)
+#
+# 强制脱敏: 只输出派生指标 (len/classes/strength), 永不输出明文
+# 字典词: 内置 ~30 个最常见弱口令
+
+TARGET="$1"; shift
+SSH_OPTS=("$@")
+
+ssh "${SSH_OPTS[@]}" "${TARGET}" bash -s <<'REMOTE'
+# ---------- 强度评估函数 ----------
+# 输入: 一个秘密字符串(从 stdin)
+# 输出: "len=N classes=K strength=STRONG/MEDIUM/WEAK reason=xxx"
+# 不打印明文, 不写文件
+strength_of() {
+  local val
+  IFS= read -r val
+  local len=${#val}
+
+  # 字典词内置(精简, 30 个最常见弱口令; 大小写不敏感子串匹配)
+  local weak_dict='password|passwd|123456|123123|qwerty|abc123|admin|administrator|root|test|demo|guest|user|welcome|letmein|changeme|secret|default|temp|public|private|master|sample|example|prod|dev|staging|backup|hello|monkey'
+  local is_dict=0
+  echo "$val" | grep -qiE "($weak_dict)" && is_dict=1
+
+  # 字符类
+  local has_upper=0 has_lower=0 has_digit=0 has_symbol=0
+  [[ "$val" =~ [A-Z] ]] && has_upper=1
+  [[ "$val" =~ [a-z] ]] && has_lower=1
+  [[ "$val" =~ [0-9] ]] && has_digit=1
+  [[ "$val" =~ [^a-zA-Z0-9] ]] && has_symbol=1
+  local classes=$(( has_upper + has_lower + has_digit + has_symbol ))
+
+  # 评级
+  local strength reason
+  if   [[ "$len" -lt 8 ]]; then          strength="WEAK";   reason="len<8"
+  elif [[ "$is_dict" == "1" ]]; then     strength="WEAK";   reason="dict_match"
+  elif [[ "$len" -lt 16 ]]; then         strength="MEDIUM"; reason="len<16"
+  elif [[ "$classes" -lt 3 ]]; then      strength="MEDIUM"; reason="classes<3"
+  else                                   strength="STRONG"; reason="ok"
+  fi
+  printf "len=%d classes=%d strength=%s reason=%s" "$len" "$classes" "$strength" "$reason"
+}
+
+# 排除明显是"数值/枚举配置参数"而非凭证的 key 名
+# (子串匹配 TOKEN/KEY 会误命中 ACCESS_TOKEN_EXPIRE_MINUTES / KEY_TIMEOUT 这种)
+is_config_not_secret() {
+  local key="$1"
+  echo "$key" | grep -qiE '(EXPIRE|EXPIRY|TTL|TIMEOUT|SECONDS|MINUTES|HOURS|DAYS|COUNT|LIMIT|RETRY|MAX|MIN|SIZE|LENGTH|INTERVAL|DELAY|ENABLED|DISABLED|MODE|TYPE|VERSION|PORT|HOST|URL|PATH|FILE|DIR)$|_(EXPIRE|TTL|TIMEOUT|SECONDS|MINUTES|HOURS|DAYS|COUNT|LIMIT|MAX|MIN|SIZE|MODE|TYPE)_'
+}
+
+# 包装: 给定 key+value, 加上"高敏字段长度门槛 32"判定
+evaluate_secret() {
+  local key="$1"
+  local val="$2"
+  [[ -z "$val" ]] && { echo "  (空值)"; return; }
+
+  # 判定是否真凭证字段 (key 名含 PASSWORD/SECRET/ACCESS_KEY_SECRET 等明确含义的)
+  # 这类即使值是纯数字短串(如某些服务默认密码 123456) 也必须评估为 WEAK 而非 SKIP
+  local is_true_credential=0
+  echo "$key" | grep -qiE '(PASSWORD|PASSWD|SECRET|PRIVATE[_-]?KEY|ACCESS[_-]?KEY[_-]?SECRET|_SK$|^SK_)' && is_true_credential=1
+
+  # Bug fix 1: 跳过明显是配置参数的 key (含 EXPIRE/TTL/TIMEOUT/MAX/MIN 等)
+  # 但真凭证字段不跳过
+  if [[ "$is_true_credential" == "0" ]] && is_config_not_secret "$key"; then
+    printf "  %-30s [i] SKIP: 看起来是配置参数(非凭证), key 名含 EXPIRE/TTL/TIMEOUT/MAX 等\n" "$key"
+    return
+  fi
+  # Bug fix 1.b: 纯数字短值(像 30 / 86400 这种 TTL/expire) 跳过
+  # 但真凭证字段不跳过 (服务默认密码 123456 / Redis 默认 123 这种弱密码必须报)
+  if [[ "$is_true_credential" == "0" ]] && [[ "$val" =~ ^[0-9]+$ ]] && [[ ${#val} -lt 10 ]]; then
+    printf "  %-30s [i] SKIP: 纯数字短值(看起来是配置参数, len=%d)\n" "$key" "${#val}"
+    return
+  fi
+
+  # 是否高敏字段
+  local high_sens=0
+  echo "$key" | grep -qiE 'SECRET|JWT|TOKEN|API[_-]?KEY|ACCESS[_-]?KEY[_-]?SECRET|PRIVATE[_-]?KEY|_AK$|_SK$|^AK_|^SK_' && high_sens=1
+
+  local result
+  result=$(printf '%s\n' "$val" | strength_of)
+  local len=$(echo "$result" | grep -oE 'len=[0-9]+' | cut -d= -f2)
+  local classes=$(echo "$result" | grep -oE 'classes=[0-9]+' | cut -d= -f2)
+  local strength=$(echo "$result" | grep -oE 'strength=[A-Z]+' | cut -d= -f2)
+
+  # Bug fix 2: 长度 >= 24 即视为 STRONG (即使 classes 少, 熵足够)
+  # 例如 48 字符 base64 / 64 字符 hex 即使只 2 类, 熵 >= 192 bits 远超 128 bits 安全门槛
+  if [[ "$strength" != "WEAK" && "$len" -ge 24 ]]; then
+    strength="STRONG"
+    result="${result/strength=MEDIUM/strength=STRONG}"
+    result="${result/reason=classes<3/reason=long_enough}"
+    result="${result/reason=len<16/reason=long_enough}"
+  fi
+
+  printf "  %-30s %s" "$key" "$result"
+  # 严重级标记
+  if   [[ "$strength" == "WEAK" ]]; then
+    printf "  [!!!] CRITICAL: 弱凭证, 必须立即轮换\n"
+  elif [[ "$high_sens" == "1" && "$len" -lt 32 ]]; then
+    printf "  [!!] HIGH: 高敏字段建议 >= 32 字符随机串\n"
+  elif [[ "$strength" == "MEDIUM" ]]; then
+    printf "  [!] MEDIUM: 建议加长至 16+ 且 3 类字符\n"
+  else
+    printf "  [OK]\n"
+  fi
+}
+
+# ---------- 1. .env 文件扫描 ----------
+echo "########## 1. .env 文件凭证强度 ##########"
+ENV_FILES=$(sudo -n find /home /opt /srv /root -maxdepth 6 -type f \
+              \( -name ".env" -o -name ".env.*" -o -name "*.env" \) 2>/dev/null \
+            | grep -vE '\.example|\.template|\.sample|\.bak|\.old|node_modules' \
+            | sort -u | head -20)
+[[ -z "$ENV_FILES" ]] && ENV_FILES=$(find /home /opt /srv /root -maxdepth 6 -type f \
+              \( -name ".env" -o -name ".env.*" -o -name "*.env" \) 2>/dev/null \
+            | grep -vE '\.example|\.template|\.sample|\.bak|\.old|node_modules' \
+            | sort -u | head -20)
+
+if [[ -z "$ENV_FILES" ]]; then
+  echo "[i] 未找到 .env 文件"
+else
+  for f in $ENV_FILES; do
+    echo ""
+    echo "[$f]"
+    # 只挑密码类字段, 解析 KEY=VALUE
+    if ! sudo -n cat "$f" 2>/dev/null | head -1 >/dev/null && ! cat "$f" 2>/dev/null | head -1 >/dev/null; then
+      echo "  [i] 不可读"
+      continue
+    fi
+    (sudo -n cat "$f" 2>/dev/null || cat "$f" 2>/dev/null) \
+      | grep -E '^[[:space:]]*[A-Z][A-Z0-9_]*[[:space:]]*=' \
+      | grep -iE '(PASSWORD|PASSWD|SECRET|TOKEN|API[_-]?KEY|ACCESS[_-]?KEY|PRIVATE[_-]?KEY|_AK|_SK|^AK_|^SK_)' \
+      | while IFS='=' read -r key val; do
+          key=$(echo "$key" | tr -d ' \t')
+          # 去引号 + 行尾注释
+          val=$(echo "$val" | sed -E 's/^[[:space:]]*//; s/[[:space:]]*#.*$//; s/^"//; s/"$//; s/^'\''//; s/'\''$//')
+          evaluate_secret "$key" "$val"
+        done
+  done
+fi
+
+# ---------- 2. docker 容器内联 env ----------
+echo ""
+echo "########## 2. Docker 容器内联 env 凭证强度 ##########"
+if command -v docker >/dev/null 2>&1; then
+  for c in $(docker ps -q 2>/dev/null); do
+    name=$(docker inspect -f '{{.Name}}' "$c" 2>/dev/null | sed 's|^/||')
+    echo ""
+    echo "[$name]"
+    docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' "$c" 2>/dev/null \
+      | grep -iE '(PASSWORD|PASSWD|SECRET|TOKEN|API[_-]?KEY|ACCESS[_-]?KEY|PRIVATE[_-]?KEY|_AK=|_SK=|^AK_|^SK_)' \
+      | while IFS='=' read -r key val; do
+          key=$(echo "$key" | tr -d ' \t')
+          evaluate_secret "$key" "$val"
+        done
+  done
+else
+  echo "[i] Docker 未安装"
+fi
+
+# ---------- 3. Redis requirepass (从启动参数提取) ----------
+echo ""
+echo "########## 3. Redis --requirepass 强度 ##########"
+if command -v docker >/dev/null 2>&1; then
+  REDIS_FOUND=0
+  for c in $(docker ps -q 2>/dev/null); do
+    image=$(docker inspect -f '{{.Config.Image}}' "$c" 2>/dev/null)
+    if echo "$image" | grep -qi "redis"; then
+      REDIS_FOUND=1
+      name=$(docker inspect -f '{{.Name}}' "$c" 2>/dev/null | sed 's|^/||')
+      echo ""
+      echo "[$name]"
+      args=$(docker inspect -f '{{range .Args}}{{.}} {{end}}' "$c" 2>/dev/null)
+      pass=$(echo "$args" | grep -oE -- '--requirepass [^ ]+' | head -1 | awk '{print $2}')
+      if [[ -n "$pass" ]]; then
+        evaluate_secret "REDIS_PASSWORD(--requirepass)" "$pass"
+      else
+        echo "  [!!!] CRITICAL: Redis 未设置 --requirepass"
+      fi
+    fi
+  done
+  [[ "$REDIS_FOUND" == "0" ]] && echo "[i] 未发现 Redis 容器"
+fi
+
+# ---------- 4. Postgres POSTGRES_PASSWORD (容器 env, 已在 2 覆盖, 此处单独 highlight) ----------
+echo ""
+echo "########## 4. Postgres POSTGRES_PASSWORD 强度 ##########"
+if command -v docker >/dev/null 2>&1; then
+  PG_FOUND=0
+  for c in $(docker ps -q 2>/dev/null); do
+    image=$(docker inspect -f '{{.Config.Image}}' "$c" 2>/dev/null)
+    if echo "$image" | grep -qi "postgres"; then
+      PG_FOUND=1
+      name=$(docker inspect -f '{{.Name}}' "$c" 2>/dev/null | sed 's|^/||')
+      echo ""
+      echo "[$name]"
+      pass=$(docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' "$c" 2>/dev/null \
+              | grep '^POSTGRES_PASSWORD=' | head -1 | cut -d= -f2-)
+      if [[ -n "$pass" ]]; then
+        evaluate_secret "POSTGRES_PASSWORD" "$pass"
+      else
+        echo "  [!!!] CRITICAL: 未取得 POSTGRES_PASSWORD (是否 secrets 挂载或 trust 认证?)"
+      fi
+    fi
+  done
+  [[ "$PG_FOUND" == "0" ]] && echo "[i] 未发现 Postgres 容器"
+fi
+
+# ---------- 5. SSH 私钥强度 ----------
+echo ""
+echo "########## 5. SSH 私钥类型 / 位数 ##########"
+# 当前用户 + root 的 ~/.ssh/ (Bug fix 3: 去重, root 用户登录时 $HOME=/root 会重复)
+SSH_DIRS=$(printf '%s\n' "$HOME/.ssh" /root/.ssh /home/*/.ssh 2>/dev/null | sort -u)
+for ssh_dir in $SSH_DIRS; do
+  [[ -d "$ssh_dir" ]] || continue
+  for kf in "$ssh_dir"/id_rsa "$ssh_dir"/id_ed25519 "$ssh_dir"/id_ecdsa "$ssh_dir"/id_dsa; do
+    [[ -f "$kf" ]] || continue
+    info=$(ssh-keygen -l -f "$kf" 2>/dev/null || sudo -n ssh-keygen -l -f "$kf" 2>/dev/null)
+    if [[ -z "$info" ]]; then
+      echo "  $kf  [i] 无法读取(权限?)"
+      continue
+    fi
+    bits=$(echo "$info" | awk '{print $1}')
+    type=$(echo "$info" | grep -oE '\([A-Z0-9]+\)$' | tr -d '()')
+    perm=$(stat -c '%a' "$kf" 2>/dev/null)
+
+    case "$type" in
+      ED25519)
+        printf "  %-40s type=%-8s bits=%-4s perm=%s  [OK]\n" "$kf" "$type" "$bits" "$perm" ;;
+      RSA)
+        if   [[ "$bits" -ge 4096 ]]; then mark="[OK]"
+        elif [[ "$bits" -ge 3072 ]]; then mark="[OK] (建议升 ed25519)"
+        elif [[ "$bits" -ge 2048 ]]; then mark="[!] MEDIUM: RSA-${bits} 可接受但建议升 ed25519 或 RSA-4096"
+        else                              mark="[!!!] CRITICAL: RSA-${bits} 已不安全, 立即轮换"
+        fi
+        printf "  %-40s type=%-8s bits=%-4s perm=%s  %s\n" "$kf" "$type" "$bits" "$perm" "$mark" ;;
+      ECDSA)
+        printf "  %-40s type=%-8s bits=%-4s perm=%s  [!] MEDIUM: ECDSA 存疑(NIST 曲线), 建议 ed25519\n" "$kf" "$type" "$bits" "$perm" ;;
+      DSA)
+        printf "  %-40s type=%-8s bits=%-4s perm=%s  [!!!] CRITICAL: DSA 已废弃, 立即轮换\n" "$kf" "$type" "$bits" "$perm" ;;
+      *)
+        printf "  %-40s type=%-8s bits=%-4s perm=%s\n" "$kf" "$type" "$bits" "$perm" ;;
+    esac
+
+    # 权限检查
+    if [[ -n "$perm" && "$perm" != "600" && "$perm" != "400" ]]; then
+      echo "    [!!] HIGH: 私钥权限 $perm 过宽, 应 600"
+    fi
+  done
+done
+
+echo ""
+echo "########## 凭证强度汇总 ##########"
+echo "[i] 修复指引:"
+echo "  - WEAK 密码: 立即轮换 (建议 >= 16 字符 + 三类字符的强密码)"
+echo "  - 高敏字段 (JWT/SECRET/AK/SK): >= 32 字符随机串"
+echo "  - 生成命令: openssl rand -base64 24 | tr -d '=+/' | cut -c1-20"
+echo "  - 高敏: openssl rand -hex 32  (生成 64 字符 hex token)"
+REMOTE

package/templates/ai-tools/skills/unitcircle/uc-deploy-audit/scripts/check_services.sh

@@ -0,0 +1,94 @@
+#!/usr/bin/env bash
+# 依赖服务连通性 / 防火墙
+TARGET="$1"; shift
+SSH_OPTS=("$@")
+
+ssh "${SSH_OPTS[@]}" "${TARGET}" bash -s <<'REMOTE'
+echo "--- 防火墙状态 ---"
+if command -v ufw >/dev/null 2>&1; then
+  echo "[ufw]"
+  sudo -n ufw status verbose 2>/dev/null || echo "  [!] 需 sudo 查看 ufw"
+fi
+if command -v firewall-cmd >/dev/null 2>&1; then
+  echo "[firewalld]"
+  sudo -n firewall-cmd --state 2>/dev/null
+  sudo -n firewall-cmd --list-all 2>/dev/null
+fi
+echo "[iptables]"
+sudo -n iptables -L INPUT -n --line-numbers 2>/dev/null | head -20 || echo "  [i] 无法读取 iptables"
+
+echo ""
+echo "--- 监听端口 (按地址分组) ---"
+(ss -tlnp 2>/dev/null || netstat -tlnp 2>/dev/null) | awk 'NR>1 {print $4}' | awk -F: '{
+  port=$NF;
+  ip=substr($0,1,length($0)-length(port)-1);
+  if (ip=="0.0.0.0" || ip=="*" || ip=="[::]") public[port]++;
+  else if (ip=="127.0.0.1" || ip=="[::1]") loop[port]++;
+  else internal[port]++;
+}
+END {
+  print "公网监听 (0.0.0.0 / *):"
+  for (p in public) print "  " p
+  print "内网监听 (具体 IP):"
+  for (p in internal) print "  " p
+  print "回环监听 (127.0.0.1):"
+  for (p in loop) print "  " p
+}'
+
+echo ""
+echo "--- 系统负载与内存 ---"
+uptime
+free -h 2>/dev/null | head -3
+
+echo ""
+echo "--- 磁盘 ---"
+df -h | grep -vE "tmpfs|udev" | head -10
+
+echo ""
+echo "--- 已安装的 Web 应用进程 (常见) ---"
+ps -eo user,pid,%cpu,%mem,cmd --sort=-%mem 2>/dev/null \
+  | grep -E "(nginx|node|python|uvicorn|gunicorn|java|php-fpm|redis-server|postgres|mysql|mongod)" \
+  | grep -v grep | head -20
+
+echo ""
+echo "--- 应用健康检查端点 (经本地 nginx 回环 + --resolve, 避免 hairpin NAT) ---"
+NGINX_DUMP=$(sudo -n nginx -T 2>/dev/null || nginx -T 2>/dev/null || true)
+# 只取真实 server_name 指令行(行首仅空白 + 关键字), 去行内注释, 拆多域名, 过滤 _ / 通配 / 空 / 非法 token
+# 旧实现用 awk '/server_name/' 会误匹配注释行里的 server_name 文字, 产出 _) 1. :80 等垃圾域名
+DOMAINS=$(echo "$NGINX_DUMP" \
+  | grep -E '^[[:space:]]*server_name[[:space:]]' \
+  | sed -E 's/#.*$//; s/^[[:space:]]*server_name[[:space:]]+//; s/;.*$//' \
+  | tr ' ' '\n' \
+  | grep -E '^[A-Za-z0-9]([A-Za-z0-9.-]*[A-Za-z0-9])?$' \
+  | grep -v '^_$' \
+  | sort -u | head -5)
+[[ -z "$DOMAINS" ]] && DOMAINS="localhost"
+# 是否启用 https(443 在监听); 公网域名从本机直连会触发 hairpin NAT 返回 000,
+# 用 --resolve 把域名钉到回环, 既走本地 nginx 又匹配 SNI 证书, 才是白盒正解
+HAS_HTTPS=$( (ss -tln 2>/dev/null || netstat -tln 2>/dev/null) | grep -qE ':443[[:space:]]' && echo yes || echo no )
+for D in $DOMAINS; do
+  for path in "/api/health" "/health" "/healthz" "/_health" "/status"; do
+    if [[ "$HAS_HTTPS" == "yes" ]]; then
+      code=$(curl -k -sS -o /dev/null -w "%{http_code}" --max-time 3 --resolve "$D:443:127.0.0.1" "https://$D$path" 2>/dev/null || echo "000")
+      scheme="https"
+    else
+      code=$(curl -sS -o /dev/null -w "%{http_code}" --max-time 3 --resolve "$D:80:127.0.0.1" "http://$D$path" 2>/dev/null || echo "000")
+      scheme="http"
+    fi
+    [[ "$code" != "404" && "$code" != "000" ]] && printf "  %s://%s%s -> %s\n" "$scheme" "$D" "$path" "$code"
+  done
+done
+
+echo ""
+echo "--- 系统更新提示 ---"
+if command -v apt >/dev/null 2>&1; then
+  sudo -n apt list --upgradable 2>/dev/null | head -10 || echo "  [i] 无法检查 apt 更新"
+elif command -v yum >/dev/null 2>&1; then
+  sudo -n yum check-update 2>/dev/null | head -10 || echo "  [i] 无法检查 yum 更新"
+fi
+
+echo ""
+echo "--- 内核/系统启动时间 ---"
+who -b 2>/dev/null
+echo "kernel: $(uname -r)"
+REMOTE

package/templates/ai-tools/skills/unitcircle/uc-deploy-audit/scripts/check_ssh.sh

@@ -0,0 +1,56 @@
+#!/usr/bin/env bash
+# SSH 安全检查 (只读)
+TARGET="$1"; shift
+SSH_OPTS=("$@")
+
+ssh "${SSH_OPTS[@]}" "${TARGET}" bash -s <<'REMOTE'
+echo "--- /etc/ssh/sshd_config (filtered key directives) ---"
+SSHD_CONF="/etc/ssh/sshd_config"
+SSHD_DIR="/etc/ssh/sshd_config.d"
+if [[ -r "$SSHD_CONF" ]]; then
+  grep -Ei "^[[:space:]]*(PermitRootLogin|PasswordAuthentication|PubkeyAuthentication|PermitEmptyPasswords|Port|Protocol|MaxAuthTries|LoginGraceTime|AllowUsers|AllowGroups|DenyUsers|DenyGroups|ChallengeResponseAuthentication|UsePAM|X11Forwarding|ClientAliveInterval|ClientAliveCountMax|LogLevel|Banner)" "$SSHD_CONF" 2>/dev/null
+  if [[ -d "$SSHD_DIR" ]]; then
+    echo "--- $SSHD_DIR/*.conf ---"
+    grep -EiH "^[[:space:]]*(PermitRootLogin|PasswordAuthentication|PubkeyAuthentication|PermitEmptyPasswords|Port|Protocol|MaxAuthTries)" "$SSHD_DIR"/*.conf 2>/dev/null
+  fi
+else
+  echo "[!] $SSHD_CONF 不可读 (需要 sudo)"
+fi
+
+echo ""
+echo "--- effective sshd config (sshd -T, 需 sudo) ---"
+sudo -n sshd -T 2>/dev/null | grep -Ei "^(permitrootlogin|passwordauthentication|pubkeyauthentication|permitemptypasswords|port|protocol|maxauthtries|logingracetime|allowusers|allowgroups|x11forwarding|loglevel)" || echo "[i] 无法读取 effective config (需要 sudo 或 sshd -T 不可用)"
+
+echo ""
+echo "--- ssh process & version ---"
+sshd -V 2>&1 | head -2 || ssh -V 2>&1
+
+echo ""
+echo "--- recent failed logins (last 20) ---"
+sudo -n journalctl _COMM=sshd --since "7 days ago" 2>/dev/null | grep -Ei "failed|invalid" | tail -20 \
+  || sudo -n grep -Ei "failed|invalid" /var/log/auth.log 2>/dev/null | tail -20 \
+  || echo "[i] 无法读取认证日志 (需要 sudo)"
+
+echo ""
+echo "--- fail2ban status ---"
+if command -v fail2ban-client >/dev/null 2>&1; then
+  sudo -n fail2ban-client status 2>/dev/null || echo "[i] fail2ban 已安装,但需要 sudo 查看状态"
+else
+  echo "[!] fail2ban 未安装"
+fi
+
+echo ""
+echo "--- authorized_keys 概览 (当前用户) ---"
+if [[ -r ~/.ssh/authorized_keys ]]; then
+  awk '{print "  key: " $1 " " substr($2,1,16) "... " $3}' ~/.ssh/authorized_keys
+  echo "  total: $(wc -l < ~/.ssh/authorized_keys) keys"
+else
+  echo "[i] 当前用户无 authorized_keys"
+fi
+
+echo ""
+echo "--- /root/.ssh/authorized_keys (需 sudo) ---"
+sudo -n test -f /root/.ssh/authorized_keys 2>/dev/null && \
+  echo "  [!] root 用户存在 authorized_keys, 共 $(sudo -n wc -l < /root/.ssh/authorized_keys 2>/dev/null) 行" \
+  || echo "[i] 无 root authorized_keys 或无 sudo 权限"
+REMOTE

package/templates/ai-tools/skills/unitcircle/uc-deploy-audit/scripts/run_all.sh

@@ -0,0 +1,105 @@
+#!/usr/bin/env bash
+# uc-deploy-audit: 一键全量巡检（subagent 不可用时的串行/并行退化方案）
+#
+# 优先做法是让 Claude 用 subagent 并行派遣多个 Agent 跑各类 check_xxx.sh
+# (见 SKILL.md Step 4)。本脚本仅作为本地一键回退使用。
+#
+# 用法:
+#   ./run_all.sh <user>@<host> [-p <port>] [-i <key>] [--serial]
+#
+# 默认 8 路并行。--serial 强制串行。
+
+set -uo pipefail
+
+if [[ $# -lt 1 ]]; then
+  echo "Usage: $0 <user>@<host|alias> [-p <port>] [-i <key>] [--serial]" >&2
+  exit 1
+fi
+
+TARGET="$1"; shift
+SSH_OPTS=(-o ConnectTimeout=10 -o BatchMode=yes -o StrictHostKeyChecking=accept-new)
+PARALLEL=true
+
+while [[ $# -gt 0 ]]; do
+  case "$1" in
+    -p) SSH_OPTS+=(-p "$2"); shift 2;;
+    -i) SSH_OPTS+=(-i "$2"); shift 2;;
+    --serial) PARALLEL=false; shift;;
+    *)  echo "Unknown arg: $1" >&2; exit 1;;
+  esac
+done
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+TMP_DIR=$(mktemp -d -t uc-audit-XXXXXX)
+trap 'rm -rf "$TMP_DIR"' EXIT
+
+# 检查项: <section_name>:<script_name>
+SECTIONS=(
+  "BASE_INFO:check_base.sh"
+  "SSH:check_ssh.sh"
+  "NGINX:check_nginx.sh"
+  "DB:check_db.sh"
+  "HTTPS:check_https.sh"
+  "ENV:check_env.sh"
+  "DOCKER:check_docker.sh"
+  "SERVICES:check_services.sh"
+  "RESILIENCE:check_resilience.sh"
+  "LOGS:check_logs.sh"
+  "CAPACITY:check_capacity.sh"
+  "SECRETS:check_secrets.sh"
+)
+
+echo "========================================"
+echo " uc-deploy-audit | target: ${TARGET}"
+echo " timestamp: $(date -u +%Y-%m-%dT%H:%M:%SZ)"
+echo " mode: $([ "$PARALLEL" = true ] && echo "parallel (${#SECTIONS[@]} workers)" || echo 'serial')"
+echo "========================================"
+
+run_section() {
+  local name="$1"
+  local script="$2"
+  local out_file="${TMP_DIR}/${name}.out"
+  {
+    echo "########## SECTION: ${name} ##########"
+    bash "${SCRIPT_DIR}/${script}" "${TARGET}" "${SSH_OPTS[@]}" 2>&1 \
+      || echo "[!] ${name} 部分失败"
+    echo "########## END: ${name} ##########"
+  } > "$out_file" 2>&1
+}
+
+if [[ "$PARALLEL" == "true" ]]; then
+  # 并行：所有 section 后台启动
+  pids=()
+  for entry in "${SECTIONS[@]}"; do
+    name="${entry%%:*}"
+    script="${entry##*:}"
+    run_section "$name" "$script" &
+    pids+=($!)
+  done
+
+  # 等所有完成
+  for pid in "${pids[@]}"; do
+    wait "$pid"
+  done
+
+  # 按顺序输出结果（保证报告分类有序）
+  for entry in "${SECTIONS[@]}"; do
+    name="${entry%%:*}"
+    echo ""
+    cat "${TMP_DIR}/${name}.out"
+  done
+else
+  # 串行
+  for entry in "${SECTIONS[@]}"; do
+    name="${entry%%:*}"
+    script="${entry##*:}"
+    echo ""
+    run_section "$name" "$script"
+    cat "${TMP_DIR}/${name}.out"
+  done
+fi
+
+echo ""
+echo "========================================"
+echo " 巡检数据采集完成,请由 Claude 分析生成报告"
+echo "========================================"

package/templates/ai-tools/skills//344/272/247/345/223/2010/345/210/2601/dwy-acceptance/SKILL.md

@@ -9,15 +9,16 @@ description: "【dwy·验收测试】产品 0 到 1 上架迭代阶段。触发
 ## 输入（从哪读）
 - state.json 的 `confirmed.dev_progress`、`confirmed.prd`、`confirmed.architecture`
 - 项目源码 + `.dwy/prod/[项目]/02-需求规划/PRD.md`
-- `.dwy/prod/[项目]/03-设计与架构/接口契约.md`
+- `.dwy/prod/[项目]/04-架构设计/接口契约.md`
 
 ## 实现
 [包装型] 用全局本地 skill（位于 `~/.dwy/skills/<外部skill名>/`）：
 读其 `SKILL.md`（及同目录 scripts/、配套 .md），按它的方式与用户交互/提问，产出按下方「产出契约」落地。
+- **提问形式（Claude Code 下强制）**：借用外部 skill 的「问什么、怎么一步步收敛」方法论，但**每个要用户选择/拍板的问题用 `AskUserQuestion` 工具弹点选卡片**，不在正文列 A/B/C/D 让用户打字；保留「一次一问、答完再问下一个」的节奏，开放式补充靠卡片的「Other」兜底。其他工具（Codex 等无此组件）退回外部 skill 原生的正文问答。
 - 本 skill 依赖的外部 skill：`test-scenarios`、`intended-vs-implemented`（各对应 `~/.dwy/skills/<名>/`）
 - 若 `~/.dwy/skills/<名>/` 不存在：提示用户先跑 `dwy skills install`（或 `dwy claude sync` 会自动装），不要自己用内置能力顶替。
 
 ## 产出契约（硬约束）
-- 落到：`.dwy/prod/[项目]/04-上线交付/验收报告.md`
+- 落到：`.dwy/prod/[项目]/05-上线交付/验收报告.md`
 - 固定章节：集成/E2E 场景结果 / 兼容性 / 合规与沙盒 / 文档vs代码差距 / 验收结论
 - 回写 state.json：`confirmed.acceptance`（验收结论 / 是否达上线标准）

package/templates/ai-tools/skills//344/272/247/345/223/2010/345/210/2601/dwy-architecture/SKILL.md

@@ -1,28 +1,70 @@
 ---
 name: dwy-architecture
-description: "【dwy·技术架构】产品 0 到 1 设计与架构阶段。触发场景：用户说『设计架构 / 出技术方案 / 设计库表 / 定接口契约 / 技术架构 / architecture』，要在开发前定下技术架构、数据库设计和接口契约时。"
+description: "【dwy·技术架构】产品 0 到 1 设计与架构阶段。触发场景：用户说『设计架构 / 出技术方案 / 设计库表 / 定接口契约 / 技术架构 / architecture』，要在开发前定下技术架构、数据库设计和接口契约时。按四层架构（Assembly/Features/BizFoundation/Foundation）+ 统一选型（Python+FastAPI、Vue+Vite）产出。"
 ---
 
 ## 职责（单一）
-按项目 rules 产出技术架构 + 数据库库表设计 + 接口契约。
+按项目 rules + 下方架构约束，产出技术架构 + 数据库库表设计 + 接口契约。
 
 ## 输入（从哪读）
 - state.json 的 `confirmed.prd`、`confirmed.tasks`、`confirmed.prototype`
 - `.dwy/prod/[项目]/02-需求规划/PRD.md`、`开发任务拆解.md`
 - 项目 `.claude/rules/` 下的技术栈与编码规则
 
+## 架构约束（硬）
+
+项目已有 `.claude/rules/` 时**以项目 rules 为准**；项目无明确规定时按本节统一缺省。
+
+### 技术选型（缺省基线，写在架构选项之上）
+
+以下为默认选型基线，**先按此基线落地**；结合上下文（PRD / 选型 / 项目 rules）判断**基线不合适时，必须用 `AskUserQuestion` 跟用户确认后才换**，禁止默默偏离基线、也禁止默默换栈。
+
+- **后端统一 Python + FastAPI**（异步、Pydantic v2、SQLAlchemy 2.0 风格，与 `dwyeapi` 生态对齐）
+  - **Python 虚拟环境用 `uv` 管理**（venv + 依赖 + 运行）
+  - **DB 迁移用 Alembic**（与 SQLAlchemy 2.0 配套）
+  - **配置 / settings 用 pydantic-settings**（与 `dwyeapi` config 对齐）
+  - **认证用 JWT**（与 `dwyeapi` security 的 create_token/decode_token + bcrypt 对齐）
+- **后端有数据库时**：
+  - **关系型数据库用 PostgreSQL**（连接串如 `postgresql+asyncpg://user:pass@localhost:5432/mydb`）
+  - **内存数据库 / 缓存用 Redis**（`redis://localhost:6379/0`）
+  - **用 Docker 部署**（后端 + Postgres + Redis 编排到 `docker-compose.yml`）
+  - **反向代理 / 入口网关用 Nginx**
+- **前端 Vue 用 Vite + TailwindCSS + TypeScript**（`@dwydev/eui` + `@dwydev/ekit` 可选用，不强制）
+  - **包管理器用 pnpm**（与本 monorepo 一致）
+  - **状态管理用 Pinia**
+  - **HTTP 客户端用 axios**（或 `@dwydev/ekit` 的 request）
+  - **E2E 测试用 Playwright**（单测 Vitest 为项目默认）
+- **CI/CD 走 GitHub Actions + OIDC**（发布鉴权用 OIDC，禁长期静态凭据）
+- **基线不适用就先确认**：任一项基线与上下文冲突（如纯前端无需 Docker/DB、要换其他 DB/MQ/中间件、不能用某项）→ 先 `AskUserQuestion` 跟用户确认，确认后在架构文档写明偏离基线的理由
+
+### 四层架构（依赖严格单向向下：Assembly → Features → BizFoundation → Foundation）
+
+| 层 | 职责 | 后端示例 | 前端示例 |
+|---|---|---|---|
+| **装配层 (Assembly)** | 实例化 / 依赖注入 / 路由挂载 / 生命周期，**零业务逻辑** | `src/app/`（main.py 装 Provider/Hook、factories） | `apps/web`（路由、stores、main.ts） |
+| **Features (业务功能层)** | 各业务域领域逻辑，域内 router+service+schema+model **聚在同一目录** | `<域>/`（如 `factor/`、`plan/`、`quota/`） | `features/*`（如 auth、settings） |
+| **业务基础层 (BizFoundation)** | 业务相关但跨业务域复用：鉴权、领域协议/Provider、领域设施 | `auth`、各包 `protocols.py`/`providers` | 跨域复用的业务 composable/store |
+| **业务无关层 (Foundation)** | 与业务完全无关的 kernel | `shared`（DB/Redis/签名/中间件） | `core`（httpClient/格式化/常量） |
+
+### 三条铁律
+- **依赖单向向下，绝不反向**：下层禁止 import 上层；Foundation 禁止 import 任何业务包；跨业务域**不直接互 import**，靠装配层用 Protocol/Hook 桥接。
+- **业务内聚**：一个业务域 = 一个目录，域内 router/service/schema/model 聚在一起。✅ `factor/`（含 router+service+validators）；❌ 顶层 `routers/`+`services/`+`models/` 三个大锅各塞所有域。
+- **装配层是唯一能 import 具体实现的地方**：业务代码只通过 `get_xxx_provider()` 取实例，换实现不改业务代码。
+
 ## 实现
 [自写型]
-1. 读项目 `.claude/rules/`，按项目既定技术栈与规范产出架构
-2. 技术架构：分层、模块边界、技术选型理由
-3. 数据库设计：库表、字段、索引、关系
+1. 读项目 `.claude/rules/`，结合上方架构约束产出架构（项目 rules 优先，本约束兜底）
+2. 技术架构：**先按四层归位模块、按业务域聚目录**，再写分层/模块边界/选型理由；选型不确定处走 `AskUserQuestion`
+3. **判有无后端**（读选型/PRD：有 API / 持久化 / 账户体系 → 有后端）：
+   - **有后端** → 必出数据库设计，且**建模到位**：库表清单 / 字段(类型·约束·默认·可空) / 主外键关系 / 索引 / 必要的范式或反范式说明，与接口契约 schema 对齐
+   - **纯前端**（无后端）→ 跳过数据库设计，在 `技术架构.md` 注明「无后端，不涉及库表」
 4. 接口契约：路由、请求/响应 schema（遵循项目响应格式约定）
-5. **走 rules 土建**，不引入项目规范外的技术栈
+5. **走 rules + 约束土建**，不引入约束外的技术栈
 
 ## 产出契约（硬约束）
-- 落到：`.dwy/prod/[项目]/03-设计与架构/技术架构.md`、`数据库设计.md`、`接口契约.md`
+- 落到：`.dwy/prod/[项目]/04-架构设计/技术架构.md`、`接口契约.md`，**有后端时**加 `数据库设计.md`
 - 固定章节：
-  - 技术架构.md：分层架构 / 模块划分 / 技术选型
-  - 数据库设计.md：库表清单 / 字段定义 / 关系与索引
+  - 技术架构.md：**四层划分 + 各业务域目录结构** / 模块边界 / 技术选型（按缺省基线写明 Python+FastAPI+uv+Alembic+pydantic-settings+JWT、前端 Vue+Vite+TS+Tailwind+pnpm+Pinia+axios+Playwright、CI/CD GitHub Actions OIDC；有 DB 写明 PostgreSQL+Redis+Docker+Nginx；偏离基线处写明原因）/ 选型不明或偏离基线处的 AskUserQuestion 确认记录 / 有无后端结论
+  - 数据库设计.md（**有后端必出**）：库表清单 / 字段定义(类型·约束·默认·可空) / 主外键关系与索引 / 与接口契约对齐
   - 接口契约.md：接口清单 / 请求响应 schema / 错误码
 - 回写 state.json：`confirmed.architecture`