# 外网安全探测验证（2026-06-07）

**目标**: `https://api.synaglobal.vip`  
**脚本**: `bash scripts/security_probe_external.sh`  
**生产版本**: `ea2507d`（探测时最新已部署 `c50f65e` 为文档 commit，API 行为一致）  
**日志**: `/tmp/nexus-external-probe/probe-20260607T131003Z.txt`

## 结果摘要

| 类别 | PASS | FAIL | WARN/INFO |
|------|------|------|-----------|
| 健康检查 | 2 | 0 | 0 |
| OpenAPI/文档 | 0 | 0 | 3（404 隐藏，符合 BL-04） |
| Install 锁定 | 9 | 0 | 0 |
| 管理 API | 5 | 0 | 0 |
| Agent | 3 | 0 | 0 |
| 登录枚举 | 1 | 0 | 0 |
| WebSocket | 4 | 0 | 0 |

**结论：外网攻击面探测全部 PASS，无 FAIL。**

## 明细

| 探测项 | HTTP/结果 | 判定 |
|--------|-----------|------|
| `GET /health` | 200 | ✅ |
| `GET /health/detail` | 401 | ✅ BL-02 |
| `GET /openapi.json` `/docs` `/redoc` | 404 | ✅ BL-04 |
| `GET /api/install/status` | 404 | ✅ |
| `GET /api/install/*`（env/connection/state） | 404 | ✅ BL-05 |
| `POST /api/install/*`（init-db/create-admin/lock 等） | 404 | ✅ BL-05 |
| `GET /api/settings/bing-wallpapers` | 200 | ✅ 只读公开 |
| `POST /api/settings/bing-wallpapers/sync` | 401 | ✅ BL-03 |
| `GET/POST /api/servers/` | 401 | ✅ |
| `GET /api/audit/` | 401 | ✅ |
| Agent heartbeat 无 Key | 422 | ✅ |
| Agent heartbeat 假 Key | 401 | ✅ |
| script-callback 假 Key | 401 | ✅ |
| 登录错误用户 | 统一「用户名或密码错误」 | ✅ 无枚举 |
| `GET /agent/install.sh` | 200 | ℹ️ 预期公开 |
| `WS /ws/alerts` 无/假 token | HTTP 403 | ✅ BL-07 |
| `WS /ws/sync` 无 token | HTTP 403 | ✅ |
| `WS /ws/terminal/1` 假 token | HTTP 403 | ✅ |

## 与上次对比（2026-06-06）

行为一致：OpenAPI 仍 404、install 仍 404、JWT 保护正常、WebSocket 未认证拒绝。

## 验证命令

```bash
NEXUS_PROBE_BASE=https://api.synaglobal.vip bash scripts/security_probe_external.sh
```
