# API 巡检 B5 — settings.py + search.py + assets.py

**日期**: 2026-06-06

## 结论: **PASS**（无代码修改）

| 模块 | 安全要点 | 结果 |
|------|----------|------|
| `settings.py` | reveal API/preset/ssh-key/telegram 均需 `_verify_reauth` | ✓ |
| `settings.py` | 不可改 `SECRET_KEY`/`API_KEY`/`ENCRYPTION_KEY`/`DATABASE_URL` | ✓ 指南约束 |
| `search.py` | `_escape_like` 防 SQL LIKE 注入 | ✓ |
| `assets.py` | nodes/platforms/command-logs/ssh-sessions | ✓ 全 JWT |

### H — bing-wallpapers 公开 GET

- 已在 `PUBLIC_PREFIXES`；只读壁纸 URL，无敏感数据（与 2026-06-04 closure 一致）