docs: 记录 MySQL 全网连接例外 (#129)

docs/admin/00-getting-started.md

@@ -179,9 +179,10 @@ database:
   password: "从安全渠道取得"
 ```
 
-Admin 本地开发连接线上 MySQL 时默认仍通过 SSH 隧道，把 `port` 改为隧道的本地
-端口。数据库客户端确需公网直连时，只能在项目负责人明确批准后采用固定 `/32`
-来源白名单、来源限定账号、最小权限和强制 SSL，绝不能向全网开放。
+Admin 本地开发连接线上 MySQL 时优先通过 SSH 隧道，把 `port` 改为隧道的本地
+端口。项目负责人已于 2026-08-11 批准生产 3307 接受所有公网来源；公网直连仍只能
+使用限定 `autobuy` 库权限、`REQUIRE SSL` 的专用业务账号，root 只允许服务器本机
+登录。公网暴露风险高于固定 `/32`，恢复固定出口 IP 后应优先收紧白名单。
 
 - 同机或 SSH 隧道：`tls_mode: disabled`；
 - 公网直连：`tls_mode: verify_ca`，`tls_ca` 指向服务器公开 CA。客户端要求 TLS 1.2+

docs/admin/06-quality-security.md

@@ -180,9 +180,10 @@
 Git 忽略且不得随程序打包、截图或粘贴到工单和日志；线上优先使用权限 `600` 的
 环境文件，环境变量按字段覆盖 YAML。
 
-`[必须]` MySQL 公网端口不得向全网开放。项目负责人明确批准直连时，必须同时使用
-固定 `/32` 来源白名单、公网接口其余来源 DROP、来源 IP 限定账号、最小库权限和
-`REQUIRE SSL`；root 始终仅限服务器本机。
+项目负责人已于 2026-08-11 明确批准生产 MySQL 3307 接受所有公网来源。该例外仅限
+`autobuy` 专用业务账号，并且必须保持库级权限、`REQUIRE SSL`、Admin
+`verify_ca` 和 root 仅限服务器本机；不得扩展到其他数据库或关闭 TLS。恢复固定
+出口 IP 后应优先改回 `/32` 白名单。
 
 `[必须]` Admin 公网连接使用 `database.tls_mode: verify_ca`：最低 TLS 1.2，加载
 服务器公开 CA 并验证证书链，验证失败即拒绝连接，不得使用允许明文回退的

docs/task/129-mysql允许所有公网ip连接.md

@@ -0,0 +1,72 @@
+# 129 Admin：允许所有公网 IP 连接生产 MySQL 业务账号
+
+- 类型：生产配置 / 安全例外
+- 父级大工单：#76
+- 所属 MVP / 版本：#77 / 生产数据库公网连接
+- 状态：已完成（待用户验收）
+- 日期：2026-08-11
+- Gitea 工单：http://ilaer.eicp.net:8418/chengma/cmautobuy/issues/129
+
+## 背景与目标
+
+本地 Admin 的公网出口 IP 发生变化后，服务器原 `/32` 白名单会丢弃连接，
+`run_admin.bat` 在 5 秒连接超时后退出。项目负责人明确授权生产 MySQL 3307
+接受所有公网来源，同时继续限制业务账号、数据库范围和 TLS。
+
+## 最终方案
+
+- 在 INPUT 链的 3307 DROP 前增加全来源 NEW 连接 ACCEPT，并保存到
+  `/etc/sysconfig/iptables`；变更前规则备份为
+  `/root/iptables-before-mysql-public-20260811T0900.rules`。
+- 新增 `buy@'%'`，克隆现有本机 `buy` 账号的密码哈希，权限限定为
+  `autobuy.*`，并设置 `REQUIRE SSL`；root 和其他数据库账号保持不变。
+- 因 MySQL 8.4 管理密码的既有保存副本均已失效，未重置 root 密码。改用一次性
+  `init-file` 完成账号 DDL，只重启 MySQL 一次；启动后立即删除初始化文件和配置项。
+  MySQL 配置备份为 `/root/mysql84.cnf-before-buy-public-20260811T0912`。
+- 更新 Admin 规则、配置示例、上手指南和安全基线，记录本次经用户批准的全网来源
+  例外；root 仅本机、TLS 和库级权限仍是硬性条件。
+
+## 改了哪些
+
+- 服务器 `/etc/sysconfig/iptables`：持久化公网 3307 全来源 ACCEPT。
+- 生产 MySQL 权限表：新增 `buy@'%'`，限定 `autobuy.*` 并强制 SSL。
+- `admin/AGENTS.md`：登记项目负责人批准的公网来源例外及保留门禁。
+- `admin/config.example.yaml`：同步公网连接说明。
+- `docs/admin/00-getting-started.md`：同步本地连接和风险说明。
+- `docs/admin/06-quality-security.md`：同步生产安全基线。
+- `docs/task/129-mysql允许所有公网ip连接.md`：记录实施和验收结果。
+
+## 验收结果
+
+| 验收标准 | 结果 |
+|---|---|
+| 公网 TCP 3307 连续连接稳定 | 通过，5/5 成功 |
+| 公网登录身份为 `buy@%` | 通过 |
+| 账号权限只作用于 `autobuy.*` | 通过 |
+| 公网连接强制 SSL，关闭 TLS 会被拒绝 | 通过 |
+| Go Admin 使用 `verify_ca` 完成连接、schema 自检和页面冒烟 | 通过 |
+| root 未开放公网登录 | 通过，未修改 root 账号 |
+| 防火墙规则已持久化且可解析 | 通过，`iptables-restore --test` 成功 |
+| MySQL、Admin、Nginx、cmhub 和图片 worker 无回归 | 通过，worker 66/66 active |
+| 项目规则和基线文档与用户授权一致 | 通过 |
+
+## 测试
+
+- 执行的命令：重复 TCP 探测；MySQL CLI 分别使用 `VERIFY_CA` 和 `DISABLED`；
+  `GOTOOLCHAIN=go1.23.0 go test . -run '公网MySQLTLS' -v -count=1`；
+  `GOTOOLCHAIN=go1.23.0 go test ./repository -run '公网TLS只读冒烟' -v -count=1`；
+  服务器执行 systemd、HTTP、iptables 持久化和 MySQL 日志检查。
+- 结果：公网 TLS cipher 为 `ECDHE-RSA-AES128-GCM-SHA256`；页面冒烟返回 303；
+  明文连接返回 1045；线上 Admin 和 cmhub HTTPS 均返回 200，MySQL 重启后无严重日志。
+- **没验证到的部分**：未执行防火墙回退演练；未重启整台服务器验证开机加载，但已验证
+  `/etc/sysconfig/iptables` 内容和 `iptables-restore --test`。
+
+## 遗留问题（选填）
+
+- 全网开放 3307 会持续遭受互联网扫描，风险高于固定 `/32` 或 SSH 隧道。恢复固定
+  出口 IP 后应优先收紧白名单。
+- MySQL 8.4 root 管理密码的既有本地和宝塔保存副本均已失效；本任务没有重置 root。
+
+## 相关提交
+
+- 待归档提交后回写 Gitea 工单。