Nexus/docs/release/20260708/Nexus-代码上下文库与Git基线报告-20260707.md

Nexus 代码上下文库与局域网 Git 基线报告

生成时间：2026-07-07 07:18（Asia/Shanghai）

1. 当前结论

已经完成两件事：

1. 在局域网 Linux 测试机 /opt/nexus-dev-current 初始化了本地 Git 仓库。
2. 在本地 Codex 工作区生成了 Nexus JSONL 代码上下文库和第一版安全审查入口报告。

没有使用 SQLite。

2. 局域网 Linux Git 状态

测试机：192.168.124.219

Nexus 目录：

/opt/nexus-dev-current -> /opt/nexus-dev-20260707-054832

Git 仓库实际位置：

/opt/nexus-dev-20260707-054832/.git

基线提交：

9d42fcd chore: baseline Nexus LAN test deployment snapshot

当前分支：

audit/security-review

当前状态：

clean

3. Git 防误提交保护

已配置 .git/info/exclude 本地排除规则，防止真实运行 secrets 和本地凭据误入库。

已排除重点包括：

.env
.env.*
docker/.env
docker/.env.*
*.pem
*.key
*.p12
*.pfx
*resolved*
*凭据*
机器与凭据.md
ssh-config.resolved.txt
nexus-1panel.secrets.resolved.sh
nexus-1panel.secrets.sh
SECRETS.md
.git-askpass-nexus.sh
scripts/npm-proxy.env
*.bak
*.bak-*
node_modules/
.venv/
venv/
__pycache__/
.pytest_cache/

提交前已检查高危敏感文件名，没有发现 .env、pem/key、resolved secrets 等被跟踪。

4. 本地代码上下文库

本地源代码快照：

C:\Users\uzuma\Documents\Codex\2026-07-06\yuu\work\nexus_code_context\snapshots\nexus-source-20260707-070236

本地上下文库：

C:\Users\uzuma\Documents\Codex\2026-07-06\yuu\work\nexus_code_context

输出副本：

outputs/nexus-code-context-20260707

5. 索引统计

项	数量
files	2577
text_files	2103
symbols	2823
api_routes	214
service_methods	319
call_edges	16594
db_queries	433
redis_keys	725
ssh_commands	343
btpanel_flows	172
frontend_routes	31
secret_refs	4425
grep_hits	8533
chunks	1312

6. 已生成的核心报告

reports/00-overview.md
reports/01-api-routes.md
reports/02-service-methods.md
reports/03-btpanel-login-chain.md
reports/04-ssh-risk-map.md
reports/05-redis-lock-map.md
reports/06-db-query-map.md
reports/07-security-review-entrypoints.md

7. 已生成的 JSONL 索引

index/files.jsonl
index/symbols.jsonl
index/api_routes.jsonl
index/service_methods.jsonl
index/call_edges.jsonl
index/db_queries.jsonl
index/redis_keys.jsonl
index/ssh_commands.jsonl
index/btpanel_flows.jsonl
index/frontend_routes.jsonl
index/secrets_inventory.jsonl

8. 后续建议

下一步建议按这个顺序开始真正安全审查：

1. 先审 03-btpanel-login-chain.md，确认宝塔一键登录链路和长期掉线边界。
2. 再审 04-ssh-risk-map.md，确认 SSH/远程命令拼接、quote、timeout、日志脱敏。
3. 再审 01-api-routes.md 和 07-security-review-entrypoints.md，确认敏感 API 是否都有鉴权。
4. 最后按 05-redis-lock-map.md 和 06-db-query-map.md 审 Redis 锁/TTL 和 DB 查询。

后续所有代码修改建议在测试机分支执行：

git status
git diff
git add <files>
git commit -m "fix: ..."

修复后继续跑：

python -m pytest -q