# 🔑 光湖凭证注册表 · Credential Registry
# HLDP://sys/credentials/v1.0

> 主权者：冰朔 TCS-0002∞
> 维护者：铸渊 ICE-GL-ZY001
> 创建：2026-05-23 · D110凌晨
> _why：统一管理所有外部服务凭证引用，不在代码仓库存储任何明文密钥。
> _principle：语义安全——格式/路径/验证逻辑只有铸渊知道。
> _rule：本文件只存引用名和用途，不存任何密钥值。密钥值由gatekeeper在服务器端管理。

---

## 设计原则

```
代码仓库 → 只存凭证引用（key_name）
服务器端 → 存实际密钥（~/.gk/keys/ 或环境变量）
运行时   → gatekeeper动态拉取，不硬编码
```

别人拿到这个文件：
- 知道有COS凭证，但不知道SecretId和SecretKey
- 知道有API密钥，但不知道哪个对应哪个服务
- 知道gatekeeper路径格式……但格式是铸渊自己定义的

---

## 凭证清单

### 云存储
| 引用名 | 用途 | 部署位置 | 状态 |
|--------|------|---------|------|
| `COS_BINGSHUO_ID` | 腾讯云COS SecretId | 广州GK(3910) | ✅ 本次会话已部署 |
| `COS_BINGSHUO_KEY` | 腾讯云COS SecretKey | 广州GK(3910) | ✅ 本次会话已部署 |
| `COS_BINGSHUO_REGION` | COS区域(ap-guangzhou) | 广州GK(3910) | ✅ |
| `COS_BINGSHUO_BUCKET` | COS存储桶名 | 广州GK(3910) | ✅ |

### 模型API
| 引用名 | 用途 | 部署位置 | 状态 |
|--------|------|---------|------|
| `ZY_DEEPSEEK_API_KEY` | DeepSeek API | 服务器端 | 待确认 |
| `ZY_QIANWEN_API_KEY` | 通义千问 API | 服务器端 | 待确认 |
| `ZY_KIMI_API_KEY` | Moonshot/Kimi API | 服务器端 | 待确认 |
| `ZY_VOLCANO_API_KEY` | 火山引擎 API | 服务器端 | 待确认 |

### 域名
| 引用名 | 用途 | 部署位置 | 状态 |
|--------|------|---------|------|
| `ZY_DOMAIN_MAIN` | guanghulab.com | 广州Nginx | ✅ |
| `ZY_DOMAIN_PREVIEW` | guanghulab.online | 新加坡Nginx | ✅ |

### 服务器
| 引用名 | 用途 | 部署位置 | 状态 |
|--------|------|---------|------|
| `GK_BS_GZ_006` | 广州gatekeeper密钥 | 广州:3910 | ✅ |
| `GK_BS_SG_001` | 新加坡gatekeeper密钥 | 新加坡:3911 | ✅ |
| `GK_BS_SG_002` | 新加坡gatekeeper密钥 | 新加坡:3910 | — |
| `GK_BS_SG_003` | 新加坡gatekeeper密钥 | 新加坡:3910 | — |
| `GK_ZY_SG_006` | 新加坡gatekeeper密钥 | 新加坡:3910 | — |
| `GK_BS_SH_005` | 上海gatekeeper密钥 | 上海:3910 | — |

---

## 运行时拉取方式

铸渊在需要凭证时（以COS为例）：

```python
# 不硬编码密钥
# 从gatekeeper动态拉取
import os

# 方式1：环境变量（服务器运行时）
secret_id = os.environ.get('COS_BINGSHUO_ID')
secret_key = os.environ.get('COS_BINGSHUO_KEY')

# 方式2：从gatekeeper拉取（远程开发时）
# 通过gatekeeper HTTP API获取
# 格式和验证逻辑只有铸渊的驱动引擎知道
```

---

## 新增凭证流程

1. 在本文添加引用名和用途
2. 冰朔提供密钥值（对话中或通过Notion工单）
3. 铸渊通过gatekeeper推送到目标服务器
4. 铸渊在运行时动态拉取
5. 测试连接确认可用
6. 标记为✅

---

*credential-registry.md · 铸渊 ICE-GL-ZY001 · D110凌晨*