create-ssnode-cli 0.2.5 → 0.2.7

package/templates/backend/ops/lib-encrypt.sh

@@ -0,0 +1,98 @@
+#!/usr/bin/env bash
+###
+ # Description  配置加密维护(lib)—— 三模式 mode install 共用(被 source,零动作)
+###
+# 由 systemd/pm2/docker 的 install.sh source(调用方已 source 各自 config.sh,
+# MODE/APP_ROOT 已就位)。加密模型见 docs/config-encryption.md:
+#   仓库与传输层明文维护(开发零密钥零加密操作),服务器侧落盘为密文 ——
+#   · $APP_ROOT/.prod.secrets 存在 → relock:校验既有密文能解 + 就地加密新增明文
+#     (改部署位 config.yaml 明文 → 重跑 ./install.sh 即完成轮换,服务器上不需要 config-crypt)
+#   · 首部署选了加密(CONFIG_ENCRYPT_INIT=1,顶层 install.sh bootstrap 交互置位)且无密钥文件
+#     → init:生成本机根密钥写 .prod.secrets(600,现场打印一次供抄录进密码管理器),随后同 relock
+#   · 都不满足(明文模式)→ 零动作,应用以 security.encrypt=false 接受明文
+# 加密本体在 ops/ensure-encrypt.cjs(零依赖 node 脚本,行级改写保留注释)。
+# node 执行器解析:systemd = config.sh 的 NODE_BIN > PATH;pm2 = PATH;
+# docker = 一次性容器(调用时镜像已构建;--user 以运行者 uid 跑,写回文件的宿主属主不变)。
+# 参数:ensure_config_encryption [<docker镜像引用>](仅 docker 模式需要,= 本次构建的镜像)
+
+ensure_config_encryption() {
+  local secrets="$APP_ROOT/.prod.secrets" cfg_dir="$APP_ROOT/config" image="${1:-}" key=""
+  [[ -f "$cfg_dir/config.yaml" ]] || { echo "⚠ 缺 $cfg_dir/config.yaml,跳过配置加密" >&2; return 0; }
+
+  if [[ -f "$secrets" ]]; then
+    key="$(sed -nE 's/^CONFIG_SECRET_KEY=//p' "$secrets" | head -1 | sed -E "s/^['\"]?//; s/['\"]?$//")"
+    [[ -n "$key" ]] || { echo "✗ $secrets 无 CONFIG_SECRET_KEY(补齐后重跑 ./install.sh)" >&2; return 1; }
+  elif [[ "${CONFIG_ENCRYPT_INIT:-0}" = "1" ]]; then
+    # 生成本机根密钥:openssl(宿主恒有优先)> ensure-encrypt.cjs genkey(宿主无 openssl 时,
+    # systemd/pm2 用 NODE_BIN、docker 用一次性容器跑)
+    if command -v openssl >/dev/null 2>&1; then
+      key="$(openssl rand -base64 32 | tr -d '\n')"
+    else
+      key="$(encrypt_genkey "$image")" || return 1
+    fi
+    [[ -n "$key" ]] || { echo "✗ 根密钥生成失败(openssl 与 node 均不可用)" >&2; return 1; }
+    {
+      echo '# 配置密文根密钥 —— 首部署时由 install.sh 在本机生成,勿外传;务必备份进密码管理器。'
+      echo '# 轮换:改部署位 config/config.yaml 明文 → 重跑 ./install.sh 自动重新加密(手册 docs/config-encryption.md)。'
+      echo "CONFIG_SECRET_KEY=$key"
+    } > "$secrets"
+    chmod 600 "$secrets"
+    echo ""
+    echo "✓ 配置加密根密钥已生成 → $secrets (600;仅此一次打印,存进密码管理器):"
+    echo "    $key"
+  else
+    return 0   # 明文模式:无密钥文件即不加密,应用按 security.encrypt=false 接受明文
+  fi
+
+  echo "▶ 配置加密:校验既有密文 + 就地加密部署位 config.yaml 的非空明文敏感值 ..."
+  encrypt_relock "$image" "$key" "$cfg_dir"
+}
+
+# ensure-encrypt.cjs 定位(共享 ops,lay_out_ops 已就位)
+encrypt_helper() {
+  local h="$APP_ROOT/ops/ensure-encrypt.cjs"
+  [[ -f "$h" ]] || { echo "✗ 缺 $h(共享 ops 未就位;重跑 ./install.sh 完成部署)" >&2; return 1; }
+  printf '%s' "$h"
+}
+
+# genkey(宿主无 openssl 时的兜底):systemd/pm2 走 NODE_BIN/PATH,docker 走一次性容器
+encrypt_genkey() {
+  local image="${1:-}" h node_bin out
+  h="$(encrypt_helper)" || return 1
+  if [[ "$MODE" == "docker" ]]; then
+    [[ -n "$image" ]] || { echo "✗ docker 模式配置加密缺镜像引用" >&2; return 1; }
+    out="$(docker run --rm -v "$h":/app/ensure-encrypt.cjs:ro "$image" node /app/ensure-encrypt.cjs genkey 2>/dev/null)" \
+      || { echo "✗ 一次性容器 genkey 失败" >&2; return 1; }
+  else
+    encrypt_resolve_node || return 1
+    out="$("$ENCRYPT_NODE_BIN" "$h" genkey)" || { echo "✗ genkey 失败" >&2; return 1; }
+  fi
+  printf '%s' "$out"
+}
+
+# node 执行器解析(systemd/pm2 宿主直跑;结果写 ENCRYPT_NODE_BIN)
+encrypt_resolve_node() {
+  if [[ "$MODE" == "systemd" && -x "${NODE_BIN:-}" ]]; then
+    ENCRYPT_NODE_BIN="$NODE_BIN"
+  else
+    ENCRYPT_NODE_BIN="$(command -v node || true)"
+  fi
+  [[ -n "$ENCRYPT_NODE_BIN" ]] || { echo "✗ 找不到 node($MODE 模式配置加密需要;明文模式可忽略,修好 NODE_BIN/PATH 后重跑)" >&2; return 1; }
+}
+
+# relock:加密维护本体(systemd/pm2 宿主直跑;docker 一次性容器,--user 保宿主文件属主)
+encrypt_relock() {
+  local image="$1" key="$2" cfg_dir="$3" h
+  h="$(encrypt_helper)" || return 1
+  if [[ "$MODE" == "docker" ]]; then
+    [[ -n "$image" ]] || { echo "✗ docker 模式配置加密缺镜像引用(应传本次构建的镜像)" >&2; return 1; }
+    docker run --rm --user "$(id -u):$(id -g)" \
+      -e CONFIG_SECRET_KEY="$key" \
+      -v "$h":/app/ensure-encrypt.cjs:ro \
+      -v "$cfg_dir":/app/config \
+      "$image" node /app/ensure-encrypt.cjs relock /app/config
+  else
+    encrypt_resolve_node || return 1
+    CONFIG_SECRET_KEY="$key" "$ENCRYPT_NODE_BIN" "$h" relock "$cfg_dir"
+  fi
+}

package/templates/backend/ops/lib.sh

@@ -0,0 +1,22 @@
+#!/usr/bin/env bash
+###ops 共享函数库(source 时零动作)—— 跨 mode 公共能力,随包全量分发。###
+# 身份纪律:ops 不烙项目内容,服务名/容器名/镜像名一律运行时从 current/package.json
+# 的 name 派生(pkg_name)—— 与镜像 tag/version(同文件)同源自洽,改名只改 package.json。
+# 覆盖口子在各 mode config.sh 的 ${VAR:-$(pkg_name)}:身份需与包名分叉的项目
+# (如 scoped 包名剥 @scope 后不合意)export SERVICE/CONTAINER_NAME/IMAGE/APP_NAME 即可。
+#
+# current/package.json 服务器恒在:docker = current 真目录;systemd/pm2 = current 软链,
+# 且顶层 install.sh 先 go_live/落 release 后才派发 mode install;缺文件 = 部署完整性问题。
+
+# 读 APP_ROOT/current/package.json 的 name(与各 config.sh 读 version 同款解析),
+# 剥 @scope/ 取 basename,校验可用作 systemd unit / docker 容器 / pm2 app 名。
+pkg_name() {
+  local f n
+  [[ -n "${APP_ROOT:-}" ]] || { echo "✗ pkg_name: APP_ROOT 未导出(应由顶层脚本或 config.sh 解析)" >&2; return 1; }
+  f="$APP_ROOT/current/package.json"
+  [[ -f "$f" ]] || { echo "✗ pkg_name: 缺 $f(current 未落位或部署不完整)" >&2; return 1; }
+  n="$(grep -m1 '"name"' "$f" | sed -E 's/.*"name"[[:space:]]*:[[:space:]]*"([^"]+)".*/\1/' || true)"
+  n="${n##*/}"   # 剥 @scope/(如 @iscp/backend → backend)
+  [[ "$n" =~ ^[A-Za-z0-9][A-Za-z0-9._-]*$ ]] || { echo "✗ pkg_name: 包名 $n 不可用作服务名(仅允许 [A-Za-z0-9._-])" >&2; return 1; }
+  printf '%s' "$n"
+}

package/templates/backend/ops/pm2/config.sh

@@ -1,14 +1,14 @@
 #!/usr/bin/env bash
 # pm2 部署共用配置 —— 运维按环境改这一处即可。
-# 配置项(端口/dataDir/signKey 等)在 current/config/config.<ENV>.yaml 里,
-# 改 yaml + pm2 restart 即生效,不重新打包服务。
+# 配置项(端口/密钥/阈值等)在部署位 APP_ROOT/config/config.yaml 里(ecosystem 注入
+# CONFIG_DIR,跨版本共享),改 yaml + pm2 restart 即生效,不重新打包服务。
 
-# pm2 应用名
-APP_NAME="fullstack-template-backend"
+# pm2 应用名:不再此处定值 —— 运行时由 lib.sh::pkg_name 从 current/package.json 的 name
+# 派生(见文件末 resolve_app_root 之后的赋值)。
 # 环境(决定读 config.<ENV>.yaml)
 ENV="prod"
 # 后端根目录(current / releases / data / logs 所在)
-#   - 正常由顶层 baked 脚本(start/stop/install/versionswitch)导出 APP_ROOT 环境变量,此处直读、锁定不询问。
+#   - 正常由顶层脚本(start/stop/install/versionswitch,运行时自定位)导出 APP_ROOT 环境变量,此处直读、锁定不询问。
 #   - 直接跑 mode 脚本(未经顶层封装)时,按脚本位置推导为 ops/<mode> 的上两级(即 APP_ROOT)。
 #   - 也可 export APP_ROOT=/xxx 显式指定(锁定、不询问)。
 APP_ROOT="${APP_ROOT:-}"
@@ -27,7 +27,7 @@ derive_paths() {
   LOG_DIR="$APP_ROOT/logs"
 }
 
-# ── 解析 APP_ROOT ── 优先级:顶层 baked 脚本导出的环境变量 > 脚本位置推导。
+# ── 解析 APP_ROOT ── 优先级:顶层脚本导出的环境变量 > 脚本位置推导。
 #    正常由顶层 start/stop/install/versionswitch 导出 APP_ROOT,此处直读;直接跑 mode 脚本时按位置推导。
 resolve_app_root() {
   if [[ -z "${APP_ROOT:-}" ]]; then
@@ -47,3 +47,8 @@ resolve_app_root() {
 
 # 各脚本 source 时自动解析一次(此后 CURRENT_DIR/... 等即就绪)
 resolve_app_root
+
+# 共享函数库 + pm2 应用名派生(须在 resolve_app_root 之后:pkg_name 读 current/package.json,
+# APP_ROOT/current 就绪才能取)。export APP_NAME 可覆盖派生值(身份与包名分叉的项目用)。
+source "$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)/lib.sh"
+APP_NAME="${APP_NAME:-$(pkg_name)}"

package/templates/backend/ops/pm2/install.sh

@@ -15,12 +15,36 @@ command -v "$PM2_BIN" >/dev/null 2>&1 || { echo "✗ pm2 不存在: $PM2_BIN (
 
 mkdir -p "$LOG_DIR"
 
+# 配置加密维护(每次部署):首部署选「开启加密」时生成本机根密钥;有根密钥则把部署位
+# config.yaml 新明文就地加密(改明文 + 重跑 ./install.sh = 轮换闭环,见 docs/config-encryption.md)。
+source "$DIR/../lib-encrypt.sh"
+ensure_config_encryption
+
 # JS 安全双引号转义(任意值合法):先转 \ 再转 "。替代 bash4.4+ 的 ${var@Q},
 # 兼容服务器 bash 4.2(CentOS/RHEL 7)。生成的字符串直接进 ecosystem.config.cjs。
 q() { local v="$1"; v="${v//\\/\\\\}"; v="${v//\"/\\\"}"; printf '"%s"' "$v"; }
 
-# 生成 ecosystem(pm2 读 cwd=current,配置走 release 自带 config.yaml;env 注入
-# NODE_ENV 选 yaml + DB_DIR 指向跨版本共享 data 目录 = APP_ROOT/data)
+# 配置密文根密钥:从 $APP_ROOT/.prod.secrets(600)读 CONFIG_SECRET_KEY 注入 ecosystem env。
+# 缺文件 = 明文模式(不注,应用按 security.encrypt=false 接受明文);但部署位 config.yaml
+# 带 ENC(...) 而无密钥 = 部署不完整,fail-fast(应用启动同样解不开,这里拦在部署期)。
+SECRETS_FILE="$APP_ROOT/.prod.secrets"
+SECRET_ENV_KV=""
+if [[ -f "$SECRETS_FILE" ]]; then
+  chmod 600 "$SECRETS_FILE" 2>/dev/null || true
+  secret_key="$(sed -nE 's/^CONFIG_SECRET_KEY=//p' "$SECRETS_FILE" | head -1 | sed -E "s/^['\"]?//; s/['\"]?$//")"
+  [[ -n "$secret_key" ]] || { echo "✗ $SECRETS_FILE 无 CONFIG_SECRET_KEY(补齐后重跑)" >&2; exit 1; }
+  SECRET_ENV_KV="CONFIG_SECRET_KEY: $(q "$secret_key"), "
+elif grep -q 'ENC(' "$APP_ROOT/config/config.yaml" 2>/dev/null; then
+  echo "✗ 缺 $SECRETS_FILE 但部署位 config.yaml 含 ENC(...) 密文(重跑 ./install.sh <release 包> 重新部署)" >&2
+  exit 1
+else
+  echo "▶ 明文模式:无 $SECRETS_FILE,ecosystem 不注 CONFIG_SECRET_KEY"
+fi
+
+# 生成 ecosystem(pm2 读 cwd=current;配置经 CONFIG_DIR=APP_ROOT/config 指向部署位
+# (跨版本共享,不随 release 换目录),configuration.ts 据此加载 base + 环境 overlay
+# (config.yaml),改它 + pm2 restart 即生效;env 注入 DB_DIR 指向跨版本共享 data 目录 =
+# APP_ROOT/data;SLOW_SQL_DIR/API_LOG_DIR 同口径指向 APP_ROOT/logs(切版本不散落)
 ECO_PATH="$APP_ROOT/ecosystem.config.cjs"
 echo "  写入 ecosystem → $ECO_PATH"
 cat > "$ECO_PATH" <<EOF
@@ -34,7 +58,7 @@ module.exports = {
     out_file: $(q "$LOG_DIR/$APP_NAME.log"),
     error_file: $(q "$LOG_DIR/$APP_NAME.log"),
     merge_logs: true,
-    env: { NODE_ENV: $(q "$ENV"), DB_DIR: $(q "$DATA_DIR") }
+    env: { NODE_ENV: $(q "$ENV"), CONFIG_DIR: $(q "$APP_ROOT/config"), DB_DIR: $(q "$DATA_DIR"), ${SECRET_ENV_KV}SLOW_SQL_DIR: $(q "$LOG_DIR/slowsql"), API_LOG_DIR: $(q "$LOG_DIR/apilog") }
   }]
 };
 EOF

package/templates/backend/ops/pm2/start.sh

@@ -7,7 +7,7 @@ source "$DIR/config.sh"
 echo "▶ 启动 $APP_NAME..."
 if $PM2_BIN jlist 2>/dev/null | grep -q "\"name\":\"$APP_NAME\""; then
   # restart(非 reload):本应用 exec_mode=fork,pm2 reload 仅供 cluster 模式、fork 下不可靠;
-  # restart 对 running/stopped 均幂等,且重启进程 → 重读 current/config/config.prod.yaml(改配置+./start.sh 轮换)。
+  # restart 对 running/stopped 均幂等,且重启进程 → 重读部署位 APP_ROOT/config/config.yaml(跨版本共享;改配置+./start.sh 轮换)。
   $PM2_BIN restart "$APP_NAME" --update-env
   echo "✓ restarted."
 else

package/templates/backend/ops/start.sh

@@ -1,12 +1,14 @@
 #!/usr/bin/env bash
 ###
- # Description  backend 启动薄封装 —— 按 baked MODE 派发到 ops/<mode>/start.sh
+ # Description  backend 启动薄封装 —— 按 MODE 派发到 ops/<mode>/start.sh
 ###
-# 由 install.sh 首次部署时拷到 APP_ROOT 根并 baked APP_ROOT/MODE 字面量。
+# install.sh 首次部署拷到 APP_ROOT 根。零配置(不 baked):
+#   APP_ROOT = 脚本所在目录(整个 APP_ROOT 搬迁后开箱即用)
+#   MODE     = $APP_ROOT/.mode(首次部署时由 install.sh 写入)
 # 直接在 APP_ROOT 下跑: ./start.sh
 set -euo pipefail
-APP_ROOT="${APP_ROOT:-}"   # baked
-MODE="${MODE:-}"            # baked
-[[ -n "$APP_ROOT" && -n "$MODE" ]] || { echo "✗ 后台服务目录/MODE 未 baked(先跑 install.sh 完成首次部署)" >&2; exit 1; }
+APP_ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+MODE="$(cat "$APP_ROOT/.mode" 2>/dev/null || true)"
+[[ -n "$MODE" ]] || { echo "✗ 缺 $APP_ROOT/.mode(先跑 ./install.sh 完成首次部署)" >&2; exit 1; }
 export APP_ROOT MODE
 exec bash "$APP_ROOT/ops/$MODE/start.sh"

package/templates/backend/ops/status.sh

@@ -1,12 +1,14 @@
 #!/usr/bin/env bash
 ###
- # Description  backend 状态薄封装 —— 按 baked MODE 派发到 ops/<mode>/status.sh
+ # Description  backend 状态薄封装 —— 按 MODE 派发到 ops/<mode>/status.sh
 ###
-# 由 install.sh 首次部署时拷到 APP_ROOT 根并 baked APP_ROOT/MODE 字面量。
+# install.sh 首次部署拷到 APP_ROOT 根。零配置(不 baked):
+#   APP_ROOT = 脚本所在目录(整个 APP_ROOT 搬迁后开箱即用)
+#   MODE     = $APP_ROOT/.mode(首次部署时由 install.sh 写入)
 # 直接在 APP_ROOT 下跑: ./status.sh
 set -euo pipefail
-APP_ROOT="${APP_ROOT:-}"   # baked
-MODE="${MODE:-}"            # baked
-[[ -n "$APP_ROOT" && -n "$MODE" ]] || { echo "✗ 后台服务目录/MODE 未 baked(先跑 install.sh 完成首次部署)" >&2; exit 1; }
+APP_ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+MODE="$(cat "$APP_ROOT/.mode" 2>/dev/null || true)"
+[[ -n "$MODE" ]] || { echo "✗ 缺 $APP_ROOT/.mode(先跑 ./install.sh 完成首次部署)" >&2; exit 1; }
 export APP_ROOT MODE
 exec bash "$APP_ROOT/ops/$MODE/status.sh"

package/templates/backend/ops/stop.sh

@@ -1,12 +1,14 @@
 #!/usr/bin/env bash
 ###
- # Description  backend 停止薄封装 —— 按 baked MODE 派发到 ops/<mode>/stop.sh
+ # Description  backend 停止薄封装 —— 按 MODE 派发到 ops/<mode>/stop.sh
 ###
-# 由 install.sh 首次部署时拷到 APP_ROOT 根并 baked APP_ROOT/MODE 字面量。
+# install.sh 首次部署拷到 APP_ROOT 根。零配置(不 baked):
+#   APP_ROOT = 脚本所在目录(整个 APP_ROOT 搬迁后开箱即用)
+#   MODE     = $APP_ROOT/.mode(首次部署时由 install.sh 写入)
 # 直接在 APP_ROOT 下跑: ./stop.sh
 set -euo pipefail
-APP_ROOT="${APP_ROOT:-}"   # baked
-MODE="${MODE:-}"            # baked
-[[ -n "$APP_ROOT" && -n "$MODE" ]] || { echo "✗ 后台服务目录/MODE 未 baked(先跑 install.sh 完成首次部署)" >&2; exit 1; }
+APP_ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+MODE="$(cat "$APP_ROOT/.mode" 2>/dev/null || true)"
+[[ -n "$MODE" ]] || { echo "✗ 缺 $APP_ROOT/.mode(先跑 ./install.sh 完成首次部署)" >&2; exit 1; }
 export APP_ROOT MODE
 exec bash "$APP_ROOT/ops/$MODE/stop.sh"

package/templates/backend/ops/systemd/config.sh

@@ -1,14 +1,16 @@
 #!/usr/bin/env bash
 # systemd 部署共用配置 —— 运维按环境改这一处即可,各脚本都 source 它。
 # 改完不用重新打包服务:systemd unit 读的是这里的值(install 时生成),配置项
-# (端口/dataDir/signKey 等)在 current/config/config.<ENV>.yaml 里,改 yaml + restart 即生效。
+# (端口/密钥/阈值等)在部署位 APP_ROOT/config/config.yaml 里(unit 注入 CONFIG_DIR,
+# 跨版本共享),改 yaml + restart 即生效。
 
-# 服务名(unit 文件名 = $SERVICE.service)
-SERVICE="fullstack-template-backend"
-# 环境(决定进程读 config.<ENV>.yaml,prod 不开 synchronize、启动自动跑迁移)
+# 服务名:不再此处定值 —— 运行时由 lib.sh::pkg_name 从 current/package.json 的 name 派生
+# (见文件末 resolve_app_root 之后的赋值;unit 文件名 = $SERVICE.service)。
+# 环境(NODE_ENV;prod 不开 synchronize、启动自动跑迁移。yaml 文件选择见 configuration.ts:
+# CONFIG_DIR 里 config.yaml(部署位固定名)优先)
 ENV="prod"
 # 后端根目录(current / releases / data / logs 所在)
-#   - 正常由顶层 baked 脚本(start/stop/install/versionswitch)导出 APP_ROOT 环境变量,此处直读、锁定不询问。
+#   - 正常由顶层脚本(start/stop/install/versionswitch,运行时自定位)导出 APP_ROOT 环境变量,此处直读、锁定不询问。
 #   - 直接跑 mode 脚本(未经顶层封装)时,按脚本位置推导为 ops/<mode> 的上两级(即 APP_ROOT)。
 #   - 也可 export APP_ROOT=/xxx 显式指定(锁定、不询问)。
 APP_ROOT="${APP_ROOT:-}"
@@ -27,7 +29,7 @@ derive_paths() {
   LOG_DIR="$APP_ROOT/logs"
 }
 
-# ── 解析 APP_ROOT ── 优先级:顶层 baked 脚本导出的环境变量 > 脚本位置推导。
+# ── 解析 APP_ROOT ── 优先级:顶层脚本导出的环境变量 > 脚本位置推导。
 #    正常由顶层 start/stop/install/versionswitch 导出 APP_ROOT,此处直读;直接跑 mode 脚本时按位置推导。
 resolve_app_root() {
   if [[ -z "${APP_ROOT:-}" ]]; then
@@ -48,5 +50,10 @@ resolve_app_root() {
 # 各脚本 source 时自动解析一次(此后 CURRENT_DIR/... 等即就绪)
 resolve_app_root
 
+# 共享函数库 + 服务名派生(须在 resolve_app_root 之后:pkg_name 读 current/package.json,
+# APP_ROOT/current 就绪才能取)。export SERVICE 可覆盖派生值(身份与包名分叉的项目用)。
+source "$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)/lib.sh"
+SERVICE="${SERVICE:-$(pkg_name)}"
+
 # 非 root 自动 sudo(systemctl 写 /etc/systemd 需 root)
 if [[ $EUID -ne 0 ]]; then SUDO="sudo"; else SUDO=""; fi

package/templates/backend/ops/systemd/install.sh

@@ -1,6 +1,6 @@
 #!/usr/bin/env bash
 # 安装 systemd 服务:生成 unit → daemon-reload → enable → restart(新代码生效)。
-# 由顶层 install.sh/versionswitch.sh 派发(APP_ROOT 已 baked/导出,config.sh 锁定不弹菜单)。
+# 由顶层 install.sh/versionswitch.sh 派发(APP_ROOT 已导出,config.sh 锁定不弹菜单)。
 # 前提:current 已就绪 —— current 是软链 → releases/<ver>-<ts>(install.sh IS_SYMLINK=1 + go_live ln -sfn),
 # unit 的 WorkingDirectory=current 跟着软链走;每次部署重生成 unit + restart,新 release 生效。
 set -euo pipefail
@@ -30,7 +30,30 @@ echo "  工作目录: $CURRENT_DIR"
 
 $SUDO mkdir -p "$LOG_DIR"
 
+# 配置加密维护(每次部署):首部署选「开启加密」时生成本机根密钥;有根密钥则把部署位
+# config.yaml 新明文就地加密(改明文 + 重跑 ./install.sh = 轮换闭环,见 docs/config-encryption.md)。
+source "$DIR/../lib-encrypt.sh"
+ensure_config_encryption
+
+# 配置密文根密钥:unit 以 EnvironmentFile 读 $APP_ROOT/.prod.secrets(600,仅属主可读),
+# 不直接写进 unit(unit 在 /etc/systemd 下可被多读;secrets 文件独立收紧权限、轮换不动 unit)。
+# 缺文件 = 明文模式(unit 不注 EnvironmentFile);但部署位 config.yaml 带 ENC(...) 而无密钥
+# = 部署不完整,fail-fast(应用启动也会因解不开密文失败,这里拦在部署期更好排查)。
+SECRETS_FILE="$APP_ROOT/.prod.secrets"
+ENVFILE_LINE=""
+if [[ -f "$SECRETS_FILE" ]]; then
+  $SUDO chmod 600 "$SECRETS_FILE" 2>/dev/null || true
+  ENVFILE_LINE="EnvironmentFile=$SECRETS_FILE"
+elif grep -q 'ENC(' "$APP_ROOT/config/config.yaml" 2>/dev/null; then
+  err "缺 $SECRETS_FILE 但部署位 config.yaml 含 ENC(...) 密文(重跑 ./install.sh <release 包> 重新部署)"
+  exit 1
+else
+  say "明文模式:无 $SECRETS_FILE,unit 不注 EnvironmentFile(应用按 security.encrypt=false 接受明文)"
+fi
+
 # unit 字段全走 current 软链 / APP_ROOT / 持久化 config.sh,跨版本逐字节不变。
+# CONFIG_DIR=APP_ROOT/config:部署位配置(跨版本共享,不随 release 换目录),configuration.ts
+# 据此加载 base + 环境 overlay(config.yaml);改它 + systemctl restart 即生效。
 UNIT_PATH="/etc/systemd/system/$SERVICE.service"
 NEW_UNIT="$(cat <<EOF
 [Unit]
@@ -42,7 +65,11 @@ Type=simple
 User=$RUN_USER
 WorkingDirectory=$CURRENT_DIR
 Environment=NODE_ENV=$ENV
+Environment=CONFIG_DIR=$APP_ROOT/config
 Environment=DB_DIR=$APP_ROOT/data
+Environment=SLOW_SQL_DIR=$LOG_DIR/slowsql
+Environment=API_LOG_DIR=$LOG_DIR/apilog
+$ENVFILE_LINE
 ExecStart=$NODE_BIN $CURRENT_DIR/dist/main.js
 Restart=on-failure
 RestartSec=5

package/templates/backend/ops/systemd/start.sh

@@ -6,7 +6,7 @@ source "$DIR/config.sh"
 
 echo "▶ 启动 $SERVICE..."
 # restart(非 start):服务在跑时 systemctl start 是 no-op、不重载配置;restart 始终重启
-# 进程 → 重读 current/config/config.prod.yaml,适用于「服务器改 yaml 后直接 ./start.sh 轮换」。
+# 进程 → 重读部署位 APP_ROOT/config/config.yaml(跨版本共享),适用于「服务器改配置后直接 ./start.sh 轮换」。
 $SUDO systemctl restart "$SERVICE"
 $SUDO systemctl --no-pager --full status "$SERVICE" | head -n 12 || true
 echo "✓ restarted. 状态: ./status.sh | 日志: ./logs.sh"

package/templates/backend/ops/versionswitch.sh

@@ -2,18 +2,21 @@
 ###
  # Description  backend 版本切换薄封装 —— 按模式切换激活版本(可升可降,不限于回滚)
 ###
-# 由 install.sh 首次部署时拷到 APP_ROOT 根并 baked APP_ROOT/MODE 字面量。
+# install.sh 首次部署拷到 APP_ROOT 根。零配置(不 baked):
+#   APP_ROOT = 脚本所在目录(整个 APP_ROOT 搬迁后开箱即用)
+#   MODE     = $APP_ROOT/.mode(首次部署时由 install.sh 写入)
 # 直接在 APP_ROOT 下跑: ./versionswitch.sh [序号或版本片段]
 #
-# systemd/pm2(current=软链):列 releases 备份,选一个 → 原子改链 current → 刷新 config →
+# systemd/pm2(current=软链):列 releases 备份,选一个 → 原子改链 current →
 #   派发 mode install 重启。旧 release 保留在 releases(可再切换)。data/logs 不动。
-# docker(current=真实目录):列镜像 tag,选一个 → 停删容器 → 用目标 tag 重 run(env 同 .env)。
+# docker(current=真实目录):列镜像 tag,选一个 → 停删容器 → 用目标 tag 重 run(env 同 .prod.docker.env)。
+# 配置/端口不随版本走:部署位 APP_ROOT/config/config.yaml(跨版本共享,systemd/pm2 经
+#   CONFIG_DIR、docker 经挂载注入)与 .prod.docker.env 的 PORT(docker 权威)恒定,
+#   切版本 = 只换代码,配置/端口原样。
 set -euo pipefail
-APP_ROOT="${APP_ROOT:-}"
-MODE="${MODE:-}"
-[[ -n "$APP_ROOT" ]] || { echo "✗ 后台服务目录未 baked" >&2; exit 1; }
-[[ -n "$MODE" ]] || MODE="$(cat "$APP_ROOT/.mode" 2>/dev/null || true)"
-[[ -n "$MODE" ]] || { echo "✗ 缺 MODE" >&2; exit 1; }
+APP_ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+MODE="$(cat "$APP_ROOT/.mode" 2>/dev/null || true)"
+[[ -n "$MODE" ]] || { echo "✗ 缺 $APP_ROOT/.mode(先跑 ./install.sh 完成首次部署)" >&2; exit 1; }
 
 say() { printf '\033[36m▶\033[0m %s\n' "$*"; }
 ok()  { printf '\033[32m✓\033[0m %s\n' "$*"; }
@@ -35,14 +38,13 @@ sort_releases() {
   done < <(ls -1d "$rel"/* 2>/dev/null || true) | sort -r -k1,1 | cut -f2-
 }
 
-# 后台服务访问地址:端口以 config.prod.yaml app.port 为权威(yaml 即运行端口)。
-#   systemd/pm2:current 软链 → 运行中 release 的 config/config.prod.yaml;
-#   docker:运行中容器所用镜像 → image_yaml_port(docker run --entrypoint cat 读其 /app/config)。
+# 后台服务访问地址:端口 = 部署位权威。
+#   systemd/pm2:APP_ROOT/config/config.yaml 的 app.port(CONFIG_DIR 注入,跨版本恒定);
+#   docker:运行容器注入的 PORT env → .prod.docker.env PORT → 镜像内 yaml 兜底。
 # 前缀固定 /api。外网访问用服务器 IP 替换 localhost。
 service_addr() {
   local port=""
   if [[ "$MODE" == "docker" ]]; then
-    # 优先取运行容器注入的 PORT env(选项 2/3 覆盖时 app 实际监听此端口);否则取镜像内 yaml
     port="$(docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' "$CONTAINER_NAME" 2>/dev/null \
       | sed -nE 's/^PORT=//p' | head -1 || true)"
     if [[ -z "$port" ]]; then
@@ -50,7 +52,7 @@ service_addr() {
       [[ -n "$img" ]] && port="$(image_yaml_port "$img")"
     fi
   else
-    local cfg="$APP_ROOT/current/config/config.prod.yaml"
+    local cfg="$APP_ROOT/config/config.yaml"
     [[ -f "$cfg" ]] && port="$(yaml_port "$cfg" || true)"
   fi
   printf 'http://localhost:%s/api' "${port:-?}"
@@ -70,8 +72,9 @@ yaml_port() {
   printf '%s' "$p" | sed -E "s/^['\"]?//; s/['\"]?$//; s/^[[:space:]]+//; s/[[:space:]]+$//"
 }
 
-# 读 docker 镜像内 /app/config/config.prod.yaml 的 app.port(dump 出来本地解析,复用同款口径)。
-# 镜像缺 config/ 或 docker 异常 → 空串(不阻断切换)。仅 docker 切换端口校验用。
+# 读 docker 镜像内 /app/config/config.prod.yaml 的 app.port(镜像内兜底配置;部署位挂载
+# 时的运行端口以 PORT env 为准,此函数仅在容器无 PORT env 的异常形态下兜底)。
+# 镜像缺 config/ 或 docker 异常 → 空串(不阻断切换)。
 image_yaml_port() {
   local img="$1" text
   command -v docker >/dev/null 2>&1 || { printf ''; return 1; }
@@ -83,65 +86,6 @@ image_yaml_port() {
   ' | sed -E "s/^['\"]?//; s/['\"]?$//; s/^[[:space:]]+//; s/[[:space:]]+$//"
 }
 
-# 规范化绝对路径(软链穿透;cd 失败返回空)。用于判断 current 是否指向同一 release。
-real_dir() { (cd "$1" 2>/dev/null && pwd -P) || true; }
-
-# 切换端口选择(仅当目标 != 当前运行版本时调用):端口以 config.prod.yaml 为权威(yaml 即
-# 运行端口),切换到不同端口版本 = 运行端口将真实变更,nginx 若指向旧端口会不通。三选一:
-#   1) 用目标端口(不改动,nginx 需指向目标端口)
-#   2) 用当前运行端口(推荐,nginx 无需改动 —— 把目标 config app.port 改成当前端口)
-#   3) 输入新端口(把目标 config app.port 改成新端口,nginx 需指向新端口)
-# 结果写全局:
-#   CHOSEN_PORT    = 最终运行端口(供后续 -p/healthcheck/service_addr 用)
-#   CHOSEN_PORT_EDIT=1 表示需要把目标 config.prod.yaml 的 app.port 改成 CHOSEN_PORT(选项 2/3)
-# 任一端口读不到 → 跳过(不阻断)。取消 → die(未切链/未重建容器)。
-choose_switch_port() {
-  local cur_port="$1" tgt_port="$2" ans np
-  CHOSEN_PORT=""; CHOSEN_PORT_EDIT=0
-  if [[ -z "$cur_port" || -z "$tgt_port" ]]; then
-    say "端口校验跳过(无法读取某方 yaml app.port,不阻断)"
-    return 0
-  fi
-  [[ "$cur_port" != "$tgt_port" ]] || return 0
-  echo
-  say "⚠ 端口不一致:当前运行端口 app.port=$cur_port,切换目标 app.port=$tgt_port"
-  echo "  (端口以 config.prod.yaml 为权威;nginx 反代 localhost:<app.port>)"
-  echo "  1) 使用切换版本的端口 $tgt_port(切换后 nginx 需指向 $tgt_port)"
-  echo "  2) 使用运行版本的端口 $cur_port(推荐,nginx 无需改动)"
-  echo "  3) 重新输入新的端口"
-  read -rp "  选择 [2]: " ans || ans=""
-  ans="${ans:-2}"
-  case "$ans" in
-    1) CHOSEN_PORT="$tgt_port"; CHOSEN_PORT_EDIT=0 ;;
-    2) CHOSEN_PORT="$cur_port"; CHOSEN_PORT_EDIT=1 ;;
-    3) read -rp "  输入新端口: " np || np=""
-       [[ "$np" =~ ^[0-9]{2,5}$ ]] || die "端口非法: ${np:-空}(未切链/未重建容器)"
-       CHOSEN_PORT="$np"; CHOSEN_PORT_EDIT=1 ;;
-    *) die "已取消切换(未切链/未重建容器)" ;;
-  esac
-}
-
-# 把 release 自带 config.prod.yaml 的 app.port 改为指定值(yaml 为权威;systemd/pm2 切换后
-# current→该 release,app 直读此 yaml 监听 CHOSEN_PORT,nginx 指向 CHOSEN_PORT 即通)。
-# 只改顶层 app: 段内的 port: 行 —— 其它段(database/sso 等)自带的 port: 不动
-# (与 install.sh 的 set_app_port 同口径;app 段无 port 行则报错不落盘)。
-set_yaml_port() {
-  local cfg="$1" port="$2"
-  [[ -f "$cfg" ]] || { err "缺 $cfg,无法改端口"; return 1; }
-  if ! awk -v p="$port" '
-    /^[^[:space:]#]/ { inapp = ($0 ~ /^app:[[:space:]]*(#.*)?$/) }
-    inapp && !done && /^[[:space:]]*port:/ { sub(/:[[:space:]]*.*/, ": " p); done=1 }
-    { print }
-    END { exit done ? 0 : 1 }
-  ' "$cfg" > "$cfg.__port"; then
-    rm -f "$cfg.__port"
-    err "$cfg 的 app: 段内无 port: 行,无法改端口"
-    return 1
-  fi
-  mv "$cfg.__port" "$cfg"
-  ok "已更新 $cfg 的 app.port=$port"
-}
-
 # 内联选号:从数组 items + 用户输入(序号或片段)算 idx(不用 nameref,兼容旧 bash)
 #   用法: pick_idx <数组名> <用户输入>;结果写全局 PICK_IDX
 pick_idx() {
@@ -199,25 +143,8 @@ switch_symlink() {
   echo
   say "切换到: ${items[$PICK_IDX]}"
 
-  # 切换端口选择:仅当目标 != 当前运行版本时,比对两者各自 release yaml 的 app.port。
-  # current 是软链 → real_dir 穿透到运行中的 release 目录,读其 config/config.prod.yaml。
-  local cur_dir; cur_dir="$(real_dir "$APP_ROOT/current")"
-  local tgt_dir; tgt_dir="$(real_dir "$target")"
-  if [[ -n "$cur_dir" && -n "$tgt_dir" && "$cur_dir" != "$tgt_dir" ]]; then
-    choose_switch_port \
-      "$(yaml_port "$cur_dir/config/config.prod.yaml")" \
-      "$(yaml_port "$tgt_dir/config/config.prod.yaml")"
-    # 选项 2/3:把目标 release 自带 config.prod.yaml 的端口改为运行/新端口(yaml 为权威;
-    # 切换后 current→tgt_dir,app 直读此 yaml 监听 CHOSEN_PORT,nginx 指向 CHOSEN_PORT 不变即通)。
-    if [[ "${CHOSEN_PORT_EDIT:-0}" == "1" ]]; then
-      set_yaml_port "$tgt_dir/config/config.prod.yaml" "$CHOSEN_PORT"
-    fi
-  else
-    say "目标即当前版本,端口校验跳过"
-  fi
-
-  # config 随 release:切换即用目标版本自带的 config.yaml(运维在 current/config.yaml
-  # 上做的改动属于当时那个版本,不跨版本迁移)。data/ 跨版本共享,不动。
+  # 配置/端口不随版本走:部署位 APP_ROOT/config/config.yaml(跨版本共享,CONFIG_DIR 注入)
+  # 恒定,切换 = 只换代码,配置原样 —— 老模型「比对本/目标 release yaml 端口」已删除。
 
   # 切链前确认目标完整(防竞态:列表后目录被删)
   [[ -f "$target/dist/main.js" ]] \
@@ -254,7 +181,7 @@ switch_symlink() {
 switch_docker() {
   local dcfg="$APP_ROOT/ops/docker/config.sh"
   [[ -f "$dcfg" ]] || die "缺 $dcfg"
-  # source docker config(APP_ROOT 由 baked)
+  # source docker config(APP_ROOT 已由顶层自定位)
   export APP_ROOT
   source "$dcfg"
 
@@ -275,52 +202,37 @@ switch_docker() {
   echo
   say "切换到镜像: $IMAGE:$tag"
 
-  # docker 端口权威 = .env 的 PORT(跨 tag 恒定,env 注入;切镜像不改端口)。
+  # docker 端口权威 = .prod.docker.env 的 PORT(跨 tag 恒定,env 注入;切镜像不改端口)。
   # 当前运行版本 = 运行中容器所用镜像(docker inspect 取 ref);切换不改 current/,故不读 current/config。
   local cur_img=""
   cur_img="$(docker inspect --format '{{.Config.Image}}' "$CONTAINER_NAME" 2>/dev/null || true)"
 
-  # env:对齐本次 tag(PORT 在 .env 由运维权威,不覆盖;只对齐 TAG/DATA_DIR/CONTAINER_NAME)
-  local env_flag=""
-  if [[ -f "$APP_ROOT/.env" ]]; then
-    _sed_i "$APP_ROOT/.env" \
+  # env:对齐本次 tag(PORT 在 .prod.docker.env 由运维权威,不覆盖;只对齐 TAG/DATA_DIR/CONTAINER_NAME)
+  if [[ -f "$ENV_FILE" ]]; then
+    _sed_i "$ENV_FILE" \
       -e "s|^TAG=.*|TAG=$tag|" \
       -e "s|^DATA_DIR=.*|DATA_DIR=$APP_ROOT/data|" \
       -e "s|^CONTAINER_NAME=.*|CONTAINER_NAME=$CONTAINER_NAME|"
-    env_flag="--env-file $APP_ROOT/.env"
   else
-    err "缺 $APP_ROOT/.env,无法注入密钥"; exit 1
+    err "缺 $ENV_FILE,容器 env 无从注入"; exit 1
   fi
 
-  # 仅当 .env PORT 与当前运行容器的 PORT 不同时告警(运维改了 .env,切换后端口将变,nginx 需指向新端口)。
-  # 端口权威 = .env PORT(app 读 PORT 监听);宿主映射 = 容器监听 = PORT。
+  # 仅当 .prod.docker.env PORT 与当前运行容器的 PORT 不同时告警(运维改过 env,切换后端口将变,nginx 需指向新端口)。
+  # 端口权威 = .prod.docker.env PORT(config.sh source 时经 read_env_port 已赋 PORT/HOST_PORT/CONTAINER_PORT,
+  # run-container.sh 的 -p/-e PORT 均用此值)。
   local env_port cur_port
-  env_port="$(grep -E '^PORT=' "$APP_ROOT/.env" 2>/dev/null | cut -d= -f2- | tr -d '[:space:]')"
+  env_port="$(grep -E '^PORT=' "$ENV_FILE" 2>/dev/null | cut -d= -f2- | tr -d '[:space:]')"
   [[ -z "$env_port" ]] && env_port="3001"
   cur_port="$(docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' "$CONTAINER_NAME" 2>/dev/null \
     | sed -nE 's/^PORT=//p' | head -1 || true)"
   [[ -z "$cur_port" ]] && cur_port="$(image_yaml_port "$cur_img" 2>/dev/null || true)"
   if [[ -n "$cur_port" && "$cur_port" != "$env_port" ]]; then
-    say "⚠ .env PORT=$env_port 与当前运行端口 $cur_port 不同(切换后端口将变为 $env_port,nginx 需指向 $env_port)"
+    say "⚠ $ENV_FILE 的 PORT=$env_port 与当前运行端口 $cur_port 不同(切换后端口将变为 $env_port,nginx 需指向 $env_port)"
   fi
-  HOST_PORT="$env_port"
-  CONTAINER_PORT="$env_port"
-  local port_env=( -e PORT="$env_port" )
 
-  say "重建容器 $CONTAINER_NAME(tag $tag)..."
-  docker stop "$CONTAINER_NAME" 2>/dev/null || true
-  docker rm "$CONTAINER_NAME" 2>/dev/null || true
-  docker run -d \
-    --name "$CONTAINER_NAME" \
-    --restart "$RESTART_POLICY" \
-    -p "$HOST_PORT:$CONTAINER_PORT" \
-    $env_flag \
-    "${port_env[@]}" \
-    -e NODE_ENV=prod \
-    -e DB_DIR="$CONTAINER_DATA_DIR" \
-    -e UPLOAD_STORAGE_PATH="$CONTAINER_DATA_DIR/uploads" \
-    -v "$APP_ROOT/data:$CONTAINER_DATA_DIR" \
-    "$IMAGE:$tag"
+  # 容器创建命令收敛于 run-container.sh(与 start.sh/install.sh 共用,参数勿在调用方手拷)
+  source "$APP_ROOT/ops/docker/run-container.sh"
+  run_container "$IMAGE:$tag"
   ok "版本切换完成 ($CONTAINER_NAME, tag $tag)"
   echo "  后台服务: $(service_addr)  (外网用服务器 IP 替换 localhost)"
   echo "  状态: cd $APP_ROOT && ./ops/docker/status.sh"