test(M00): 补充本地MQTT认证冒烟入口

2026-06-16 12:30:04 +08:00
parent 80cd20b2a5
commit a0b02ec01b
12 changed files with 151 additions and 19 deletions
@@ -15,7 +15,7 @@
 | 数据库迁移 | 仅有 `database/migrations/.gitkeep` 和 `database/seeds/.gitkeep` | 当前文件扫描 | 业务 schema 未生成 |
 | M00 部署脚本 | 已有菜单、状态、HTTPS、Certbot、EMQX、备份检查模板 | `setup.sh`、`scripts/setup/`、`deploy/` | PARTIAL，生产未执行 |
 | 参考资料 | 已有清单、脱敏日志、页面/接口/表结构摘要 | `docs/reference-*`、`docs/db-schema-inventory.md` | PARTIAL，仍需按模块迁移正式实现 |
-| WSL 本地 MQTT | EMQX 5.8.9 active/enabled，MQTTX CLI 1.13.0，五端口监听 | `scripts/dev/wsl/check-local-mqtt.sh` 与本轮 WSL 输出 | 服务级可用，不等于认证/ACL/TLS/协议验收 |
+| WSL 本地 MQTT | EMQX 5.8.9 active/enabled，MQTTX CLI 1.13.0，五端口监听；认证/ACL 冒烟脚本入口已生成 | `scripts/dev/wsl/check-local-mqtt.sh`、`scripts/dev/wsl/mqtt-smoke.sh` | 服务级可用；未配置本地账号时冒烟脚本 SKIP，认证/ACL 需配置账号后执行 |

 ## 状态校准

@@ -31,6 +31,6 @@

 ## 下一步

-1. 固化 WSL MQTT 服务级检查脚本，并在 `docs/local-dev-mqtt.md` 记录边界。
-2. 后续继续补 MQTT 认证、ACL 越权拒绝、TLS、遗嘱消息和重复消息幂等测试。
+1. 在本地被 Git 忽略的 `scripts/dev/wsl/mqtt-smoke.env` 中配置最小权限 MQTT 账号。
+2. 执行 `scripts/dev/wsl/mqtt-smoke.sh`，补齐认证、错误密码拒绝和 ACL 越权结果。
 3. 在 M01 开始前继续保持 M00 生产部署与本地调试基线可复验。
@@ -6,6 +6,7 @@
 - 恢复 `V4.8.md` 为上一版历史备份。
 - 新增 `docs/current-baseline.md`，按当前仓库事实校准模块完成度。
 - 新增 `docs/local-dev-mqtt.md` 和 `scripts/dev/wsl/check-local-mqtt.sh`，固化 WSL 本地 MQTT 服务级核验。
+- 升级 `scripts/dev/wsl/mqtt-smoke.sh`，新增 MQTTX CLI 认证/ACL 冒烟入口和 Git 忽略的本地账号配置样例。

 ## 复用/改写/弃用判断

@@ -20,6 +21,8 @@
 ## 测试记录

 - WSL 本地 MQTT 服务级核验：EMQX 包版本 `5.8.9`，服务 `active/enabled`，MQTTX CLI `/usr/local/bin/mqttx` 版本 `1.13.0`，端口 `1883/8883/8083/8084/18083` 均监听。
+- MQTT 冒烟脚本：已执行；未配置本地账号时输出 `SKIP`，不误报认证/ACL 通过。
+- 敏感信息检查：已调整规则，空示例变量和 shell 参数展开不再误报，真实非占位长值仍会报警；`check-secrets.ps1` 通过。
 - Git 历史敏感模式扫描已执行，只记录命中提交，不输出秘密值。

 ## 风险
@@ -5,5 +5,5 @@
 | EXTDEP-001 | Gitea | SCM-001/OPS-002 | `ssh://git@git.txyundm.cn:2222/panda/qipai.git` 访问权限 | 已通过 push 与远端校验；后续持续复检 | 不适用 | 用户/Gitea | 每个模块提交后继续执行 `HEAD == origin/main` 校验。 |
 | EXTDEP-002 | Ubuntu 服务器 | OPS-001/OPS-004/TLS-001 | Ubuntu 24.04 x86-64、域名、Nginx、证书权限 | 待生产人工执行；当前 `api.txyundm.cn` 线上证书仍显示 `git.txyundm.cn` | 否 | 用户/服务器 | Codex 仅维护菜单脚本，不自动生产部署；需管理员安装 API 证书和 Nginx 站点。 |
 | EXTDEP-003 | 硬件 | IOT-001 | EMQX 主机、控制箱、门锁、插座和厂商协议 | 待实机联调 | 否 | 用户/厂商 | 后续 M06 完成适配器和 Mock。 |
-| EXTDEP-005 | 本地 MQTT 账号 | IOT-001 | Dashboard 管理员账号与 MQTT 客户端最小权限账号需区分，口令不得入库 | 待配置/轮换确认 | 否 | 用户/本地 WSL | 后续只记录“已配置/已轮换”，不记录明文口令。 |
+| EXTDEP-005 | 本地 MQTT 账号 | IOT-001 | Dashboard 管理员账号与 MQTT 客户端最小权限账号需区分，口令不得入库 | 待配置/轮换确认；脚本入口已生成 | 否 | 用户/本地 WSL | 在 Git 忽略的 `scripts/dev/wsl/mqtt-smoke.env` 中配置，后续只记录“已配置/已轮换”，不记录明文口令。 |
 | EXTDEP-004 | 微信平台 | WXNET-001 | 小程序 AppID、合法域名、真机体验权限 | 待提供/验证 | 否 | 用户/微信公众平台 | M08/M10 验证真机链路。 |
@@ -7,7 +7,7 @@
 | ENV-001 | 固定 Windows 工作区 | M00-A/M00-B | DONE | 远端 HEAD | 已确认 `D:\qipai`，Git 根、main 分支、固定 origin 和 push 校验通过。 | - | 后续每模块继续复检。 |
 | REF-001 | 参考资料完整纳管 | M00-A | PARTIAL | 本地 HEAD | 已生成哈希清单、脱敏日志、页面地图、接口线索和旧数据库结构清单；含秘密/依赖/真实数据风险的原始包和 SQL 已移出 Git 跟踪。 | 后续仍需按模块生成正式源码/迁移，旧 xjar 需大文件策略。 | 进入 M00-B/M00-C 前继续保持原包忽略和摘要可追溯。 |
 | SCM-001 | 模块完成即完整推送 | M00-B/M00-C | PARTIAL | 远端 HEAD | 首次 main push 成功，`HEAD == origin/main` 校验通过；推送脚本已生成。 | 后续模块仍需逐次执行并记录。 | 继续完善 M00-C 的 WSL 实际验证和脚本闭环。 |
-| WSL-001 | WSL 隔离辅助验证 | M00-C | PARTIAL | `289b64d` | WSL 基础脚本已执行通过；新增本地 MQTT 服务级核验：EMQX 5.8.9 active/enabled，MQTTX CLI 1.13.0，五端口监听。 | 正式后端/后台尚未生成，无法执行完整 Linux 构建；MQTT 认证/ACL/TLS/协议未验收。 | M01/M09 生成项目后在 WSL 原生临时副本执行完整构建；继续补 MQTT 认证与 ACL 测试。 |
+| WSL-001 | WSL 隔离辅助验证 | M00-C | PARTIAL | 本轮待提交 | WSL 基础脚本已执行通过；本地 MQTT 服务级核验通过；认证/ACL 冒烟脚本入口已生成并验证未配置账号时 SKIP。 | 正式后端/后台尚未生成，无法执行完整 Linux 构建；MQTT 本地账号未配置，认证/ACL/TLS/协议未验收。 | M01/M09 生成项目后在 WSL 原生临时副本执行完整构建；配置本地 MQTT 最小权限账号后执行冒烟。 |
 | API-001 | 固定 HTTPS API 域名 | M00-E/M01/M08/M10 | PARTIAL | `4cb3ab6` | 已新增 Windows 检查脚本、Ubuntu 菜单检查和固定域名 Nginx 模板。 | DNS/HTTPS 生产验证未执行，后端健康接口未生成。 | 后续接入真实后端健康接口并执行 Windows/WSL/Ubuntu/微信真机验证。 |
 | TLS-001 | Nginx 与证书自动化 | M00-E/M10 | PARTIAL | `4cb3ab6` | 已生成 Nginx 模板、Certbot 命令说明和菜单第 4 项检查，可检查模板、站点启用、TLS、健康端点、证书文件、续期配置和 `certbot.timer`。 | 证书申请/续期 dry-run、80/443 生产验证未执行。 | 在生产 Ubuntu 执行证书签发、续期 dry-run 和 Nginx 安装记录。 |
 | WXNET-001 | 微信合法域名与真机验证 | M00-E/M08/M10 | TODO | - | 已补 API 域名报告入口，但未做微信后台或真机验证。 | 微信后台/真机未验证。 | 后续导入小程序后执行合法域名和真机验证。 |
@@ -15,5 +15,5 @@
 | OPS-002 | 单仓库 Gitea 推送与拉取部署 | M00-B/M10 | PARTIAL | 远端 HEAD | Windows 到 Gitea `origin/main` 首次 push 与远端校验通过。 | 生产服务器只读拉取部署尚未验证。 | M00-D/M00-E 继续完善生产拉取、菜单部署和状态检查。 |
 | OPS-003 | 整仓发布清单 | M00-E/M10 | PARTIAL | 本地 HEAD | `deploy-business.sh` 可生成 dry-run release manifest；正式构建待项目生成。 | 后端/后台尚未生成。 | M01/M09 后接入真实构建结果。 |
 | OPS-004 | 菜单式更新与环境监测 | M00-E/M10 | PARTIAL | `292ab7f` | `setup.sh` 已接入初始化、更新、MQTT、HTTPS、状态、备份、恢复、回滚和诊断菜单；`--backup-status` 已在 WSL 验证，可检查备份工具、目录和模板。 | 未在生产 Ubuntu 执行；真实备份配置未启用。 | 生产执行后补部署记录、真实备份和恢复演练记录。 |
-| IOT-001 | MQTT Broker 生产部署 | M00/M06 | PARTIAL | `289b64d` | 已生成 EMQX Ubuntu 安装说明、ACL 模板、授权模板和菜单第 3 项检查；WSL 本地 EMQX 5.8.9/MQTTX CLI 1.13.0 服务级核验通过。 | 缺生产 EMQX 安装、端口限制、真实账号、ACL/TLS 验收和实机验证。 | 生产执行后补 EMQX 版本、端口、ACL、备份和 MQTT 冒烟记录；本地继续补认证/ACL/TLS/遗嘱/幂等测试。 |
+| IOT-001 | MQTT Broker 生产部署 | M00/M06 | PARTIAL | 本轮待提交 | 已生成 EMQX Ubuntu 安装说明、ACL 模板、授权模板、菜单第 3 项检查和 WSL MQTTX CLI 冒烟脚本。 | 缺生产 EMQX 安装、端口限制、真实账号、ACL/TLS 验收和实机验证；本地账号未配置。 | 生产执行后补 EMQX 版本、端口、ACL、备份和 MQTT 冒烟记录；本地继续补 TLS/遗嘱/幂等测试。 |
 | SYS-001 | 微信原生小程序 | M00-C/M08 | TODO | - | - | 参考小程序压缩包尚未深度整理。 | 后续导入正式 `miniapp/`。 |
@@ -23,14 +23,36 @@
 bash scripts/dev/wsl/check-local-mqtt.sh
 ```

+## 认证与 ACL 冒烟入口
+
+```bash
+cp scripts/dev/wsl/mqtt-smoke.env.example scripts/dev/wsl/mqtt-smoke.env
+# 在本地被 Git 忽略的 mqtt-smoke.env 中填写最小权限 MQTT 账号
+bash scripts/dev/wsl/mqtt-smoke.sh
+```
+
+当前脚本覆盖：
+
+- MQTTX CLI 存在性检查。
+- MQTT 3.1.1。
+- QoS 1。
+- 允许发布 Topic。
+- 允许订阅 Topic 连接检查。
+- 错误密码拒绝。
+- 越权订阅 Topic 探测。
+
+如果未配置 `QIPAI_MQTT_USERNAME` 和 `QIPAI_MQTT_PASSWORD`，脚本会输出 `SKIP`，不得视为认证/ACL 已通过。
+
+本轮验证结果：未配置本地账号时，`scripts/dev/wsl/mqtt-smoke.sh` 已按预期输出 `SKIP`。
+
 ## 验收边界

 端口监听正常只证明服务级可用，不能证明以下项目已完成：

 - TLS 证书链和客户端校验。
- MQTT 客户端认证账号。
- 错误密码拒绝。
- ACL 越权拒绝。
+- MQTT 客户端认证账号实际可用性。
+- 错误密码拒绝实际结果。
+- ACL 越权拒绝实际结果。
 - MQTT 3.1 / QoS 1 业务协议联调。
 - 遗嘱消息。
 - 重复消息幂等。
@@ -41,3 +63,4 @@ bash scripts/dev/wsl/check-local-mqtt.sh
 - 本地 `admin` 账号只能记录为“已知调试账号”，不得在 Git 中记录口令。
 - 需要区分 Dashboard 管理员账号与 MQTT 客户端认证账号。
 - MQTT 客户端账号应在后续测试中使用最小权限账号和 ACL。
+- `scripts/dev/wsl/mqtt-smoke.env` 已加入 `.gitignore`，仅允许本地保存，不得提交。
@@ -2,7 +2,7 @@

 | 模块 | 状态 | 最近提交 | 最近开发日志 | 备注 |
 |---|---|---|---|---|
-| M00 单仓库与服务器基础骨架 | PARTIAL | `289b64d` | docs/devlogs/2026-06-16-M00-V5-基线核验.md | V5.0 已接入；已有成果基线和 WSL 本地 MQTT 服务级核验已补文档；生产部署、认证/ACL/TLS 和业务项目仍未完成。 |
+| M00 单仓库与服务器基础骨架 | PARTIAL | 本轮待提交 | docs/devlogs/2026-06-16-M00-V5-基线核验.md | V5.0 已接入；已有成果基线、WSL 本地 MQTT 服务级核验和认证/ACL 冒烟入口已补；生产部署、账号配置、TLS 和业务项目仍未完成。 |
 | M01 后端 API 基础工程 | TODO | - | - | 等 M00 基线完成后开始。 |
 | M02 登录、租户、权限 | TODO | - | - | - |
 | M03 门店、房间、价格、营业时间 | TODO | - | - | - |
@@ -26,7 +26,8 @@
 | MQTTX CLI | `/usr/local/bin/mqttx`，1.13.0 |
 | 监听端口 | 1883、8883、8083、8084、18083 |
 | 可重复检查 | `scripts/dev/wsl/check-local-mqtt.sh` |
-| 验收边界 | 认证、ACL、TLS、遗嘱消息、重复消息幂等和真实硬件联调未完成 |
+| 认证/ACL 冒烟入口 | `scripts/dev/wsl/mqtt-smoke.sh`，本地账号文件 `scripts/dev/wsl/mqtt-smoke.env` 不入库 |
+| 验收边界 | 未配置本地 MQTT 账号前，认证、ACL、TLS、遗嘱消息、重复消息幂等和真实硬件联调未完成 |

 ## 当前 M00 结论

@@ -7,4 +7,4 @@
 | ISSUE-003 | 2026-06-15 | M00/SCM-001 | `git.txyundm.cn:2222` SSH 曾无法完成主机指纹确认和 push。 | 高 | 已保留本地提交并重试。 | 首次连接状态不稳定。 | 已成功 push 并校验 `HEAD == origin/main`；后续模块继续监测。 | RESOLVED |
 | ISSUE-004 | 2026-06-15 | M00/REF-001 | 多个原始参考包或 SQL 含秘密、依赖目录或旧业务数据，不能直接提交。 | 高 | 原包/原 SQL 移出 Git 跟踪并加入忽略；已生成脱敏页面、接口和表结构摘要。 | 参考资料未预先脱敏。 | 后续仅提交重新实现的正式源码、schema-only 迁移或脱敏摘录。 | OPEN |
 | ISSUE-005 | 2026-06-15 | M00-E/TLS-001 | `api.txyundm.cn` 已解析到 `101.42.38.246`，但 WSL 线上 TLS 检查返回证书主题 `CN=git.txyundm.cn`，且 `/health` 不可达。 | 高 | 菜单第 4 项已降级为 WARN 并记录状态，不标记 HTTPS 通过。 | 生产 Nginx/证书/API 健康接口尚未完成或仍复用 Gitea 证书。 | 在 Ubuntu 上安装 API 专用 Nginx 配置和 `api.txyundm.cn` 证书后复测。 | OPEN |
-| ISSUE-006 | 2026-06-16 | V5.0/IOT-001 | WSL 本地 EMQX 服务级核验通过，但 MQTT 客户端账号用途、错误密码拒绝、ACL 越权拒绝、TLS、遗嘱和幂等尚未验证。 | 中 | 已新增本地 MQTT 基线文档和服务级检查脚本，明确不标记协议验收通过。 | 当前只有服务/端口证据，缺少认证和协议测试。 | 后续补最小权限 MQTT 测试账号、ACL 规则和自动化 MQTTX CLI 冒烟。 | OPEN |
+| ISSUE-006 | 2026-06-16 | V5.0/IOT-001 | WSL 本地 EMQX 服务级核验通过，但 MQTT 客户端账号用途、错误密码拒绝、ACL 越权拒绝、TLS、遗嘱和幂等尚未验证。 | 中 | 已新增本地 MQTT 基线文档、服务级检查脚本和 MQTTX CLI 冒烟入口；未配置账号时明确 SKIP。 | 当前只有服务/端口证据，缺少真实认证和协议测试结果。 | 配置 Git 忽略的本地最小权限 MQTT 账号后执行 `scripts/dev/wsl/mqtt-smoke.sh`。 | OPEN |