docs(GOV-009): 封存 GOV-009 与 GOV-010 架构基线

docs(FEAT-DS-001): 更新操作手册后的 GitNexus 基线
docs(FEAT-DS-001): 新增 Tailscale TDX 开发操作手册
2026-08-17 16:27:37 +08:00 · 2026-08-17 12:25:56 +08:00 · 2026-08-17 12:25:13 +08:00 · 2026-08-14 03:06:07 +08:00 · 2026-08-14 03:05:23 +08:00
33 changed files with 821 additions and 23 deletions
@@ -29,7 +29,7 @@
 <!-- gitnexus:start -->
 # GitNexus — Code Intelligence

-This project is indexed by GitNexus as **a-share-analysis** (1847 symbols, 2522 relationships, 50 execution flows). Use the GitNexus MCP tools to understand code, assess impact, and navigate safely.
+This project is indexed by GitNexus as **a-share-analysis** (1957 symbols, 2634 relationships, 50 execution flows). Use the GitNexus MCP tools to understand code, assess impact, and navigate safely.

 > If any GitNexus tool warns the index is stale, run `npx gitnexus analyze` in terminal first.

@@ -4,11 +4,15 @@

 ## Unreleased

+## 0.0.8 - 2026-08-17
+
 - 新增安全、性能、GitNexus 跨模块影响和独立开发总结的可执行治理门禁。
 - 约定后端业务模块内按需分层，以及前端 Axios 统一封装、API 分域和 OpenAPI 类型契约。
 - 项目生产交付统一为 Ubuntu 源码部署，移除 Dockerfile、Compose、镜像校验和容器测试入口。
 - 本地 Redis、MySQL 5.7.42 与 RocketMQ 5.x 均作为外部服务，项目不再提供自动启动或容器兜底。
 - 新增源码发布门禁，校验 Web/Server 构建产物与 systemd、Nginx 配置一致性。
+- 完成 Vue 3 Web、NestJS API/Scheduler/Worker、OpenAPI 单向契约和最小权限配置的工程基线确认。
+- 补充 Tailscale 访问 Windows TDX 的开发操作文档和采集 PoC 前置档案；本版本不实现常驻采集程序。

 ## 0.0.7 - 2026-08-13

@@ -1 +1 @@
-0.0.7
+0.0.8
@@ -0,0 +1,377 @@
+# Tailscale + SSH 隧道访问 TDX 开发手册
+
+## 1. 用途与适用边界
+
+本手册用于 Mac 本地开发期间，按需访问家中 Windows 上仅监听回环地址的 TDX HTTP 接口。链路只用于真实字段核验和只读冒烟，不是生产采集、数据上报或公网部署方案。
+
+```text
+Mac 本地程序
+  -> 127.0.0.1:17710
+  -> SSH 本地端口转发
+  -> Tailscale 私有网络
+  -> Windows OpenSSH
+  -> Windows 127.0.0.1:17709
+  -> TDX
+```
+
+日常开发默认使用仓库内固定样本。只有需要验证 TDX 真实协议和字段时才启动本隧道；Windows 离线不得阻塞普通开发、测试或构建。
+
+## 2. 安全边界
+
+- 不在路由器上开放或转发 SSH、RDP、`17709`、`17710` 等端口。
+- TDX 继续只监听 Windows `127.0.0.1:17709`，不得改为 `0.0.0.0`。
+- SSH 使用独立 Ed25519 密钥，不在脚本、仓库、文档或远程 URL 中保存密码和私钥。
+- Mac 转发端口只绑定 `127.0.0.1:17710`，不得绑定局域网或所有网卡。
+- 真实返回只用于只读验证。日志和测试报告必须脱敏，不保存家庭网络信息、登录信息或无关原始载荷。
+- 开发隧道不连接生产数据库、不承担生产采集，也不证明数据源具备商业展示或再分发授权。
+
+文档中的值均为占位符：
+
+- `<WINDOWS_TAILSCALE_HOST>`：Windows 的 Tailscale MagicDNS 名称或 Tailscale IP。
+- `<WINDOWS_SSH_USER>`：用于 SSH 登录的 Windows 用户。
+- `<MAC_TAILSCALE_IP>`：Mac 的 Tailscale IP，仅在收紧防火墙来源时使用。
+
+## 3. 首次建立 Tailscale 网络
+
+### 3.1 Mac
+
+1. 从 Tailscale 官方渠道安装客户端。
+2. 登录项目使用的同一个 Tailnet。
+3. 确认菜单栏中的 Tailscale 状态为已连接。
+4. 在终端检查本机和节点列表：
+
+```bash
+tailscale ip -4
+tailscale status
+```
+
+### 3.2 Windows
+
+1. 从 Tailscale 官方渠道安装客户端。
+2. 登录与 Mac 相同的 Tailnet。
+3. 确认 Windows 节点在 Tailscale 管理后台和 Mac 的 `tailscale status` 中均为在线。
+4. 在 Windows PowerShell 中检查地址和状态：
+
+```powershell
+tailscale ip -4
+tailscale status
+```
+
+### 3.3 私网连通验证
+
+在 Mac 执行：
+
+```bash
+tailscale ping <WINDOWS_TAILSCALE_HOST>
+```
+
+只有 Tailscale ping 成功后再排查 SSH。不要用公网 IP 替换占位符，也不要为排障临时开放路由器端口。
+
+## 4. 配置 Windows OpenSSH Server
+
+以下命令在 Windows 管理员 PowerShell 中执行。
+
+### 4.1 安装并启动服务
+
+```powershell
+Get-WindowsCapability -Online | Where-Object Name -Like 'OpenSSH.Server*'
+Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
+Start-Service sshd
+Set-Service -Name sshd -StartupType Automatic
+Get-Service sshd
+```
+
+如果 OpenSSH Server 已安装，`Add-WindowsCapability` 可以跳过。`Get-Service sshd` 应显示服务正在运行且启动类型为自动。
+
+检查端口监听：
+
+```powershell
+Get-NetTCPConnection -LocalPort 22 -State Listen
+```
+
+### 4.2 确认防火墙规则
+
+OpenSSH 安装通常会创建入站规则。先检查，不要重复创建同名规则：
+
+```powershell
+Get-NetFirewallRule -Name 'OpenSSH-Server-In-TCP' -ErrorAction SilentlyContinue
+```
+
+首次联调可以保留系统创建的 SSH 规则；链路确认后按第 11 节限制为 Tailscale 来源。不得新增公网端口映射。
+
+## 5. 配置 SSH 密钥登录
+
+### 5.1 在 Mac 生成项目专用密钥
+
+```bash
+ssh-keygen -t ed25519 -a 100 -f ~/.ssh/tdx_windows -C "tdx-windows-development"
+chmod 600 ~/.ssh/tdx_windows
+chmod 644 ~/.ssh/tdx_windows.pub
+pbcopy < ~/.ssh/tdx_windows.pub
+```
+
+私钥 `~/.ssh/tdx_windows` 只保留在 Mac，不发送给 Windows，也不提交仓库。建议为私钥设置口令，并由 macOS 钥匙串或 `ssh-agent` 管理。
+
+### 5.2 Windows 管理员账户
+
+Windows OpenSSH 默认从 `C:\ProgramData\ssh\administrators_authorized_keys` 读取管理员公钥。必须先创建文件，再设置 ACL；否则 `icacls` 会报“系统找不到指定的文件”。
+
+在管理员 PowerShell 中执行，按提示粘贴刚复制的单行公钥：
+
+```powershell
+$authorizedKeys = "$env:ProgramData\ssh\administrators_authorized_keys"
+New-Item -ItemType Directory -Force -Path (Split-Path $authorizedKeys)
+if (-not (Test-Path $authorizedKeys)) {
+  New-Item -ItemType File -Path $authorizedKeys
+}
+$publicKey = Read-Host '粘贴 Mac 的单行 SSH 公钥'
+if (-not (Get-Content $authorizedKeys | Where-Object { $_ -eq $publicKey })) {
+  Add-Content -Path $authorizedKeys -Value $publicKey -Encoding ascii
+}
+icacls $authorizedKeys /inheritance:r
+icacls $authorizedKeys /grant "*S-1-5-18:F" "*S-1-5-32-544:F"
+Restart-Service sshd
+```
+
+`S-1-5-18` 是 SYSTEM，`S-1-5-32-544` 是本地 Administrators 组。使用 SID 可以避免中文 Windows 的组名本地化问题。
+
+### 5.3 Windows 非管理员账户
+
+非管理员账户使用用户目录下的 `authorized_keys`。在该登录用户自己的 PowerShell 中执行：
+
+```powershell
+$sshDirectory = "$env:USERPROFILE\.ssh"
+$authorizedKeys = "$sshDirectory\authorized_keys"
+New-Item -ItemType Directory -Force -Path $sshDirectory
+if (-not (Test-Path $authorizedKeys)) {
+  New-Item -ItemType File -Path $authorizedKeys
+}
+$publicKey = Read-Host '粘贴 Mac 的单行 SSH 公钥'
+if (-not (Get-Content $authorizedKeys | Where-Object { $_ -eq $publicKey })) {
+  Add-Content -Path $authorizedKeys -Value $publicKey -Encoding ascii
+}
+icacls $authorizedKeys /inheritance:r
+icacls $authorizedKeys /grant "$($env:USERNAME):F"
+Restart-Service sshd
+```
+
+管理员和非管理员两种方式只选与实际账户匹配的一种。若修改了 `C:\ProgramData\ssh\sshd_config`，先执行 `sshd -t` 校验，再重启服务。
+
+## 6. 配置 Mac SSH 别名
+
+编辑 Mac 的 `~/.ssh/config`，加入：
+
+```sshconfig
+Host tdx-windows
+  HostName <WINDOWS_TAILSCALE_HOST>
+  User <WINDOWS_SSH_USER>
+  IdentityFile ~/.ssh/tdx_windows
+  IdentitiesOnly yes
+  ServerAliveInterval 30
+  ServerAliveCountMax 3
+  ExitOnForwardFailure yes
+  LocalForward 127.0.0.1:17710 127.0.0.1:17709
+```
+
+然后修正权限：
+
+```bash
+chmod 700 ~/.ssh
+chmod 600 ~/.ssh/config ~/.ssh/tdx_windows
+```
+
+首次连接先验证密钥登录：
+
+先在 Windows 管理员 PowerShell 查看主机公钥指纹：
+
+```powershell
+ssh-keygen -lf "$env:ProgramData\ssh\ssh_host_ed25519_key.pub"
+```
+
+再在 Mac 连接，并确认首次连接提示的 Ed25519 指纹与 Windows 输出一致：
+
+```bash
+ssh -v tdx-windows
+```
+
+预期可以直接登录，或只要求输入私钥口令。若仍要求 Windows 账户密码，重点检查公钥文件位置、ACL、登录账户是否属于 Administrators，以及 SSH 调试输出中实际使用的密钥。
+
+## 7. 启动和停止隧道
+
+### 7.1 前台运行
+
+适合首次验证，按 `Ctrl+C` 停止：
+
+```bash
+ssh -N tdx-windows
+```
+
+### 7.2 后台运行
+
+使用独立控制套接字启动，便于精确停止本项目隧道：
+
+```bash
+ssh -fN -M -S ~/.ssh/tdx-windows-control tdx-windows
+ssh -S ~/.ssh/tdx-windows-control -O check tdx-windows
+```
+
+停止后台隧道：
+
+```bash
+ssh -S ~/.ssh/tdx-windows-control -O exit tdx-windows
+```
+
+如果控制套接字残留但进程已不存在，先确认 `17710` 没有监听，再删除该单个套接字文件。不要用宽泛的 `pkill ssh`，以免终止其他 SSH 会话。
+
+## 8. 验证 TDX 链路
+
+### 8.1 Windows 本机验证
+
+先确认 TDX 客户端已启动、已登录，接口监听 `127.0.0.1:17709`：
+
+```powershell
+Get-NetTCPConnection -LocalAddress 127.0.0.1 -LocalPort 17709 -State Listen
+```
+
+端口没有监听时，应先恢复 TDX 客户端；SSH 和 Tailscale 无法替代 TDX 服务本身。
+
+### 8.2 Mac 端口验证
+
+隧道启动后在 Mac 执行：
+
+```bash
+nc -vz 127.0.0.1 17710
+lsof -nP -iTCP:17710 -sTCP:LISTEN
+```
+
+`17710` 的监听进程应为本次 SSH 隧道，不应是其他应用。
+
+### 8.3 只读 HTTP 冒烟
+
+```bash
+curl --fail-with-body --silent --show-error \
+  --connect-timeout 3 \
+  --max-time 10 \
+  -H 'Content-Type: application/json' \
+  -X POST 'http://127.0.0.1:17710/' \
+  --data '{"id":1,"method":"get_market_data","params":{"stock_list":["600519.SH"],"count":5,"dividend_type":"none","period":"1d"}}'
+```
+
+链路验收条件：HTTP 返回成功，且 TDX 业务响应中的错误码表示成功。只验证少量公开行情，不调用交易、账户、自选、写入或大批量接口。
+
+## 9. 外网场景验证
+
+在真正离开家庭网络前，使用 Mac 手机热点或其他外部网络完成一次演练：
+
+1. 确认 Windows 保持开机、联网，Tailscale 和 `sshd` 在线，TDX 已启动并登录。
+2. Mac 切换到外部网络后重新连接 Tailscale。
+3. 执行 `tailscale ping <WINDOWS_TAILSCALE_HOST>`。
+4. 执行 `ssh -N tdx-windows` 并保持终端运行。
+5. 依次执行 `nc` 和只读 `curl` 冒烟。
+6. 停止隧道，确认 `127.0.0.1:17710` 不再监听。
+
+如果外网演练失败，日常开发继续使用固定样本。不要临时开放公网 SSH、RDP 或 TDX 端口。
+
+## 10. Windows 无人值守准备
+
+当前链路是开发辅助，不承诺生产级 7x24 可用性。为了减少外出后无法联调的概率，可在 Windows 上做以下准备：
+
+- 将虚拟机配置为宿主机启动后自动启动，并确认异常关机后的恢复策略。
+- 保持 Tailscale 与 `sshd` 服务自动启动，重启后通过另一台 Tailnet 设备验证在线状态。
+- 接通电源时禁用自动睡眠：
+
+```powershell
+powercfg /change standby-timeout-ac 0
+```
+
+- 明确 TDX 是否需要交互式桌面登录、验证码或人工确认。需要人工登录时，不得把它描述为无人值守服务。
+- 安排 Windows 更新和虚拟机重启窗口；更新后重新验证 Tailscale、SSH、TDX 监听和只读请求。
+- 不为自动启动把 Windows 密码、TDX 凭据或 SSH 私钥写入仓库和普通脚本。
+
+## 11. 收紧访问范围
+
+链路验证通过后，在 Tailscale 管理后台将访问规则限制为指定开发身份或 Mac 到 Windows SSH 端口。具体策略应以当前 Tailnet 的身份和标签设计为准，不在仓库保存真实账户和地址。
+
+还可在 Windows 中新增一条仅允许 Mac Tailscale IP 访问 SSH 的规则。先确认 Tailscale 网卡名称，再创建规则：
+
+```powershell
+Get-NetAdapter | Where-Object InterfaceDescription -Match 'Tailscale'
+New-NetFirewallRule `
+  -DisplayName 'OpenSSH Server - Tailscale Mac Only' `
+  -Direction Inbound `
+  -Action Allow `
+  -Protocol TCP `
+  -LocalPort 22 `
+  -RemoteAddress '<MAC_TAILSCALE_IP>' `
+  -InterfaceAlias 'Tailscale'
+```
+
+新规则必须在外网场景实测通过后，才能禁用范围更宽的旧 SSH 规则。若实际网卡别名不是 `Tailscale`，使用 `Get-NetAdapter` 显示的名称，不凭猜测修改。
+
+## 12. 故障排查
+
+### Tailscale ping 不通
+
+- 检查两端是否登录同一个 Tailnet、节点是否过期、Windows 是否睡眠或断网。
+- 检查 Tailnet ACL 或设备审批状态。
+- 不要先排查 TDX；此时底层私网尚未连通。
+
+### SSH 连接超时或拒绝
+
+- Windows 执行 `Get-Service sshd` 和 `Get-NetTCPConnection -LocalPort 22 -State Listen`。
+- 检查 Windows 防火墙和 Tailscale 访问规则。
+- Mac 执行 `ssh -vvv tdx-windows`，确认目标是 Tailscale 地址而非家庭公网地址。
+
+### SSH 仍要求 Windows 密码
+
+- 确认 `IdentityFile` 指向 `~/.ssh/tdx_windows`，并检查 `ssh -vvv` 是否提供了该密钥。
+- 管理员账户确认文件是 `C:\ProgramData\ssh\administrators_authorized_keys`；非管理员账户确认文件是用户目录下的 `.ssh\authorized_keys`。
+- 确认公钥为完整单行文本，文件已先创建，ACL 没有继承无关权限。
+- 执行 `sshd -t` 检查配置，再执行 `Restart-Service sshd`。
+
+### Mac 的 `17710` 无法监听
+
+- 查看 SSH 前台错误；`ExitOnForwardFailure yes` 会在端口冲突或转发失败时直接退出。
+- 执行 `lsof -nP -iTCP:17710 -sTCP:LISTEN` 查找占用者。
+- 不要把本地端口改成 `0.0.0.0`；需要换端口时同步修改本机开发配置，并保持回环绑定。
+
+### 端口可连但 HTTP 失败
+
+- 在 Windows 本机确认 TDX `127.0.0.1:17709` 正在监听。
+- 确认 TDX 客户端已登录且当前版本仍支持目标方法。
+- 使用最小只读请求检查 HTTP 状态、TDX 错误码和响应时间，不把协议错误误判为网络错误。
+
+### 外出后 Windows 不在线
+
+- 无法远程唤醒或恢复交互式 TDX 登录时，切回固定样本继续开发。
+- 不通过新增公网暴露、共享密码或关闭防火墙绕过问题。
+- 待公网部署需求明确后，另立功能实现生产级采集器、心跳、补传和远程运维。
+
+## 13. 日常操作速查
+
+开始真实 TDX 联调：
+
+```bash
+tailscale ping <WINDOWS_TAILSCALE_HOST>
+ssh -fN -M -S ~/.ssh/tdx-windows-control tdx-windows
+ssh -S ~/.ssh/tdx-windows-control -O check tdx-windows
+nc -vz 127.0.0.1 17710
+```
+
+结束联调：
+
+```bash
+ssh -S ~/.ssh/tdx-windows-control -O exit tdx-windows
+lsof -nP -iTCP:17710 -sTCP:LISTEN
+```
+
+最后一条命令无输出表示本地转发已经停止。
+
+## 14. 后续 Provider 接入约束
+
+- 平台配置只能引用 Mac 回环地址 `127.0.0.1:17710`，不得保存家庭网络地址。
+- 真实 TDX Provider 必须显式启用；默认仍为确定性的固定样本 Provider。
+- Provider 必须限制请求超时、响应体大小、股票数量和并发，并输出来源、采集时间、交易日期、协议版本、追踪 ID 和陈旧状态。
+- TDX 原始字段仅在 Adapter 内转换，上层市场概览、规则分析和 AI 分析只依赖版本化内部契约。
+- 隧道中断必须返回明确的不可用或陈旧状态，不能把固定样本伪装成实时行情。
+- Windows 采集器、公网接收 API、多目标推送、补传队列和无人值守运维继续延期，实施时单独立项并重新进行安全、性能和合规评估。
@@ -0,0 +1,55 @@
+# 数据源接入架构与 TDX PoC 规划
+
+## 方案结论
+
+当前采用“平台先行、采集器后置”。Mac 本地开发以固定样本回放为默认 Provider；需要验证真实字段时，通过 Tailscale + SSH 隧道访问家中 Windows 的 TDX `127.0.0.1:17709`。不在当前阶段实现 Windows 常驻采集程序、GUI 或公网推送。
+
+```text
+固定样本 / Mac TDX 隧道
+        ↓
+DataProvider 端口
+        ↓
+标准化市场事件 → 市场概览业务
+
+未来公网模式：采集器 → 多目标隔离推送 → 平台接收 API
+```
+
+## 方案比较
+
+- 本地样本回放（当前采用）：不引入 Windows/公网依赖，测试稳定可重复，适合先开发市场概览；缺点是不能代表实时数据质量。
+- Mac 通过 Tailscale SSH 隧道调用 TDX（当前联调）：可以验证真实字段，但依赖家中 Windows 在线和人工维护。
+- Windows 常驻采集器（延期）：未来可选 Node、Python、Go、Rust、Electron、Tauri 或系统服务，必须按部署规模、资源、自动更新和安全能力重新评估。
+
+## 当前组件边界
+
+当前只新增/维护平台侧 Provider 端口和固定样本。样本 Provider 与真实 TDX Provider 使用同一标准化契约，市场概览不感知来源差异。未来采集器应作为独立项目或 workspace，不反向污染 NestJS 业务模块；公网接收 API、目标队列、签名握手和 GUI 另立功能档案。
+
+## Provider 与事件模型
+
+Provider 生成不可变标准化事件，包含 `eventId`、`source`、`capturedAt`、`tradeDate`、`schemaVersion`、`traceId` 和数据新鲜度。TDX 原始字段只能存在于 Adapter 内，规则分析、AI 分析、API 和页面只依赖内部模型。
+
+## 安全策略与评估
+
+- Mac 本地样本和 TDX 隧道均不接触生产配置、生产数据库或公网接收 API。
+- 真实 TDX 只读调用使用 SSH 密钥隧道，`17709`、SSH 和 RDP 不做公网端口映射。
+- 样本删除凭据、家庭地址和无关原始字段；日志只保存统一错误分类和性能摘要。
+- 未来采集器的密钥存储、目标认证、IPC 和自动更新不在当前方案中预设，必须重新安全评估。
+- 数据再分发许可属于外部合规风险。PoC 只用于个人开发验证，不宣称获得商业展示或再分发授权。
+
+## 性能目标与评估
+
+- 固定样本回放必须确定性、可重复且不访问网络；Provider 标准化耗时纳入单元测试与基准记录。
+- 真实 TDX 请求目标超时 5 秒并记录响应耗时和字段完整性。
+- 公网上传并发、队列容量、心跳周期和 GUI 资源目标延期到采集器立项，不在当前阶段作容量承诺。
+
+## 失败恢复
+
+TDX 请求失败返回统一错误分类和陈旧状态；本地平台可切回固定样本继续开发，不能把样本伪装为实时行情。上传重试、补传、熔断和备用免费源切换属于后续公网功能。
+
+## 测试边界
+
+单元测试使用固定 TDX 响应验证 Provider、标准化和错误映射；通过 Tailscale SSH 隧道做真实只读冒烟。Electron/Tauri 安装、托盘、开机启动、操作系统密钥存储、目标队列和公网接收测试延期，不能在当前阶段宣称通过。
+
+## 依赖与退出方案
+
+当前不新增 Electron、Python、Go、Rust 或其他采集器运行时依赖。未来采集器实现前重新比较语言、部署形态、许可证、资源、自动更新和安全边界；只要遵循 Provider/上传契约，采集器可替换而不改市场概览。
@@ -0,0 +1,26 @@
+# GitNexus 开发前基线
+
+- 功能编号：FEAT-DS-001
+- 记录时间：2026年8月14日 GMT+8 02:38:03
+- 分支：main
+- 基线提交：a398bc418d39
+
+## 工作区
+
+```text
+?? docs/features/FEAT-DS-001-tdx-ingestion-poc/
+```
+
+## GitNexus 状态
+
+```text
+Repository: /Users/citrons/Documents/Codex/2026-08-12/wo-x/a-share-analysis
+Indexed: 8/14/2026, 2:38:02 AM
+Indexed commit: a398bc4
+Current commit: a398bc4
+Status: ✅ up-to-date
+```
+
+## 后续人工分析
+
+在修改代码前，将 GitNexus query、context、impact 的结论写入 `gitnexus/impact-plan.md`。高风险结果必须先获得用户确认。
@@ -0,0 +1,24 @@
+# GitNexus 开发前影响计划
+
+- 功能编号：FEAT-DS-001
+- 总体风险：LOW（当前仅规划 Provider 边界和本地联调，不新增桌面应用或公网入口）
+
+## 直接与间接影响
+
+- `gitnexus query --repo a-share-analysis "market data ingestion TDX adapter scheduler worker"` 未找到现成行情 Provider，相关现有流程集中在 Scheduler/Worker 启动和运行时配置。
+- `gitnexus query --repo a-share-analysis "configuration HTTP API health Redis MySQL RocketMQ"` 表明 API 当前只有健康检查流程，新增接收模块不会修改 `HealthService`。
+- 对名称 `health` 的 upstream impact 命中 Web API 目录且风险为 LOW、无上游消费者；由于名称存在歧义，结论仅作为辅助证据，不解释为对 API 全局无影响。
+- 当前不新增 `desktop/tdx-agent` 或 `MarketIngestModule`，不会修改现有 Web、API、Scheduler 或 Worker 符号。
+- 直接消费者是后续市场概览 Service；未来采集器、RocketMQ Worker、Redis 快照和 MySQL 历史属于延期功能，必须重新执行影响分析。
+
+## 跨模块同步修改
+
+- HTTP/OpenAPI：当前不新增公网握手或上报 DTO；Provider 内部契约不得泄漏到 Web。
+- Web API：主平台 Vue 不修改；不存在 Electron renderer。
+- 消息契约：本 PoC 不启用 RocketMQ，也不预留伪接收实现。
+- 数据库与 Redis：不新增 Schema，不读取生产库；PoC 接收仅做受控确认。
+- API：后续 Provider 如进入 API，再对 `ApiModule.register`、OpenAPI 和运行时配置执行影响分析。
+- Scheduler/Worker：本 PoC 不修改；后续正式排队功能另立功能档案和影响分析。
+- 配置部署：当前不新增 Windows 或公网配置，不改变主平台源码部署政策。
+- 测试：使用固定样本和 TDX 隧道冒烟；采集器打包和 Windows 无人值守测试延期。
+- 文档：记录延期原因、Provider 边界、安全、性能和未来重新立项条件。
@@ -0,0 +1,17 @@
+# 数据源接入架构与 TDX PoC 规划
+
+## 当前计划（不实现采集器）
+
+1. 建立与运行时无关的 `DataProvider`、市场事件和数据新鲜度契约。
+2. 用固定样本 Provider 支撑市场概览的规则、AI、混合和对照分析开发。
+3. 按 [Tailscale + SSH 隧道访问 TDX 开发手册](../../deployment/tailscale-tdx-development.md) 执行真实 TDX 只读请求，保存脱敏字段报告。
+4. 对 TDX 字段缺失、协议错误和陈旧数据做 Provider 层降级，不连接生产数据。
+5. 暂不新增 Windows 应用、Electron/Tauri、目标推送、补传队列、公网接收 API、RocketMQ 事件或数据库表。
+6. 待公网部署需求确定后，另立采集器功能档案，重新评估 Node、Python、Go、Rust 或系统服务方案。
+
+## 后置功能必须覆盖
+
+- 单次采集、多目标隔离推送。
+- production/development 独立地址、密钥、队列、状态和启停；两者地址均可修改。
+- production 未配置或停止为正常状态；停止时不删除队列、不转投 development。
+- HTTPS/HMAC、重放防护、握手身份、限流、补传、熔断、心跳、无人值守运行和系统更新。
@@ -0,0 +1,12 @@
+id: FEAT-DS-001
+name: 数据源接入架构与 TDX PoC 规划
+slug: tdx-ingestion-poc
+status: deferred
+owner: project
+created_at: 2026-08-14
+requirements: requirements.md
+prd: prd.md
+design: design.md
+implementation_plan: implementation-plan.md
+traceability_note: 当前只完成数据源边界和本地联调规划；操作步骤见 ../../deployment/tailscale-tdx-development.md；Windows 采集器与公网接入延期到公网部署需求确认后单独立项。
+release: unreleased
@@ -0,0 +1,37 @@
+# TDX 数据接入 PoC PRD
+
+## 用户问题
+
+TDX 客户端运行在家中 Windows 虚拟机，并且接口只监听 Windows 本机 `127.0.0.1:17709`。公网平台和人在外面的开发设备都不能直接访问该端口，需要验证一套不暴露 TDX、可 7×24 小时运行的数据上报链路。
+
+## 目标
+
+在不提前引入公网部署和 Windows 常驻程序的前提下，先确定 TDX 数据源边界、标准化 Provider 契约和 Mac 本地联调方式。Windows 采集器、托盘 GUI、目标推送和公网接收入口延期，避免在生产部署形态尚未确定时锁定技术栈。
+
+## 范围
+
+- Mac 本地开发使用固定样本回放作为默认数据源，并保留通过 Tailscale SSH 隧道调用家中 Windows TDX 的人工联调方式。
+- 只定义与运行时无关的 `DataProvider`、标准化事件和数据新鲜度字段，不实现 Windows 常驻采集程序。
+- 记录未来公网模式的单次采集、多目标隔离推送、地址可变和目标启停原则，但不在本功能实现。
+- 只读验证指数、单股 K 线、快照、分时和板块接口中实际可用的字段。
+- 通过 Tailscale + SSH 隧道从外部 Mac 远程验证家中 Windows TDX；验证结果只用于 Provider 契约，不写入生产链路。
+
+## 非目标
+
+- 不在本功能中开发 Windows 采集应用、Electron/Tauri GUI、开发/生产接收 API、目标队列或公网推送。
+- 不在本功能中开发市场概览页面、AI 分析、正式 Worker 消费或生产接入。
+- 不开放 TDX `17709`、SSH 或 RDP 到公网。
+- 不写入自选、交易、账户或 TDX 状态。
+- 不把通达信数据授权问题解释为已解决；商业展示和再分发授权仍需单独确认。
+
+## 成功指标
+
+- 固定样本能够覆盖 Provider 的 K 线、快照、分时、板块和错误映射测试。
+- 通过 SSH 隧道完成至少一次真实 TDX 只读请求，并保存脱敏字段报告。
+- Provider 契约不依赖 Node、Electron、Python 或具体传输方式；未来采集器可独立替换。
+
+## 风险
+
+- TDX 客户端协议和返回字段可能变化；代理必须保留原始字段版本和来源标识。
+- 未来公网部署会增加采集节点、推送认证和再分发风险；延期期间不把这些风险误标为已解决。
+- 行情数据的展示、再分发和商业使用权利不由代码许可证自动授予。
@@ -0,0 +1,28 @@
+# 数据源接入架构与 TDX PoC 工程需求
+
+## 当前阶段 Provider 边界
+
+- Provider 暴露与采集器语言和传输方式无关的只读接口，统一返回 `source`、`capturedAt`、`tradeDate`、`schemaVersion`、`traceId` 和数据新鲜度。
+- 默认开发 Provider 使用仓库内固定样本，不连接生产数据源；真实 TDX Provider 只通过显式本地配置和 Tailscale SSH 隧道联调。
+- TDX Provider 限制回环地址、请求超时、响应体大小、股票列表和并发；不得把家庭地址或凭据写入代码。
+- Provider 原始响应映射为版本化内部载荷，上层分析不得依赖 TDX 原始字段名称。
+
+## 当前运行与环境
+
+- 平台仅在 Mac 本地源码运行，不要求安装 Windows 采集程序。
+- 固定样本支持离线、确定性和可重复测试；真实 TDX 联调依赖家中 Windows 在线，但不能成为日常测试门禁。
+- 当前不新增 Electron、Tauri、Python 服务、Go/Rust 程序、公网接收 API、文件补传队列或目标密钥。
+- SSH 私钥、TDX 地址、家庭网络信息和开发数据库凭据不得进入仓库、日志、样本或前端构建物。
+
+## 延期的公网采集原则
+
+- 采集器语言、GUI 壳和打包方式不预设为 Node/Electron，待公网部署需求确认后比较 Node、Python、Go、Rust 和系统服务方案。
+- 未来采集器只采集一次，production/development 使用独立地址、节点 ID、密钥、队列、上传器、心跳和启停状态。
+- production 与 development 地址均可修改且独立测试；任一目标故障或重配不得影响另一目标。
+- production 未配置或停止属于正常状态；停止时不删除已有队列、不转投 development。
+- 公网模式必须重新设计 HTTPS/HMAC、重放防护、身份握手、限流、补传、熔断、无人值守运行和操作系统密钥存储。
+
+## 可观测性
+
+- Provider 结果标记来源、采集时间、数据时间、陈旧状态和统一错误分类。
+- 真实联调报告必须脱敏，不保存完整家庭地址、SSH 信息、供应商凭据或未筛选的原始载荷。
@@ -0,0 +1,23 @@
+# 数据源接入架构与 TDX PoC 测试计划
+
+## 当前阶段功能验证
+
+- 固定样本验证 K 线、快照、分时和板块 Provider 载荷映射。
+- 通过 Tailscale SSH 隧道验证真实 TDX 只读请求，并保存脱敏字段报告。
+- 验证 Provider 在 TDX 错误、超时、空结果和陈旧数据下返回统一错误分类。
+- 验证市场概览只依赖内部模型，不直接读取 TDX 原始字段。
+
+## 安全验证
+
+- SSH 私钥、TDX 地址、家庭网络信息和开发数据库凭据不进入仓库、样本、日志或前端构建物。
+- TDX 只通过 SSH 隧道访问，`17709` 不开放公网。
+- 固定样本不包含供应商凭据和不必要的完整原始载荷。
+
+## 性能验证
+
+- 固定样本下测量 Provider 标准化耗时，确保回放不依赖外部网络。
+- 真实 TDX 请求记录响应耗时和字段完整性；不对未来采集器的上传、队列和 GUI 资源作结论。
+
+## 不适用项与边界
+
+不做 Electron/Tauri 窗口、托盘、安装包、生产数据库迁移、RocketMQ 收发和公网接收验证，原因是采集器与公网部署已延期。市场概览页面另按业务功能执行视觉验证。
@@ -1,7 +1,7 @@
 # 前后端项目架构复核与论证

 - 复核基线：`95b8611bd9bbc282193591e472e2e19c617e5035`
- 状态：实现已验证，等待用户确认
+- 状态：实现已验证，用户于 2026-08-17 确认当前架构

 ## 实际落地结构

@@ -54,4 +54,8 @@ repository

 现有架构适合“先做市场概览、个人使用为主、未来可扩展订阅”的阶段：边界清晰、运行方式简单、契约可自动校验，也保留 API/Scheduler/Worker 独立扩容路径。它不是不可变终局；完成市场概览真实业务后，仍应根据模块依赖和运行数据再次复核，而不是凭脚手架预判过度拆分。

-用户确认本论证前，GOV-009 保持 `reviewing/unreleased`，不得创建 `v0.0.8` 标签。
+## 架构确认记录
+
+用户已于 2026-08-17 完成最终确认，同意以本文描述的实际结构作为当前业务开发基线：Vue 3 与 NestJS 工程分离维护，Server 保持 API、Scheduler、Worker 三进程，HTTP 契约沿 Server DTO → OpenAPI → Web 类型单向发布，生产交付仅支持 Ubuntu 源码部署。该确认满足 GOV-009 的最终完成门禁，GOV-009 与 GOV-010 一并归入 `v0.0.8`。
+
+确认不代表架构永久冻结。市场概览全部业务完成后，仍需依据实际模块依赖、运行负载和维护成本再次论证；在此之前不得仅凭预期拆分微服务或共享契约包。
@@ -91,6 +91,19 @@ Server 数据访问使用 Nest 官方 `@nestjs/typeorm` 集成、TypeORM 和 `my
 - Web 与三个 Server 入口执行真实构建验证；源码发布门禁同时核对 systemd 和 Nginx 模板。
 - E2E 在启动 API 前只读检查现有本机 Redis；不可达时明确失败，不启动替代基础设施。

+## 安全策略与评估
+
+- 配置按 API、Scheduler、Worker 最小权限拆分，生产只由 systemd `EnvironmentFile` 注入；Web 只允许公开的 `VITE_` 变量进入构建产物。
+- Schema 工具硬编码开发环境、固定库名和主机白名单，密码只通过子进程环境传递；本功能禁止连接、探测或读取生产数据库。
+- Redis/MySQL 健康检查和启动错误只返回脱敏状态；RocketMQ 未验证时明确禁用，不以进程内队列伪降级。
+- OpenAPI 契约、Web/Server 源码边界和消息契约隔离由自动门禁验证。残余风险是 RocketMQ Node 客户端和真实行情数据源尚未接入，必须在各自功能中重新做依赖与安全评估。
+
+## 性能目标与评估
+
+- 脚手架目标是保持 Web 和三个 Server 进程可独立构建、启动和扩容；根 workspace 只编排质量命令，不进入生产运行时。
+- 健康检查只执行有限的 Redis/MySQL 只读操作，禁止自动重试风暴；Scheduler 与 Worker 采用独立进程，避免任务执行阻塞 HTTP API。
+- OpenAPI 和边界扫描只在开发、测试和发布阶段运行，不增加线上请求路径开销。当前尚无行情吞吐、数据库查询或消息积压业务，因此不伪造业务性能指标；后续功能必须按刷新周期、数据量和延迟重新设定基线。
+
 ## 回退原则

 GOV-009 不迁移业务数据。回退时恢复上一 Git 标签即可移除脚手架；本地 `*.env.local` 和基础设施数据不随 Git 回退。若 Schema 工具变化失败，恢复旧工具后仍保留已发布基线，禁止改写历史目录。
@@ -0,0 +1,56 @@
+# GOV-009 应用工程脚手架基线开发总结
+
+- 功能编号：GOV-009
+- 发布版本：`v0.0.8`
+- 架构确认日期：2026-08-17
+
+## 原始开发需求
+
+用户要求先搭建可支持 A 股市场概览业务的前后端基础：前端采用 Vue 3 与 Dart Sass，后端以独立 NestJS 工程维护，MySQL 固定 5.7、`utf8mb4_general_ci` 与东八区，Redis 作为缓存，RocketMQ 负责异步任务，API、Scheduler、Worker 分进程运行。工程需要开发/生产配置隔离、源码部署、OpenAPI 契约、完整治理留痕，并在全部实施后基于真实结构再次向用户论证。
+
+## 需求与范围变化
+
+- 消息队列从早期 RabbitMQ 方案调整为 RocketMQ 5.x，业务只依赖 `MessageBusAdapter`，未验证 Node 客户端前保持明确禁用。
+- 部署从“Docker Compose 与源码并存”逐步收敛为“只支持 Ubuntu 源码部署”，Dockerfile、Compose、镜像门禁和容器兜底全部移除；历史验证事实不改写。
+- 前后端不建立根共享 TypeScript 契约包。Server DTO 生成 OpenAPI，Web 生成自己的类型；RocketMQ 消息契约只属于 Server。
+- 用户体系、会员订阅、市场概览 UI、行情采集和 AI Provider 均不属于本功能范围，后续以独立功能档案实施。
+
+## 实际完成需求
+
+| 范围 | 状态 | 实际结果 |
+|---|---|---|
+| Web 工程 | 已完成 | 建立 Vue 3、Vite、Pinia、Vue Router、Element Plus、Dart Sass、Vitest 与 Playwright 基线。 |
+| Server 工程 | 已完成 | 建立 NestJS API、Scheduler、Worker 三入口及独立配置、生命周期和构建产物。 |
+| 契约边界 | 已完成 | Server DTO → OpenAPI → Web 类型单向生成；Web/Server 源码越界和契约漂移由自动门禁阻断。 |
+| 基础设施边界 | 已完成 | 固定 MySQL 5.7.42、Redis 只读健康检查、RocketMQ Adapter/消息信封和禁用语义，不自动管理外部服务。 |
+| 环境与部署 | 已完成 | 开发/生产模板按进程最小权限拆分，生产仅支持 Ubuntu、systemd、Nginx 的源码部署。 |
+| 质量治理 | 已完成 | 建立运行时、Schema、契约、边界、部署、测试、构建、视觉与 GitNexus 验证链路。 |
+| 架构复核 | 已完成 | 依据真实目录和运行入口完成论证，用户于 2026-08-17 确认当前架构基线。 |
+
+## 修复缺陷
+
+实施与 Review 阶段修复了配置注入和三进程生命周期、未跟踪生成契约绕过、Vue 外部脚本越界、Vite 运行时模板警告、源码门禁 Docker 路径绕过、systemd 单元安装名称错误以及 Redis 测试兜底改变外部服务所有权等问题。所有处置均保留在实施计划、QA 和两份 Review 中；当前无未关闭的 Critical 或 Important 问题。
+
+## 未完成与延期项
+
+- 市场概览、短线/中长线模式、行情图表、规则/AI/混合/对照分析尚未实现，归入业务功能开发。
+- TDX 常驻采集代理与 RocketMQ Node 客户端尚未落地；当前仅保留接口边界、禁用 Adapter、Tailscale 操作文档和 PoC 前置档案。
+- 用户、邀请制、权限、会员和订阅按用户决定后置，不预埋业务实现。
+- 完成市场概览真实业务后，需要依据模块依赖、负载与维护成本再次进行架构复核；当前确认不等于永久冻结。
+
+## 关键提交
+
+| 阶段 | 代表提交 | 说明 |
+|---|---|---|
+| 工程与契约基线 | `b3d8e29` 至 `95b8611` | Schema、workspace、Web、Server 三进程、OpenAPI、边界与 Review 整改。 |
+| 仅源码部署 | `cfcd7f1` 至 `c756654` | 确认设计、移除 Docker、修复发布门禁并完成复审。 |
+| GitNexus 封存 | `bbda26f` | 更新 GOV-009 最终索引统计。 |
+
+上述提交均使用包含 GOV-009 的中文 Conventional Commit 并已推送项目专用 Gitea。发布封存提交和 `v0.0.8` 标签在本次收尾中分别推送并核对。
+
+## 验证证据
+
+- `qa/test-results.md` 保存运行时、治理、MySQL 5.7、环境、Schema、契约、边界、部署、Web、Server、构建、Playwright、安全扫描和格式证据。
+- `qa/visual-qa.md` 与 `screenshots/iterations/` 保存桌面和移动应用外壳证据；GOV-009 不评价尚未实现的市场概览视觉质量。
+- `gitnexus/before.md`、`impact-plan.md`、`detected-changes.md`、`after.md` 和 `comparison.md` 保存开发前后影响与实际执行流对比。
+- 两份 Review 最终结论均为 `passed`；当前版本没有业务迁移，不访问生产数据库，不创建 RocketMQ Topic，也不写入 Redis 或 MySQL 业务数据。
@@ -24,3 +24,11 @@ Review 整改前对具体符号分别执行上游影响分析：三进程 bootst
 开发前对 `assertImmutableImageReferences`、旧 Docker 辅助函数和 `forwardSignal` 的上游影响均为 LOW，0 条业务执行流受影响。最终 compare 的 MEDIUM 来自部署门禁整体替换：旧 Docker 验证删除，源码发布与 Redis 预检新增，并非应用业务依赖扩散。

 Review 中 `verifySourceDeployment` 和 `assertDockerArtifactsAbsent` 的影响分析均为 LOW；后者只影响 1 条源码部署校验流程。递归活动资产扫描与 systemd 正式目标名测试完成后，部署 6/6、环境 10/10 和完整 `verify:release` 通过。
+
+## v0.0.8 发布封存检测
+
+- 检测日期：2026-08-17
+- 检测命令：`npx gitnexus detect-changes --repo a-share-analysis`
+- 结果：22 个已索引文档/版本文件、55 个文档符号、0 条受影响执行流，风险 LOW。
+
+本次变化只封存用户确认、版本状态、独立开发总结、安全/性能证据和 Review，不修改运行时代码。逐项核对确认 HTTP/OpenAPI、Web API、消息、数据库、Redis、API、Scheduler、Worker 与源码部署无需代码同步；CHANGELOG、manifest、发布说明和回退说明已同步。
@@ -34,6 +34,21 @@

 GitNexus 查询未找到 Vue、NestJS、API、Scheduler 或 Worker 的既有运行符号，证明当前只有文档和治理工具。新增工程不会破坏已有应用调用方，但会建立新的构建、配置、HTTP 和进程启动流程，开发后必须重新索引并逐项核对。

+## 直接与间接影响
+
+- `assertSafeDevelopmentConfiguration` 为 CRITICAL：4 个直接调用方、9 个间接符号和 5 组流程，影响 Schema 生成、已发布基线校验与 `governance:start`。
+- `resolveFixedDevelopmentEnv` 为 HIGH：2 个直接调用方、7 个间接符号和 3 组流程，影响开发配置解析和当前发布基线验证。
+- 新增 Web、API、Scheduler、Worker 在开发前没有既有调用方，但会新增构建、启动、OpenAPI、生命周期和部署流程；开发后必须用 detect-changes 与 compare 核对实际边界。
+
+## 跨模块同步修改
+
+- HTTP/OpenAPI：新增 Server DTO、OpenAPI 输出、Web 生成类型和漂移门禁；Web 不直接依赖 Server 源码。
+- Web API：建立生成契约与 adapter 边界；后续 GOV-010 再统一为 Axios request 与业务域 API。
+- 消息：建立 RocketMQ 信封和禁用 Adapter，不创建 Topic 或启用真实收发。
+- 数据库与 Redis：同步 MySQL 5.7.42、字符规则、开发 Schema 安全边界和只读健康检查，不实施业务迁移或缓存写入。
+- API/Scheduler/Worker：同步三进程入口、最小配置、持续运行和优雅退出验证。
+- 部署、测试与文档：同步环境模板、systemd/Nginx、源码发布门禁、Playwright、Review、回退和架构复核；早期 Docker 方案后来由仅源码部署设计取代。
+
 ## 风险控制

 1. Schema 变更先写失败测试，覆盖固定远程白名单、未知远程拒绝、`api.env.local` 优先级、历史 N/A 基线验证和空库 captured 状态。
@@ -634,10 +634,10 @@ Run `npx gitnexus status`; stale 时运行 analyze。最终要求工作区干净
 - Task 1–7：已实现、验证、提交并推送；原始步骤复选框保留为开发前计划，不反向改写预期命令和 RED 描述。
 - Task 8 Step 1–3、5：已完成全量验证、视觉证据、GitNexus 检测与发布/回退材料。
 - Task 8 Step 4：代码 Review 追加发现无引号外部脚本绕过，已用 Vue 官方 SFC 解析器整改；代码 Review 与规范 Review 最终结论均为 `passed`。
- Task 8 Step 6：架构复核文档已生成，正在向用户论证并等待确认。
- Task 8 Step 7：未执行；用户确认前禁止创建或推送 `v0.0.8`。
- Task 8 Step 8：开发后图谱已刷新到 `95b8611`；最终档案提交后还需再次刷新并核对远端。
+- Task 8 Step 6：架构复核文档已生成并完成论证；用户于 2026-08-17 确认以仅源码部署后的实际架构作为业务开发基线。
+- Task 8 Step 7：用户确认后进入发布封存；最终档案提交、`main` 推送及 `v0.0.8` 精确标签推送由本次收尾执行并记录。
+- Task 8 Step 8：开发后图谱已在各实施阶段刷新；本次最终档案提交后再次刷新并核对本地、远端分支与标签。

 ### Docker 后续执行口径

-用户于 2026-08-13 决定：Docker 暂不作为后续日常开发与阶段验收的必跑项，待核心功能完整后再决定是否保留 Docker 部署。现有 Docker/Compose 文件与本次已通过的历史验证不删除；后续日常执行 `pnpm verify`，只有最终交付且用户确认继续采用 Docker 时才执行 `pnpm verify:docker` 或 `pnpm verify:release`。
+用户于 2026-08-13 最终决定彻底移除 Docker 依赖，项目生产交付只支持 Ubuntu 源码部署。早期 Docker/Compose 验证记录作为当时真实事实保留在历史档案，但现行仓库已删除可执行 Docker 资产；后续发布统一执行 `pnpm verify:release` 的源码门禁。
@@ -1,7 +1,7 @@
 id: GOV-009
 name: 应用工程脚手架基线
 slug: application-scaffold-baseline
-status: reviewing
+status: released
 owner: project
 created_at: 2026-08-13
 prd: prd.md
@@ -9,10 +9,16 @@ requirements: requirements.md
 design: design.md
 implementation_plan: implementation-plan.md
 test_plan: test-plan.md
+development_summary: development-summary.md
 gitnexus_before: gitnexus/before.md
 gitnexus_impact: gitnexus/impact-plan.md
-release: unreleased
-completion_gate: 实施完成后必须基于实际前后端架构向用户论证并再次确认
+gitnexus_after: gitnexus/after.md
+gitnexus_comparison: gitnexus/comparison.md
+code_review: review/code-review.md
+standards_review: review/standards-review.md
+release: v0.0.8
+architecture_confirmation: 2026-08-17
+completion_gate: 已完成基于实际前后端架构的论证并获得用户确认
 architecture_review: architecture-review.md
 source_only_deployment_design: source-only-deployment-design.md
 source_only_deployment_implementation_plan: source-only-deployment-implementation-plan.md
@@ -80,3 +80,14 @@
 应用内浏览器补充验证 1440×900 与 390×844：两种视口页面均非空，页面宽度等于视口宽度，无横向溢出、文字重叠或控制台 warning/error；DOM 中导航与“应用就绪”区域完整。

 最终 Review 发现并修复两项 Important：systemd 模板曾以 `.service.example` 目标名安装，任意新路径的 Dockerfile/Compose 文件曾可绕过固定清单。两项均先增加失败测试，再修复至 GREEN。
+
+## v0.0.8 发布封存验证（2026-08-17）
+
+`npm run governance:finish -- GOV-009 application-scaffold-baseline`、`npm run governance:finish -- GOV-010 development-quality-architecture` 与 `pnpm verify:release` 均以退出码 0 完成。
+
+- 运行时：Node.js 22.22.0、pnpm 10.25.0。
+- 治理 10/10、MySQL 规范 2/2、环境 10/10、Schema 28/28、契约 3/3、边界 16/16、源码部署 6/6。
+- Web Vitest 11/11；Server Vitest 30/30；Redis API 预检 2/2。
+- Web、API、Scheduler、Worker 生产构建均通过；Web JS 163.91 kB、CSS 0.81 kB，未因发布文档变化增加运行时代码。
+- Playwright 桌面/移动共 4/4；`verify:source` 确认四类构建产物、systemd 与 Nginx 配置一致。
+- 验证只使用开发配置安全边界和现有本机 Redis；没有连接、探测或读取生产数据库，没有创建 RocketMQ Topic 或读写业务数据。
@@ -11,6 +11,6 @@ GOV-009 建立了可运行的应用工程基线：
 - 新增契约漂移、Vue SFC 边界、三进程生命周期、Playwright 真实 API 和源码发布门禁。
 - 删除 Dockerfile、Compose、镜像校验和容器测试；Redis/MySQL/RocketMQ 统一为外部服务。

-当前状态为 `reviewing/unreleased`。实现提交已推送至 `origin/main`，但按用户要求，必须完成基于真实实现的架构论证并再次确认后才能创建和推送 `v0.0.8` 标签。
+本功能已完成基于真实实现的架构论证，并于 2026-08-17 获得用户确认，随 `v0.0.8` 发布。确认范围包括前后端工程边界、Server 三进程、OpenAPI 单向契约、外部基础设施边界和 Ubuntu 仅源码部署路径。

 2026-08-13 后续确认的仅源码部署决策已取代此前可选 Docker 交付结论。历史验证记录继续保留用于追溯，但仓库不再提供可执行 Docker 能力。
@@ -44,3 +44,25 @@ Critical、Important、Minor 均无未关闭问题。
 Critical、Important、Minor 均无未关闭问题。

 最终结论：passed
+
+## v0.0.8 发布封存复核
+
+- 复核日期：2026-08-17
+- 本次变化只更新用户确认记录、功能状态、版本、发布说明与开发总结，没有修改运行时代码、数据库结构、消息契约或部署入口。
+- `architecture-review.md` 记录的确认范围与实际实现一致；仅源码部署决策继续取代早期 Docker 方案，没有删除或伪造历史验证证据。
+- 发布状态变化不会扩大生产权限，不读取生产配置或数据；回退继续采用新提交和更高补丁版本，禁止移动已推送标签。
+- 完整验证与源码发布门禁在最终发布树上重新执行，结果写入本次发布记录。
+
+## 安全与残余风险
+
+配置、Schema、Redis/MySQL 健康检查、OpenAPI 边界和源码部署均保持最小权限与脱敏策略；本次封存不访问生产数据库、不写入外部基础设施。残余风险集中在尚未实现的 RocketMQ Node 客户端、TDX 采集和市场业务，必须在对应功能中重新 Review，不能沿用脚手架结论直接放行。
+
+## 性能与资源影响
+
+本次封存只有文档和版本元数据变化，没有增加线上进程、请求、数据库查询、缓存写入或消息负载。既有 Web 与三进程构建、生命周期和 Playwright 证据覆盖脚手架边界；行情刷新与分析吞吐不属于 GOV-009，后续需建立业务性能指标。
+
+## GitNexus 与同步修改
+
+发布封存不修改运行时符号。HTTP/OpenAPI、Web API、消息、数据库、Redis、API、Scheduler、Worker 和源码部署边界均无需代码同步；版本、manifest、CHANGELOG、开发总结、Review、发布说明和回退记录已同步更新。
+
+最终结论：passed
@@ -33,3 +33,20 @@ Critical、Important、Minor 均无未关闭问题。
 Critical、Important、Minor 均无未关闭问题。

 最终结论：passed
+
+## v0.0.8 发布封存复核
+
+- 用户于 2026-08-17 确认 GOV-009 实际架构，原有 `reviewing/unreleased` 描述作为确认前事实保留；manifest 和发布说明现已同步为 `released/v0.0.8`。
+- 新增独立 `development-summary.md`，七个固定章节完整记录原始需求、范围变化、完成项、缺陷、延期、提交和验证证据。
+- GOV-009 与 GOV-010 的状态、版本、CHANGELOG、Review 和回退口径一致；FEAT-DS-001 仍为未发布 PoC 前置档案，没有误报为已实现采集能力。
+- 本次提交继续使用带 GOV-009 的中文 Conventional Commit，推送 `main` 后再单独精确推送 `v0.0.8`，不使用 GitHub、全局 Git 配置、强推或批量标签推送。
+
+## 安全、性能与架构检查
+
+安全边界覆盖开发库固定白名单、秘密隔离、最小权限配置、错误脱敏和外部基础设施只读检查；性能边界覆盖独立构建、三进程生命周期、无生产时治理开销和后续业务指标延期说明。实际架构与用户确认的 Vue 3、NestJS 三进程、OpenAPI 单向契约和 Ubuntu 仅源码部署一致。
+
+## GitNexus 与开发总结检查
+
+开发前影响、开发后检测、索引基线和前后对比文件完整；发布封存只影响文档与版本，不改变执行流。独立开发总结七个固定章节均有实质内容，并逐项说明 HTTP/OpenAPI、Web API、消息、数据库、Redis、API、Scheduler、Worker、部署、测试和文档的同步边界。
+
+最终结论：passed
@@ -15,4 +15,4 @@ GOV-009 没有创建业务表、执行迁移、写入生产数据库、创建 Ro
 - 回退后重新执行健康检查、契约门禁和可用性验证。
 - 外部基础设施和 `/etc/a-share-analysis/*.env` 不属于应用回退范围，禁止删除或覆盖。

-当前尚未创建 `v0.0.8` 标签，因此无需删除或移动标签。用户确认发布后，若发布回退也只能新建更高版本修复或明确的回退提交，不能移动已推送标签。
+`v0.0.8` 发布后不得删除、移动或覆盖已推送标签。需要回退时只能创建新的中文回退提交，验证并推送后再发布更高补丁版本；远程数据库、Redis、RocketMQ 和环境文件均不属于代码回退对象。
@@ -23,8 +23,16 @@
 - 浏览器访问 Web 与 API 健康检查，无控制台阻断错误。
 - `pnpm verify:release` 只执行源码发布链路，不调用 Docker。

-## 安全检查
+## 安全验证

 - Git 跟踪文件不得包含本地密码、开发库凭据、AI Key 或生产地址。
 - Web 构建产物不得包含 Server env 键或消息契约。
 - 连接错误和测试日志不得输出密码。
+- Schema 测试必须拒绝非开发环境、非固定库名、未知远程主机、错误 MySQL 版本和字符规则；验证过程不得连接生产数据库。
+- RocketMQ 保持禁用态或只读可达性检查，不创建 Topic、不发送或消费消息。
+
+## 性能验证
+
+- Web、API、Scheduler、Worker 必须分别完成生产构建，Scheduler/Worker 在持续运行和 SIGTERM 退出测试中不得异常自退。
+- Playwright 桌面与移动链路验证应用外壳和真实 API 健康代理，记录构建耗时与产物体积，不把测试替代服务计入生产能力。
+- 当前没有市场行情负载、数据库业务查询或 RocketMQ 消息收发，因此吞吐与延迟压测不适用；适用边界仅为脚手架启动、构建、生命周期和有限健康检查。
@@ -3,7 +3,7 @@
 - 功能编号：GOV-010
 - 总结版本：0.1
 - 日期：2026-08-13
- 发布状态：未发布，开发与 Review 已完成
+- 发布状态：已随 `v0.0.8` 发布

 ## 原始开发需求

@@ -47,7 +47,7 @@
 - AI Provider 延期到独立功能设计，届时兼容 OpenAI API 协议；本次没有预留虚假实现或前端密钥。
 - 当前页面接入真实健康或市场概览 API 将随对应页面功能实施；本次不为了展示请求层而增加无产品价值调用。
 - 后端新业务模块会在实际出现职责时遵循按需分层；现有健康模块未迁移，避免没有业务收益的结构调整。
- GOV-010 保持 `unreleased`，不创建版本标签；发布仍受 GOV-009 架构复核和用户确认约束。
+- GOV-009 的实际架构复核已于 2026-08-17 获得用户确认；GOV-010 随同归入 `v0.0.8`。市场概览、AI Provider、用户体系及订阅能力仍按独立功能推进，不因本次治理发布视为已实现。

 ## 关键提交

@@ -60,8 +60,9 @@
 | `d2c1863` | `feat(GOV-010): 建立前端 API 分域边界` | 已推送 `origin/main` |
 | `e992edc` | `fix(GOV-010): 修复 Swagger 传递依赖漏洞` | 已推送 `origin/main` |
 | `f178fb4` | `feat(GOV-010): 完成开发质量与架构治理` | 已推送 `origin/main` |
+| `a398bc4` | `docs(GOV-010): 更新最终 GitNexus 基线` | 已推送 `origin/main` |

-每个阶段提交后均核对本地 `HEAD` 与 Gitea `refs/heads/main`；最终治理提交 `f178fb4` 已完成该核对。本收尾文档提交会在推送后继续核对远程 SHA。
+每个阶段提交后均核对本地 `HEAD` 与 Gitea `refs/heads/main`；最终 GitNexus 基线提交 `a398bc4` 已推送。本次发布封存提交与 `v0.0.8` 标签继续按规范分别推送并核对远程 SHA。

 ## 验证证据

@@ -16,3 +16,7 @@
 MEDIUM 还反映了项目边界验证流的变化：该工具增加了 Axios、fetch、业务 URL 和统一 request 的 AST 规则。它只在开发/发布门禁运行，不进入 API、Scheduler、Worker 或浏览器生产请求路径。

 未检测到计划外的 RocketMQ 消息消费者、MySQL/Redis 数据访问、Schema 迁移或三进程运行流变化。GitNexus 对 Markdown 文档以章节符号记录，不能替代人工阅读，因此同步修改结论在 `comparison.md` 和 Review 中重复核对。
+
+## v0.0.8 发布封存检测
+
+2026-08-17 再次执行 `npx gitnexus detect-changes --repo a-share-analysis`：22 个已索引文档/版本文件、55 个文档符号、0 条受影响执行流，风险 LOW。本次只把已完成治理归入 `v0.0.8`；Axios、OpenAPI、HTTP 字段、MySQL、Redis、RocketMQ、API、Scheduler、Worker 和源码部署均无运行时同步变化。
@@ -1,7 +1,7 @@
 id: GOV-010
 name: 开发质量与前后端架构规范
 slug: development-quality-architecture
-status: reviewing
+status: released
 owner: project
 created_at: 2026-08-13
 prd: prd.md
@@ -12,4 +12,8 @@ test_plan: test-plan.md
 development_summary: development-summary.md
 gitnexus_before: gitnexus/before.md
 gitnexus_impact: gitnexus/impact-plan.md
-release: unreleased
+gitnexus_after: gitnexus/after.md
+gitnexus_comparison: gitnexus/comparison.md
+code_review: review/code-review.md
+standards_review: review/standards-review.md
+release: v0.0.8
@@ -41,3 +41,10 @@
 - 桌面截图：`screenshots/iterations/app-shell-desktop-1440x900-61f85e5.png`，实际浏览器 DOM 视口 1440×900。
 - 移动截图：`screenshots/iterations/app-shell-mobile-61f85e5.png`，实际浏览器 DOM 视口 390×844。
 - 两个视口均有可见 `main` 和页面标题，无横向溢出；浏览器错误/警告日志为空。截图只证明本次请求基础设施迁移没有造成外壳回归，不代表市场概览 UI 已实现。
+
+## v0.0.8 发布封存验证（2026-08-17）
+
+- GOV-009 与 GOV-010 完成门禁均通过；`pnpm verify:release` 以 Node.js 22.22.0、pnpm 10.25.0 完整通过。
+- 最终计数为治理 10、MySQL 2、环境 10、Schema 28、契约 3、边界 16、部署 6、Web 11、Server 30、API 预检 2、Playwright 4，全部通过且无失败。
+- Web 与 API/Scheduler/Worker 构建、源码产物、systemd/Nginx 一致性均通过；本次仅改变发布文档和状态，不改变 Axios、OpenAPI 或后端运行行为。
+- 安全边界与 2026-08-13 Review 一致：不访问生产配置或数据库，不输出凭据，不写入 Redis/MySQL，不启用 RocketMQ 收发。
@@ -1,7 +1,7 @@
-# GOV-010 未发布变更说明
+# GOV-010 发布说明

- 状态：验证中，未发布
- 日期：2026-08-13
+- 状态：已随 `v0.0.8` 发布
+- 发布日期：2026-08-17

 ## 新增

@@ -52,3 +52,12 @@
 ## 最终结论

 最终结论：passed
+
+## v0.0.8 发布封存复核
+
+- 复核日期：2026-08-17
+- 本次只把已完成并通过 Review 的 GOV-010 归入 `v0.0.8`，没有修改 Axios 请求行为、OpenAPI 契约、后端分层代码或依赖版本。
+- 安全与性能结论没有变化：错误脱敏、有限超时、无自动重试、传递依赖修复和包体证据继续有效；本次文档状态变化不引入运行时资源开销。
+- GitNexus 影响仅为发布追溯文档；HTTP/OpenAPI、MySQL、Redis、RocketMQ、API、Scheduler、Worker 和部署无需同步修改。
+
+最终结论：passed
@@ -25,7 +25,7 @@

 ## 不符合项与处置

-初审发现 Review 最终结论校验允许“passed”出现在正文中间，已按测试先行修复为最后非空行校验；没有遗留不符合项。历史已发布档案未改写；GOV-010 保持 `unreleased`。
+初审发现 Review 最终结论校验允许“passed”出现在正文中间，已按测试先行修复为最后非空行校验；没有遗留不符合项。历史已发布档案未改写；在本次审查时 GOV-010 保持 `unreleased`。

 ## 安全、性能与架构检查

@@ -38,3 +38,11 @@
 ## 最终结论

 最终结论：passed
+
+## v0.0.8 发布封存复核
+
+- GOV-009 架构确认门禁已于 2026-08-17 满足，GOV-010 的 `released/v0.0.8` 状态与开发总结、发布说明和 CHANGELOG 一致。
+- 原 Review 中 `unreleased` 是确认前的真实历史状态；本节记录后续发布决定，不反向改写当时审查事实。
+- 最终完成门禁、全量源码发布验证、GitNexus 变更检测、中文提交、Gitea 分支推送和精确标签推送按发布流程重新执行。
+
+最终结论：passed
@@ -19,6 +19,7 @@
 ## 环境与部署

 - [本地开发环境](deployment/local-development.md)
+- [Tailscale + SSH 隧道访问 TDX 开发手册](deployment/tailscale-tdx-development.md)
 - [Ubuntu 源码生产部署（唯一生产方式）](deployment/ubuntu-source-production.md)

 ## 数据库版本基线
@@ -36,6 +37,7 @@

 - [GOV-001：工程治理基线](features/GOV-001-engineering-governance/manifest.yaml)
 - [FEAT-MO-001：市场综合概览](features/FEAT-MO-001-market-overview/manifest.yaml)
+- [FEAT-DS-001：数据源接入架构与 TDX PoC 规划（采集器延期）](features/FEAT-DS-001-tdx-ingestion-poc/manifest.yaml)
 - [GOV-002：PRD 与 Review 门禁](features/GOV-002-prd-review-gates/manifest.yaml)
 - [GOV-003：项目专用 Gitea 远程仓库](features/GOV-003-gitea-local-remote/manifest.yaml)
 - [GOV-004：提交后强制推送 Gitea](features/GOV-004-mandatory-gitea-push/manifest.yaml)
Author	SHA1	Message	Date
FoXiMao	9e85809096	docs(GOV-009): 封存 GOV-009 与 GOV-010 架构基线	2026-08-17 16:27:37 +08:00
FoXiMao	4971077d3b	docs(FEAT-DS-001): 更新操作手册后的 GitNexus 基线	2026-08-17 12:25:56 +08:00
FoXiMao	81e5d331ca	docs(FEAT-DS-001): 新增 Tailscale TDX 开发操作手册	2026-08-17 12:25:13 +08:00
FoXiMao	4f5588ffcb	docs(FEAT-DS-001): 更新规划后的 GitNexus 基线	2026-08-14 03:06:07 +08:00
FoXiMao	551fe5e5e7	docs(FEAT-DS-001): 记录采集器后置与本地数据源方案	2026-08-14 03:05:23 +08:00
@@ -1 +1 @@
 .0.7
 .0.8