元场 · 安全自查报告
生成时间：2026-11-05T15:59:33.334Z
────────────────────────────────────────────────────────────────
【一句话】源码包与网页控制台默认只让本机进；远程要口令（现已配置）。

【最要紧的那个问题】同一个 Wi-Fi 下的另一台机器，现在能不能把源码包拿走？
  答案：拿不走。远程不带口令的请求一律 403 —— 注意：配了 ACCESS_KEY 之后，**知道口令的人**仍然能拿，请只把口令给可信的人。
  怎么验的：服务拿自己的局域网地址真实发了一次 HEAD 请求：http://192.168.2.66:4630/download/project.zip

【这台机器暴露在哪】监听地址 0.0.0.0（所有网卡），端口 4630
  服务监听所有网卡，不是笔误：活动现场的大屏投影机在另一台机器上，必须连得进来。所以防线是「逐个入口的闸」，不是「绑死回环」。
  局域网地址：192.168.2.66 (en0)
  闸门档位：本机专属 + 远程口令（已配 ACCESS_KEY／OPS_KEY）

【门禁清单】
  /download
    是什么：下载页（哪个包、多大、点一下就下）
    本机：可进（本机永远放行）　远程：要口令（?key= 或 Bearer）
    为什么：只有守着这台机器的人需要点它。
  /download/project.zip
    是什么：整套源码包（后端 + 两个小程序 + 文档）
    本机：可进（本机永远放行）　远程：要口令（?key= 或 Bearer）
    为什么：这是最要紧的一扇门：源码包出去就收不回来了。
  /download/handoff.zip · docs.zip · miniprogram-c.zip · miniprogram-b.zip
    是什么：外包交付包 / 文档包 / 两个小程序包
    本机：可进（本机永远放行）　远程：要口令（?key= 或 Bearer）
    为什么：同上。要发给谁，就由本人把包发给谁，而不是让整网段自己来拿。
  /download/requirements.md
    是什么：需求说明书（单文件）
    本机：可进（本机永远放行）　远程：要口令（?key= 或 Bearer）
    为什么：发给外包时用的，走人工发文件更稳妥。
  /download/screen-demo.html
    是什么：路演用演示动画（固定版）
    本机：可进（本机永远放行）　远程：要口令（?key= 或 Bearer）
    为什么：路演物料，同样只在本人手上流转。
  /
    是什么：C 端联调台（开发者工具，一个人的账号代所有人操作）
    本机：可进（本机永远放行）　远程：要口令（?key= 或 Bearer）
    为什么：它不是给用户看的页面，是开发时用的模拟器。
  /c
    是什么：C 端网页校验台
    本机：可进（本机永远放行）　远程：要口令（?key= 或 Bearer）
    为什么：开发者工具。
  /b
    是什么：B 端网页校验台
    本机：可进（本机永远放行）　远程：要口令（?key= 或 Bearer）
    为什么：开发者工具。
  /ops
    是什么：开发者后台（投诉、免费额度、版本登记）
    本机：页面可进；数据接口本机可读　远程：页面 200；数据接口 403 ops_forbidden（配了口令并带对了才可读）
    为什么：页面本身永远 200（既有约定），口子收在数据接口上：没配口令时只许本机读数据。
  /api/*
    是什么：小程序用的业务接口
    本机：可进　远程：可进
    为什么：手机要用，必须能连进来。身份靠令牌与 A 档管（见 /api/auth/strict）。
  /entry
    是什么：扫码落地页（提示打开小程序）
    本机：可进　远程：可进
    为什么：别人扫到二维码后要在自己手机上打开，不能只许本机。
  /screen · /api/screen/*
    是什么：活动现场大屏与它的数据
    本机：可进　远程：可进
    为什么：**取舍**：投影机是另一台机器，绑死本机会让现场直接开不了。只读接口，不改任何数据。

【身份这道墙（A 档）】
  当前档位：strict（未开启）
  演示令牌：允许（仅本机可领）
  风险告警：无

【下载留痕】留痕账本里有 114 笔下载，可按来源地址追。
  按来源地址归总：
    127.0.0.1：97 次，最近 2026-11-04T15:18:59.583Z
    ::1：17 次，最近 2026-09-13T17:31:55.584Z
  最近几笔：
    2026-11-04T15:18:59.583Z　元场-现场大屏演示.html（固定版演示动画）　463003 字节　来自 127.0.0.1（loopback）
    2026-11-03T12:03:28.926Z　元场-现场大屏演示.html（固定版演示动画）　463003 字节　来自 127.0.0.1（loopback）
    2026-10-31T00:32:13.235Z　元场-B端机构版小程序.zip　418780 字节　来自 127.0.0.1（loopback）
    2026-10-31T00:32:13.227Z　元场-工程文档.zip　1518278 字节　来自 127.0.0.1（loopback）
    2026-10-31T00:32:13.217Z　元场-C端小程序.zip　737089 字节　来自 127.0.0.1（loopback）
    2026-10-31T00:32:13.202Z　元场-工程源码.zip　26761339 字节　来自 127.0.0.1（loopback）
    2026-10-31T00:32:12.318Z　元场-外包交付包.zip　174734 字节　来自 127.0.0.1（loopback）
    2026-10-30T03:35:01.394Z　元场-需求说明书.md　64040 字节　来自 127.0.0.1（loopback）
    2026-10-30T03:34:58.807Z　元场-现场大屏演示.html（固定版演示动画）　463003 字节　来自 127.0.0.1（loopback）
    2026-10-29T03:20:18.721Z　元场-现场大屏演示.html（固定版演示动画）　463003 字节　来自 127.0.0.1（loopback）

【明说了不算防护的地方】
  · 已经拿到过包的人：文件复制拦不住。这半边靠交付条款（REQUIREMENTS.md 附录 C）与下面那本留痕账。
  · /api/* 业务接口是有意开放的：手机（小程序）必须连得上。它们靠令牌与 A 档（AUTH_STRICT）管身份，不靠这道闸。
  · /entry、/screen 与 /api/screen/* 有意开放：扫码的人在自己的手机上、投影机在另一台机器上。
  · 演示令牌（demo 登录）默认只发给本机（回环地址）来的请求；生产模式（NODE_ENV=production）下没关掉会中文告警。
  · 这台机器本身的安全（系统账号、命令行）不在本闸范围内 —— 本闸只管「从网络进来的人」。

【建议】
  · 口令只发给可信的人；怀疑外泄就换一个（改环境变量后重启服务即可）。
  · 要长期对外，请把源码包从这台机器上挪走（打包发给对方，本机不留对外入口）。
────────────────────────────────────────────────────────────────
以上每一条都出自这台机器此刻的真实状态；没有推断、没有占位。