生产就绪

在让 ObjectOS 承接生产流量之前，请使用这份清单。

HTTP 加固

ObjectStack 运行时为分发路由提供了保守的安全响应头。生产部署应当 确认：

• Content-Security-Policy;
• X-Content-Type-Options;
• X-Frame-Options;
• Referrer-Policy;
• Permissions-Policy;
• Cross-Origin-Resource-Policy;
• 在确认 TLS 后启用 HSTS。

如果响应头由反向代理控制，请用以下命令验证最终响应：

curl -I https://app.example.com

Secrets

以下内容应存放在密钥管理器中：

切勿将 secret 写入产物或镜像。

限流

框架暴露了一个令牌桶限流器。请在调用方 IP 与已认证身份可信的位置 （适配器、入口或网关层）接入限流。

推荐的桶配置：

多 Pod 部署应使用共享后端，如 Redis。

CORS

显式配置来源：

https://app.example.com
https://admin.example.com

不要在携带凭据的请求中使用通配符来源。

上线检查清单

• TLS 在边缘或入口处终止。
• 安全响应头已就位。
• 验证 TLS 后启用 HSTS。
• CORS 来源是显式的。
• 对认证与写端点做了限流保护。
• OS_AUTH_SECRET 足够强并作为 secret 存储。
• OIDC 回调 URL 与公开域名一致。
• 业务数据库的备份与恢复已测试。
• 审计日志按客户策略保留。
• 跨组织的反向访问测试通过。
• 回滚方案覆盖 ObjectOS 镜像与产物版本。