XuqmGroup-PrivateDeploy/config/secrets.env.example

# =============================================================================
# XuqmGroup 私有化部署 — 敏感配置（请勿提交 Git）
#
# 使用方法：
#   cp config/secrets.env.example config/secrets.env
#   chmod 600 config/secrets.env
#   按注释填写密码，然后执行部署脚本
#
# 说明：
#   - 本文件通过 env_file 挂载到容器，不会出现在镜像层
#   - 托管模式（managed）下：密码为空或 change-me 时，install.sh 自动生成随机密码
#   - 生产环境请使用强密码（至少 16 位，含大小写字母和数字）
# =============================================================================

# =============================================================================
# MySQL 密码
# =============================================================================

# MySQL 业务账号密码（与 .env 中 MYSQL_USERNAME 对应的账号）
# managed 模式：自动创建此账号并赋权
# external 模式：必须提前在生产库中创建账号
MYSQL_PASSWORD=change-me

# MySQL root 密码（仅 managed 模式使用，用于初始化数据库）
# external 模式：留空即可
MYSQL_ROOT_PASSWORD=change-me

# =============================================================================
# Redis 密码
# =============================================================================

# Redis 认证密码
# managed 模式：自动配置到 Redis 容器
# external 模式：填写现有 Redis 的 requirepass 值
REDIS_PASSWORD=change-me

# =============================================================================
# Bootstrap 租户密码
# =============================================================================

# 初始租户登录密码（首次部署使用，后续通过控制台修改）
# 注意：此密码为明文，系统启动时会自动 bcrypt 哈希后存储
TENANT_BOOTSTRAP_PASSWORD=change-me-on-first-login

# =============================================================================
# JWT 签名密钥（可选，留空则自动生成）
# =============================================================================

# JWT HMAC-SHA384 签名密钥，至少 48 字节
# 留空时 install.sh 自动生成随机密钥并写回本文件
# 修改此值会导致所有已登录用户的 Token 失效
XUQM_JWT_SECRET=

# =============================================================================
# 内部服务 Token（可选，留空则自动生成）
# =============================================================================

# 服务间内部调用鉴权 Token
# im-service / update-service / push-service 调用 tenant-service 时使用
# 留空时 install.sh 自动生成
SDK_INTERNAL_TOKEN=

# =============================================================================
# 应用商店监测 Secrets 主密钥
# =============================================================================

# 32 字节随机值的 Base64。用于 AES-256-GCM 加密商店监测凭据和 Webhook 密钥。
# 首次安装自动生成；丢失后无法解密已有凭据，禁止跨公有化/私有化部署复用。
XUQM_STORE_SECRET_MASTER_KEY=
XUQM_STORE_SECRET_KEY_VERSION=v1

# =============================================================================
# SDK 配置与插件发布清单签名密钥（首次安装自动生成，禁止手工轮换）
# =============================================================================

# Ed25519 PKCS#8 私钥、X.509 公钥及其稳定标识。三项必须作为同一组备份和恢复；
# 缺少任意一项时服务会拒绝启动，避免生成无法验证的新配置。
SDK_CONFIG_SIGNING_PRIVATE_KEY_BASE64=
SDK_CONFIG_SIGNING_PUBLIC_KEY_BASE64=
SDK_CONFIG_SIGNING_KEY_ID=

# =============================================================================
# SMTP 邮件密码（发送验证码邮件）
# =============================================================================

# SMTP 账号密码（明文），请与 config/mail/smtp.env 中的 SMTP_USERNAME 对应
SMTP_PASSWORD=