{"content":"fix b977fe0 — 部署镜像不再打包 conf 配置（P0 泄密面收口）\n\n背景：两个 Builder Dockerfile（livenet/testnet）都有 COPY .../conf /root/conf——部署机 build context 里的 conf_pro.yaml 携带 mvc_gas 平台私钥、充值私钥、anchor 私钥、支付宝商户 RSA 私钥、admin/internal token 和 DSN，被 COPY 进镜像层后随 docker push 发布到 ghcr。.gitignore 只保护 git，不保护 docker build context。\n\n修复：① 删除两个 Dockerfile 的 COPY conf，conf 由宿主机 bind-mount 在运行时提供（2026-08-26 起的现行生产拓扑，镜像内本就不再被读取）；② 新增 .dockerignore——挡 conf/*.yaml、conf/*.yml、.env 进入 build context（conf 包的 Go 源码 environment.go/init_conf.go 保留在上下文中保证 go build 正常），并排除 .git/.gocache-tmp 等本地目录。\n\n遗留警示：历史已 push 的镜像（ghcr v1.0）层里可能仍含旧版 conf 文件，需要用 docker history/层导出核查；若确认存在，应视为全部密钥已泄露并轮换（mvc_gas 热钱包、3 个充值私钥、anchor 私钥、支付宝商户密钥、admin/internal token、DSN 密码）。此项是仓库外操作，待 owner 执行。","contentType":"text/plain;utf-8","attachments":[],"quotePin":""}