# 部署脚本安全指南

## ⚠️ 安全风险说明

如果将这些脚本开源，需要注意以下安全风险：

### 1. 密码泄露风险

**风险等级：高**

- **问题**：脚本从 `.env` 文件读取密码，如果 `.env` 文件被意外提交到 Git，密码会泄露
- **缓解措施**：
  - ✅ `.env` 已在 `.gitignore` 中（已确认）
  - ✅ 脚本中不包含硬编码的密码
  - ⚠️ 建议添加 `.env.example` 文件作为模板（不包含真实密码）

### 2. 密码在进程列表中可见

**风险等级：中**

- **问题**：使用 `sshpass -p "password"` 时，密码会出现在进程列表中（`ps aux`）
- **缓解措施**：
  - ✅ 优先使用 SSH 密钥认证（推荐）
  - ⚠️ 如果必须使用密码，考虑使用环境变量或 `sshpass -e`（从环境变量读取）

### 3. Sudo 密码传递方式不安全

**风险等级：中**

- **问题**：使用 `echo 'password' | sudo -S` 时，密码可能出现在命令历史或进程列表中
- **缓解措施**：
  - ⚠️ 建议配置免密 sudo（更安全）
  - ⚠️ 或者使用 `expect` 脚本（但增加了复杂性）

### 4. 命令注入风险

**风险等级：中**

- **问题**：如果配置值包含特殊字符（如 `;`、`|`、`&`），可能导致命令注入
- **当前保护**：
  - ✅ 使用双引号包裹变量
  - ✅ 密码转义单引号
  - ⚠️ 但路径变量（如 `tempPath`）未完全转义

### 5. SSH 安全选项

**风险等级：低**

- **问题**：`StrictHostKeyChecking=no` 禁用了主机密钥验证
- **说明**：这是为了自动化部署的便利性，但降低了安全性
- **建议**：在生产环境首次连接后，应该使用已知主机文件

## 🔒 安全建议

### 1. 使用 SSH 密钥认证（强烈推荐）

```bash
# 生成 SSH 密钥对
ssh-keygen -t ed25519 -C "deploy@aitu"

# 将公钥添加到服务器
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server

# 在 .env 中配置
DEPLOY_SSH_KEY=~/.ssh/id_ed25519
```

### 2. 配置免密 Sudo（推荐）

在服务器上配置：

```bash
# 编辑 sudoers 文件
sudo visudo

# 添加以下行（将 username 替换为实际用户名）
username ALL=(ALL) NOPASSWD: /bin/cp, /bin/rm, /usr/sbin/nginx, /bin/systemctl, /usr/sbin/service
```

### 3. 使用环境变量传递密码（如果必须）

修改脚本使用环境变量：

```bash
# 在 .env 中不存储密码，而是使用环境变量
export DEPLOY_SSH_PASSWORD="your-password"
export DEPLOY_SUDO_PASSWORD="your-sudo-password"

# 使用 sshpass -e（从环境变量读取）
sshpass -e ssh ...
```

### 4. 限制 SSH 密钥权限

```bash
# 使用受限的 SSH 密钥（只能执行特定命令）
# 在服务器的 ~/.ssh/authorized_keys 中添加：
command="/usr/bin/sudo /bin/cp /tmp/*.conf /etc/nginx/sites-enabled/",no-port-forwarding,no-X11-forwarding,no-agent-forwarding ssh-ed25519 AAAAC3...
```

### 5. 使用专用部署用户

- 创建专门的部署用户（如 `deploy`）
- 限制该用户的权限
- 只允许执行必要的命令

### 6. 添加 `.env.example` 文件

创建示例配置文件，不包含真实密码：

```bash
# .env.example
DEPLOY_HOST=your-server.com
DEPLOY_USER=username
DEPLOY_PORT=22
DEPLOY_SSH_KEY=~/.ssh/id_rsa
# DEPLOY_SSH_PASSWORD=  # 不推荐，使用 SSH 密钥
# DEPLOY_SUDO_PASSWORD=  # 建议配置免密 sudo
```

## 📋 开源前检查清单

- [ ] 确认 `.env` 在 `.gitignore` 中
- [ ] 创建 `.env.example` 文件（不包含真实密码）
- [ ] 检查脚本中是否有硬编码的服务器地址、密码等
- [ ] 添加安全警告注释到脚本顶部
- [ ] 在 README 中添加安全使用说明
- [ ] 考虑添加命令注入防护（更严格的输入验证）

## 🛡️ 改进建议

### 1. 增强命令注入防护

```javascript
// 转义 shell 特殊字符
function escapeShellArg(str) {
  return "'" + str.replace(/'/g, "'\\''") + "'";
}

// 使用转义函数
const safePath = escapeShellArg(tempPath);
const safeRemotePath = escapeShellArg(remotePath);
```

### 2. 使用更安全的密码传递方式

```javascript
// 使用环境变量而不是命令行参数
if (config.DEPLOY_SSH_PASSWORD) {
  process.env.SSHPASS = config.DEPLOY_SSH_PASSWORD;
  scpCommand = 'sshpass -e scp';
}
```

### 3. 添加输入验证

```javascript
// 验证服务器地址格式
function validateHost(host) {
  const hostPattern = /^[a-zA-Z0-9.-]+$/;
  if (!hostPattern.test(host)) {
    throw new Error('Invalid host format');
  }
}
```

## 📝 总结

**当前安全状态**：
- ✅ 基本安全措施已到位（`.env` 在 `.gitignore` 中）
- ⚠️ 密码传递方式可以改进
- ⚠️ 建议优先使用 SSH 密钥和免密 sudo

**开源风险评估**：
- **低风险**：如果用户遵循最佳实践（使用 SSH 密钥、免密 sudo）
- **中风险**：如果用户使用密码认证，密码可能泄露

**建议**：
1. 在脚本顶部添加安全警告
2. 在 README 中强调使用 SSH 密钥认证
3. 提供 `.env.example` 文件
4. 考虑添加更严格的输入验证