安全架构与一期锁定态技术说明

本站后端存储、身份认证、反爆破限流、隐私脱敏过滤与接口闸门已全套工程化落地。当前处于「人机验证与 AI 审核接入前」的一期准备阶段。

一、双保险“总闸门”锁定机制

• 前端明确禁用态：登录（/login）、注册（/register）与发帖（/submit）页面已完整呈现交互布局，但提交按钮统一设置为 disabled，不可点击触发提交。
• 后端环境变量硬拦截：所有写入 API（注册、登录、发帖、回帖、举报）在入口处由 FEATURE_AUTH_ENABLED=false 与 FEATURE_POSTING_ENABLED=false 守卫控制。关闭状态下，即使绕过前端直接请求接口，也会直接返回 403 FEATURE_LOCKED，确保数据库保持 0 用户、0 帖子。

二、账号安全、防爆破与防批量注册

• 仅用户名即可注册，推荐绑定邮箱：无需强制绑定个人手机或真实信息；若选填邮箱，将在底层校验唯一性并用于安全提醒。
• 密码与有状态会话：使用随机盐 scrypt 慢哈希存储口令；登录发放随机高熵 Session Token，服务端仅存其 SHA-256 哈希，支持秒级踢出与吊销。
• 双维度防爆破与防枚举：客户端 IP 统一经 HMAC-SHA256 脱敏后计入 SQLite 事务限流桶；登录同时叠加 IP 限流、账号桶限流与连续错误 5 次后的账号指数退避锁定（1 分钟 → 5 分钟 → 15 分钟 → 30 分钟），并对不存在账号执行等时伪哈希计算，杜绝账号枚举。
• 防脚本批量注册与新手冷却：叠加单 IP 小时/天注册配额、表单隐藏蜜罐字段、服务端签名计时校验（拦截 2.5 秒内机器提交）、纯数字学号/官方仿冒用户名拦截，以及新号注册后观察期与首日发帖限额。

三、匿名树洞防开盒（DTO 级剥离）

• 树洞帖子与评论在服务端序列化层直接将 authorId 与 authorUsername 置为 null，杜绝前端开发者工具抓包开盒。
• 同帖内回复者通过服务端私有密钥计算的 HMAC(postId + authorId) 派生匿名编号，同一帖内楼层身份连续可辨，跨帖完全不可关联追踪。

四、二期可插拔卡槽

• 人机验证适配器（CaptchaProvider）：已预留 Cloudflare Turnstile 与自托管 Altcha 接口（当前配置：disabled）。
• 两级审核流水线（ModerationPipeline）：L1 本地隐私与规则过滤已启用，L2 AI 审核适配器接口已就绪（当前配置：disabled）。