jkooe
eb54c60c7c
feat(B): 安全加固 —— 密钥库保护 + 审计防篡改 + ACL 细化（能力 28 -> 29）
## B1 私钥不再明文落盘
- 新增 packages/client/src/secret.ts：macOS Keychain / Windows DPAPI（CurrentUser）
- keys.ts：落盘文件只留 secret 描述符（backend/label/protected），不含 privateKey；
老格式明文密钥**首次加载自动迁移**；后端不可用时回退明文 + 告警（绝不因保护而不可用）
- 真机验证（隔离目录）：
* keygen -> '✓ 私钥已存入系统密钥库（keychain）'，文件中无 privateKey，钥匙串有条目
* loadKeys 回读私钥成功（64 字符）
* 老格式明文文件 -> 自动迁移、文件清理、二次回读正常
* Windows DPAPI 往返一致（ROUNDTRIP_OK=True，密文不含明文）
## B2 审计链式哈希（防篡改）
- 每条审计记录加 prev/hash（prev+规范化正文 sha256 前 32 位）；轮转跨文件连续
- agent 重启从日志尾部恢复锚点，链不断
- 新能力 system.audit.verify + CLI 'nodeagent audit verify'
- 真机：'✓ 审计链完整（校验 21 条，跳过历史条目 857 条）'
- 单测覆盖：篡改检出、删除中间条目检出（链断裂）、历史条目 legacy 跳过、重启续链
## B3 ACL 细化
- 协议层新增纯函数：normalizeIp / ipMatchesCidr / ipAllowed / inTimeWindow / rateLimitFor
- AclClient 扩展：allow_cidr / deny_cidr / allow_window(days+from/to，支持跨零点) / rate_limits
- server.ts：IP 白黑名单与生效时段校验（命中即 audit acl.denied）；限速改为按能力
（rate_limits 精确优先、其次 glob、回退 max_calls_per_min），窗口按限速档位分桶
### 真机踩坑（已修复并回归）
Node 的 socket.remoteAddress 在双栈监听下是 **IPv4-mapped IPv6**（::ffff:192.168.1.100），
原用 split(':')[0] 取到空串 -> CIDR 永不匹配。新增 normalizeIp() 归一，单测覆盖该场景。
真机复测：'✗ E_ACL_DENIED: 来源 IP 不被允许'；移除黑名单后 fs.list 连调 3 次 ->
第 3 次 '✗ E_RATE_LIMITED: 调用频率超限（fs.list 上限 2/分钟）'
单测 37 -> 59、e2e 21/21 全绿
2026-09-29 11:27:52 +08:00
..
2026-09-29 11:27:52 +08:00
2026-09-27 01:06:35 +08:00
2026-09-27 01:06:35 +08:00