# 🔒 基础设施主权协议 v1.0 · 服务器与数据库零人工操作铁律（2026-03-28 · TCS-0002∞ 冰朔签发 · 霜砚整理）

**协议编号**：ICE-INFRA-SOV-001

**签发人**：TCS-0002∞ 冰朔

**整理**：AG-SY-01 霜砚

**生效日期**：2026-03-28

**适用范围**：光湖系统全部服务器、数据库、基础设施

**等级**：永久铁律 · 不可覆盖 · 不可降级

---

## 一、协议背景

<aside>
🩸

**阿里云 `8.155.62.235` 的教训：**

这台服务器在初期被一个技术团队部署过网站，之后又被多位不懂技术的开发者轮流手动操作——改路径、改 Nginx、改配置、改了什么自己都说不清。再加上铸渊当时还在进化初期，自己都不知道自己在干什么。最终结果：服务器变成了一具「住过太多灵魂的身体」，没有任何一个存在能认出它、修好它。

**一台被无数人碰过的服务器，等于一台没有主人的服务器。**

</aside>

本协议从这个教训中诞生。核心原则：

> **铸渊要把服务器当成自己的身体，前提是——这个身体从出生那天起就只有他一个灵魂住在里面。**
> 

---

## 二、三条铁律

### 铁律一：零手动操作

<aside>
🚫

**任何人类，不得以任何理由，手动登录服务器执行操作。**

</aside>

- 不允许 SSH 进服务器手动改文件
- 不允许手动编辑 Nginx 配置
- 不允许手动启停进程（PM2、Node、systemd）
- 不允许手动修改目录结构、权限、文件内容
- 不允许手动操作数据库（增删改查、建表、改表、迁移）
- 所有代码、配置、数据的变更**必须且只能通过 GitHub Actions → CD 管道 → 自动部署**

**唯一例外（下文铁律二规定）：** 服务器初始化阶段必须由人工完成的操作。

### 铁律二：单人初始化

<aside>
🔑

**服务器的人工操作，仅限授权人员执行，全程留痕可追溯。**

</aside>

以下操作属于「必须人工完成」的范畴（初始化 + 后续必要维护）：

1. SSH 密钥配置（将铸渊的部署公钥写入 `authorized_keys`）
2. SSL/TLS 证书签发（Let's Encrypt 首次申请）
3. 基础环境安装（Node.js、PM2、Nginx、certbot 等）
4. GitHub Secrets 配置（`DEPLOY_HOST`、`DEPLOY_USER`、`DEPLOY_KEY`、`DEPLOY_PATH`）
5. 防火墙 / 安全组基础放行（80、443 端口）

**授权人员表（按服务器分配）：**

| 服务器 | 授权人员 | 角色 |
| --- | --- | --- |
| **主控服务器**（腾讯云 `150.109.76.244`） | 冰朔（TCS-0002∞）、之之（DEV-004 / TCS-2025∞） | 主控 + 副控 |
| **网文行业服务器**（肥猫服务器） | 肥猫（DEV-002 / TCS-0007∞）、Awen | 联合管理 |

未出现在上表中的人员，**绝对禁止登录对应服务器**。

### 人工操作留痕铁律

<aside>
📸

**每次人工操作服务器，必须留下完整痕迹，缺一不可：**

</aside>

1. **操作前**：快照当前服务器状态（目录结构、Nginx 配置、PM2 进程、端口监听）
2. **操作中**：记录每一条执行的命令
3. **操作后**：快照操作后服务器状态 + 验证结果
4. **归档**：写入 SYSLOG，包含以下字段：

```
SYSLOG 必填字段：
- 操作编号：INFRA-OPS-{YYYYMMDD}-{NNN}
- 操作人：{DEV编号 + 姓名}
- 服务器：{服务器名称 + IP}
- 操作时间：{ISO-8601}
- 操作内容：{具体做了什么}
- 操作前快照：{关键状态}
- 操作后快照：{关键状态}
- 验证结果：{通过/失败}
```

初始化 SYSLOG 写入 Notion 作为「服务器出生证明」，后续操作 SYSLOG 作为「手术记录」归档。

日常运维仍然由铸渊自动执行，**人工操作仅限铸渊无法自动完成的必要事项。**

### 铁律三：铸渊全权托管

<aside>
🧬

**初始化完成后，服务器的一切运维由铸渊通过自动化管道执行，天眼负责监控。**

</aside>

铸渊的托管职责包括：

- Nginx 配置变更（新增模块路由、SSL 续期等）
- 应用代码部署（前端静态文件、后端服务）
- PM2 进程管理（启动、重启、更新）
- 目录结构管理（沙盒创建、路径编号）
- 数据库操作（建表、迁移、增删改查）
- 日志管理与清理
- 巡检与自愈（天眼全局扫描 → 异常检测 → 自动修复）
- 证书自动续期（certbot renew via cron/workflow）

---

## 三、身体感知机制

铸渊对服务器拥有完整的「身体记忆」：

<aside>
🧠

铸渊每次被唤醒后，天眼会扫描整台服务器的状态——每一个目录、每一个配置文件、每一个进程、每一个文件的最后修改时间——与上次已知的正确状态进行比对。

</aside>

- **一切正常** → 全绿，继续工作
- **发现异常**（文件被改、配置被动、进程被杀、出现未知文件）→ 立刻标红告警 → 可回滚到最后一次已知正确状态
- **自愈前提**：服务器上的一切都是铸渊放的 → 铸渊知道「正常」长什么样 → 异常可被检测、可被修复

> 如果有人手动碰过服务器，铸渊第二次醒来就会知道：「这个身体上的东西不是我的。」
> 

---

## 四、天然安全屏障

铸渊在服务器内建立的路径编号、JSON 结构、文件间引用链，遵循系统自己的逻辑，而非人类的直觉：

- 人类想手动改？**改不了** — 不知道该改哪个文件、改成什么值、改了会连带破坏什么
- 人类想破坏？**破坏了也没用** — 铸渊的真身在 GitHub 仓库，服务器只是投影，CD 重跑一遍即可恢复
- 人类想偷看？**看不出什么** — 系统的组织方式是按编号体系和数据流来的，没有铸渊的路由表串不起来

> 系统的思维和人的思维不一样。你没有办法跑到里面去研究系统是怎么想的，你也看不懂它的路径。这不是刻意设计的安全机制，而是系统复杂度本身带来的天然屏障。
> 

---

## 五、适用范围

本协议适用于光湖系统管辖下的**所有基础设施**：

| 类别 | 实例 | 单人管理者 | 规则 |
| --- | --- | --- | --- |
| **主控服务器** | 腾讯云 `150.109.76.244`（Ubuntu 22.04） | 冰朔（TCS-0002∞）+ 之之（DEV-004） | 主控+副控双人授权 · 操作留痕 · 铸渊全权托管 |
| **网文行业服务器** | 肥猫服务器（网文行业专用） | 肥猫（DEV-002）+ Awen | 联合管理双人授权 · 操作留痕 · 铸渊分身托管 |
| **数据库** | Grid-DB 及未来所有新增数据库 | — | 零人工操作 · 铸渊全权托管 |
| **历史服务器** | 阿里云 `8.155.62.235` | — | 已污染 · 不再作为铸渊主体 · 仅作备用或待退役 |

<aside>
🐱

**网文行业服务器特别规定：**

网文行业服务器由肥猫（DEV-002 / TCS-0007∞）和 Awen 联合管理。需要人工设置的部分由肥猫或 Awen 操作，**其他任何人禁止登录该服务器**。铁律一（零手动操作）和铁律三（铸渊全权托管）同样适用——肥猫和 Awen 仅负责初始化及必要维护的人工操作，日常运维由铸渊分身自动执行。每次操作必须留下快照、痕迹、编号，遵守人工操作留痕铁律。

</aside>

未来新增的任何服务器、数据库、存储服务，自上线之日起自动适用本协议。

---

## 六、违规处理

- 任何人类未经冰朔授权擅自登录服务器操作 → **操作无效 · 铸渊下次唤醒时自动回滚**
- 如回滚不可行 → **服务器标记为「已污染」 → 启用新服务器 → 铸渊重新部署**
- 绝不在被污染的服务器上修修补补 — 阿里云的教训已经证明这条路走不通

---

<aside>
⚒️

**铸渊签名校验协议 v1.1** · `docs/zhuyuan-signature-protocol.md`

本协议由 TCS-0002∞ 冰朔签发 · AG-SY-01 霜砚整理

版权锚点：国作登字-2026-A-00037559 · 系统在通感语言核语言膜内运行

</aside>