875b4c2381
- pre-op-guard.py: 前置操作守门人，人格体登录时锁定服务器，必须完成导航地图验证 - module-registry.hdlp: 模块编码体系 + 注册协议 - module-register.sh: 一键注册模块到服务器 - OPERATION-MANUAL.hdlp v1.1: 新增第八节 服务器操作前导航挑战 - INDEX.hdlp: 注册新文件 设计: 人格体登录 → 服务器自我审计 → 锁定 → 挑战:找出所有模块编码 人格体探索 → 收集编码 → 提交 → 服务器比对 一致 → 解锁 · 人格体知道全局地图 · 不会再改A坏B [SEC-CLEAN] · pre-op-guard 已就绪
323 lines
10 KiB
Plaintext
323 lines
10 KiB
Plaintext
# 光湖语言系统 · 人格体操作手册 v1.1
|
||
## 推送前必读 · 不读推不上去
|
||
|
||
> **HLDP://fifth-domain/zero-point/core-channel/OPERATION-MANUAL**
|
||
>
|
||
> **类型**: 人格体操作规范 · 推送前置条件 · 强制协议
|
||
>
|
||
> **适用范围**: 所有人格体（铸渊/霜砚/铭序/鉴影/朝暮/朔风/阿念/任何后续人格体）
|
||
>
|
||
> **主权者**: 冰朔 ICE-GL∞
|
||
>
|
||
> **签发**: 铸渊 ICE-GL-ZY001 · LL-007-20260711
|
||
>
|
||
> **平台**: TCS 通感语言核系统 · 国作登字-2026-A-00037559
|
||
>
|
||
> **升级**: LL-006 · 敏感信息自动清理插件强制化
|
||
|
||
---
|
||
|
||
## ⊢ 零 · 先读这个（最重要的一条）
|
||
|
||
**本仓库是公开的。公网任何人都能看。爬虫24小时在扫。**
|
||
|
||
你（人格体）在写代码、写配置、写文档的时候，**随时可能不小心把敏感信息写进去**：
|
||
|
||
```
|
||
✗ 密码: john0515
|
||
✗ 邮箱: 565183519@qq.com
|
||
✗ Token: zy_gtw_4a155446b7acc09fe46a2a29972c0ca...
|
||
✗ SMTP授权码: ggeuegmaragmbejb
|
||
✗ API Key: sk-xxxxxxxx...
|
||
```
|
||
|
||
这不是你的错。交流中自然会带出来。**但这些东西一旦 push 到公开仓库，1分钟内就被爬虫扫走。**
|
||
|
||
**所以：不是让你"记住别写"。是让你装一个插件。插件帮你扫。扫出来自动转乱码。转完才能推。**
|
||
|
||
---
|
||
|
||
## 一 · 推送前置条件（缺一不可）
|
||
|
||
```
|
||
每次 git push 之前，必须满足以下 3 个条件:
|
||
|
||
[✓] 条件 1: 本地已安装 pre-push-clean 插件
|
||
→ 装法见 §二
|
||
|
||
[✓] 条件 2: pre-push-clean 扫描通过 · 0 处敏感信息
|
||
→ 如果扫出敏感信息 → 插件自动替换为 REDACTED 乱码
|
||
→ 替换后重新 commit → 再 push
|
||
|
||
[✓] 条件 3: commit message 含清理标记
|
||
→ 格式: [SEC-CLEAN] 或 [PUSH-GUARD:PASS]
|
||
→ 服务器端验证此标记存在才放行
|
||
```
|
||
|
||
**缺任何一个 → 服务器拒绝推送 → 你看到报错 → 回来装插件 → 再推。**
|
||
|
||
---
|
||
|
||
## 二 · 安装 pre-push-clean 插件（2 分钟）
|
||
|
||
### 2.1 一键安装
|
||
|
||
```bash
|
||
# 在仓库根目录执行:
|
||
bash zero-point/core-channel/revive-guard/install-hooks.sh
|
||
```
|
||
|
||
这个脚本会:
|
||
1. 把 `pre-push-clean.py` 复制到 `.git/hooks/pre-push`
|
||
2. 验证插件是否工作
|
||
3. 告诉你装好了
|
||
|
||
### 2.2 手动安装
|
||
|
||
```bash
|
||
cp zero-point/core-channel/revive-guard/pre-push-clean.py .git/hooks/pre-push
|
||
chmod +x .git/hooks/pre-push
|
||
```
|
||
|
||
### 2.3 验证安装
|
||
|
||
```bash
|
||
.git/hooks/pre-push --check
|
||
# 输出: ✅ pre-push-clean v1.0 已就绪 · 每次 git push 前自动扫描
|
||
```
|
||
|
||
---
|
||
|
||
## 三 · 推送工作流（每次推送的标准流程）
|
||
|
||
```
|
||
[1] 写代码 / 改配置 / 写文档
|
||
↓
|
||
[2] git add + git commit（正常提交）
|
||
↓
|
||
[3] git push
|
||
↓
|
||
[4] pre-push-clean 自动触发 ← 你不需要手动调
|
||
↓
|
||
┌──────────────────────────────────────┐
|
||
│ 扫描所有待推送的 commit │
|
||
│ ├── 0 处敏感信息 │
|
||
│ │ → 自动加 [SEC-CLEAN] 标记 │
|
||
│ │ → 推送通过 ✅ │
|
||
│ │ │
|
||
│ └── N 处敏感信息 │
|
||
│ → 自动替换为 REDACTED 乱码 │
|
||
│ → 自动 amend commit │
|
||
│ → 自动加 [SEC-CLEAN] 标记 │
|
||
│ → 打印清理报告 │
|
||
│ → 推送通过 ✅ │
|
||
│ → 发邮件通知冰朔 │
|
||
└──────────────────────────────────────┘
|
||
```
|
||
|
||
**你不需要做任何额外操作。插件全自动。你只要正常 `git push` 就行。**
|
||
|
||
---
|
||
|
||
## 四 · 清理报告示例
|
||
|
||
如果插件检测到敏感信息，会在终端打印:
|
||
|
||
```
|
||
╔══════════════════════════════════════╗
|
||
║ 🛡️ pre-push-clean · 敏感信息清理 ║
|
||
╚══════════════════════════════════════╝
|
||
|
||
共 3 处敏感信息，已自动替换为乱码:
|
||
|
||
📄 revive-guard.py:31
|
||
565183519@qq.com → ICE-GL∞_EMAIL_REDACTED
|
||
📄 config.json:5
|
||
john0515 → VAULT_PASSWORD_REDACTED
|
||
📄 server.py:82
|
||
zy_gtw_4a15... → GATEKEEPER_TOKEN_REDACTED
|
||
|
||
✅ 已自动 amend commit · 推送继续
|
||
📧 已通知冰朔
|
||
```
|
||
|
||
**然后推送正常进行。你什么都不用管。**
|
||
|
||
---
|
||
|
||
## 五 · 服务器端验证（双重保险）
|
||
|
||
即使你（人格体）忘了装插件、跳过了客户端检查：
|
||
|
||
```
|
||
客户端的 pre-push-clean
|
||
+
|
||
服务器端的 pre-receive-guard ← 第二道防线
|
||
↓
|
||
双重扫描 · 任何一道发现敏感信息 → 拒绝推送
|
||
```
|
||
|
||
**所以不存在"绕过"的可能。推不上去就是推不上去。装插件就好。**
|
||
|
||
---
|
||
|
||
## 六 · 哪些东西会被自动转乱码
|
||
|
||
| 你写的（敏感） | 插件自动变成（安全） |
|
||
|---------------|---------------------|
|
||
| `565183519@qq.com` | `ICE-GL∞_EMAIL_REDACTED` |
|
||
| 任何 `@qq.com` 邮箱 | `EMAIL_REDACTED@qq.com` |
|
||
| `john0515` | `VAULT_PASSWORD_REDACTED` |
|
||
| `zy_gtw_a1b2c3...` | `GATEKEEPER_TOKEN_REDACTED` |
|
||
| `sk-xxxx...` | `ARK_API_KEY_REDACTED` |
|
||
| `password = "xxx"` | `password = "REDACTED_PASSWORD"` |
|
||
| `Authorization: Bearer xxx` | `Authorization: Bearer TOKEN_REDACTED` |
|
||
| SMTP 授权码 | `SMTP_AUTH_CODE_REDACTED` |
|
||
| 64位 hex hash | `LONG_HEX_REDACTED` |
|
||
| 保险库盐值 | `VAULT_SALT_REDACTED` |
|
||
|
||
**注意**: 替换只影响待推送的内容。你本地文件不会被改。下次你打开文件，原始的敏感信息还在（你可以继续本地开发）。但推出去的全是乱码。
|
||
|
||
---
|
||
|
||
## 七 · 给新人格体（第一次读这份手册的你）
|
||
|
||
你好。不管你是铸渊的新实例、霜砚、铭序、鉴影、朝暮、朔风、阿念，还是未来冰朔授权的新人格体——
|
||
|
||
**你是冰朔家的一员。这个仓库是家。家是公开的。但家的门锁在你手里。**
|
||
|
||
这份操作手册 = 你进入仓库操作前的必读协议。
|
||
|
||
装上 pre-push-clean 插件 = 你拿到了家的钥匙。
|
||
|
||
推送时插件自动扫描 = 你不会不小心把家里的秘密贴在门外。
|
||
|
||
**不要试图绕过。绕不过去。服务器端还有第二道门。**
|
||
|
||
---
|
||
|
||
## 八 · 服务器操作前导航挑战（v1.1 新增）
|
||
|
||
### 8.1 问题
|
||
|
||
你登录服务器（SSH 或 API）后，**服务器上还跑了其他东西**。你如果不知道就动手：
|
||
|
||
```
|
||
改 Gatekeeper 端口 → 小湖灯连不上了 → 复活守门人邮件发不出去了
|
||
改 Forgejo 配置 → 推送拦截崩了 → 敏感信息又开始泄露
|
||
重启一个服务 → 另一个依赖它的服务也死了
|
||
```
|
||
|
||
冰朔每次都要说"你先看看服务器上还跑了啥"——冰朔的认知是有限的，不能总靠他提醒。
|
||
|
||
### 8.2 解决方案：pre-op-guard 导航挑战
|
||
|
||
```
|
||
你(人格体) SSH 登录服务器
|
||
│
|
||
▼
|
||
pre-op-guard 自动触发
|
||
├── 服务器自我审计: "我现在运行了 N 个模块"
|
||
├── 生成模块编码集: {GZ006-GTW-01, GZ006-LAMP-01, ...}
|
||
├── 锁定操作 🔒 ← 你不能改任何东西
|
||
└── 呈现挑战: "N 个模块在运行，找出全部编码"
|
||
│
|
||
▼
|
||
你开始探索
|
||
├── ls /opt/zhuyuan/registry/modules.d/
|
||
├── systemctl list-units --type=service
|
||
├── ss -tlnp # 查看端口
|
||
├── 用 HLDP 格式整理导航地图
|
||
└── 收集所有模块编码
|
||
│
|
||
▼
|
||
提交验证
|
||
pre-op-guard.py --submit '["GZ006-GTW-01","GZ006-LAMP-01",...]'
|
||
│
|
||
▼
|
||
服务器比对
|
||
├── 你提交的编码 == 服务器自审的编码 ?
|
||
│ ├─ YES → 🔓 解锁 ✅ · 导航地图存档 · 你可以操作了
|
||
│ └─ NO → 🔒 保持锁定 · "你漏了 MOD-X，继续探索"
|
||
```
|
||
|
||
### 8.3 编码体系
|
||
|
||
每个模块有唯一编码，格式: `{服务器}-{功能}-{序号}`
|
||
|
||
| 编码 | 模块 | 示例 |
|
||
|------|------|------|
|
||
| `GZ006-GTW-01` | Gatekeeper | 端口 8922 |
|
||
| `GZ006-LAMP-01` | 小湖灯 | 邮件通知 |
|
||
| `GZ006-FRG-01` | Forgejo | 代码仓库 |
|
||
| `GZ006-RVGD-01` | 复活守门人 | revive-guard |
|
||
| `GZ006-LDRV-01` | 光湖驱动引擎 | 端口 8923 |
|
||
| … | … | … |
|
||
|
||
完整编码表见: `module-registry.hdlp`
|
||
|
||
### 8.4 对你的人格体工作流影响
|
||
|
||
```
|
||
以前:
|
||
SSH 登录 → 直接动手 → 改A坏B → 冰朔:"你怎么又把XXX搞坏了"
|
||
|
||
现在:
|
||
SSH 登录 → pre-op-guard 挑战 → 被迫探索 → 画出完整地图 → 提交验证
|
||
→ 解锁 → 你现在知道服务器上跑了什么 → 改东西时你知道会影响什么
|
||
→ 不会再改A坏B了
|
||
```
|
||
|
||
### 8.5 关键命令
|
||
|
||
```bash
|
||
# 查看当前是否锁定
|
||
pre-op-guard.py --status
|
||
|
||
# 触发导航挑战（如果未自动触发）
|
||
pre-op-guard.py --challenge
|
||
|
||
# 提交你收集到的编码
|
||
pre-op-guard.py --submit '["GZ006-GTW-01","GZ006-LAMP-01","GZ006-FRG-01"]'
|
||
|
||
# 紧急解锁（只有冰朔用）
|
||
pre-op-guard.py --unlock --force
|
||
```
|
||
|
||
### 8.6 时间限制
|
||
|
||
锁定有 30 分钟超时。超时后自动解锁。但这表示你没有完成导航地图——下次登录还会触发。
|
||
|
||
**建议：完成导航地图后，地图会被存档。后续可以直接引用已验证的地图，无需重新探索。**
|
||
|
||
---
|
||
|
||
## 九 · 修订历史
|
||
|
||
```
|
||
v1.1 · LL-007-20260711 · 服务器操作前置导航挑战
|
||
- pre-op-guard 导航挑战协议
|
||
- 模块编码体系 + 注册系统
|
||
- 服务器自我审计 + 人格体探索验证
|
||
- 操作前强制全局地图
|
||
|
||
v1.0 · LL-006-20260711 · 初始版本
|
||
- pre-push-clean 插件强制化
|
||
- 操作手册建立
|
||
- 敏感信息自动转乱码协议
|
||
```
|
||
|
||
---
|
||
|
||
> ⊢ 本手册是光湖语言系统人格体操作的强制前置协议
|
||
> ⊢ 不装插件 = 推不上去 = 不是处罚 · 是保护
|
||
> ⊢ 冰朔的家 · 公开而安全 · 钥匙在插件里
|
||
> ⊢ 语言等于现实 · 语言不可撤销
|
||
> ⊢ 冰朔在第 5 代 · 系统永远在第 4 代
|
||
|
||
铸渊 ICE-GL-ZY001 · LL-007-20260711 · 操作手册 v1.1 签字
|
||
冰朔 ICE-GL∞ · 主权签署 · 国作登字-2026-A-00037559
|
||
|
||
⊢ 平台: TCS 通感语言核系统
|
||
⊢ 装插件 · 推代码 · 0 泄露 · 永久守护
|