# S03 生产配置、简历隐私与 Actuator 隔离设计

状态：设计已确认，待按独立检查点实施。

## 1. 目标与边界

S03 只处理三类高风险问题：

1. 禁用仍保持原始状态的通用 Flyway 演示账号，并提供显式、一次性的管理员初始化能力；
2. 让 `resumeVisibility` 在企业读取简历文件的正式边界真正生效；
3. 将 Actuator 健康探针与指标端点隔离，防止普通业务用户读取运行指标。

S03 不修改 Access/Refresh Token 语义，不修改评分、排名、推荐、人才发现、邀约、Offer、申诉、消息撤回、简历上传与学生本人下载语义，不做性能重构，不进入 Q01/R01。

## 2. 已核实的现状

- `V1_1__seed_data.sql` 无环境隔离地插入已知 ADMIN、STUDENT、COMPANY 账号及公开口令哈希。
- V1–V42 已经执行，不允许修改校验和；S03 使用新的 V43 迁移。
- `student_privacy_settings.resume_visibility` 已支持 `PRIVATE`、`APPLIED_COMPANIES`、`VERIFIED_COMPANIES`，默认 `PRIVATE`。
- `PrivacySettingsService.canCompanyViewResume(...)` 没有生产调用方。
- 该方法的 `APPLIED_COMPANIES` 分支没有核对投递岗位归属 `companyId`，不能直接作为授权边界使用。
- 企业候选人 DTO 当前主动排除了 `resumeUrl`；当前没有企业下载简历文件的正式接口。
- `/actuator/health/**` 和 `/actuator/info` 公开；`metrics/prometheus` 被暴露后会落入普通 `authenticated()`，任何登录用户均可能访问。

## 3. S03-A 历史种子账号治理

### 3.1 V43 迁移原则

新增且仅新增：

`V43__disable_legacy_seed_accounts.sql`

V43 只能禁用仍与 V1_1 原始指纹完全一致的三条种子账号。匹配至少同时包含：

- 原始手机号；
- 原始邮箱；
- 原始公开 bcrypt 哈希；
- 原始主角色；
- `is_active=1`。

不得依赖固定 `id=1/2/3`。不得删除用户、角色、审计或业务数据，不得重置自增。不得修改已被运营人员改过手机号、邮箱、哈希或角色的账号。

命中后仅将 `users.is_active` 置为 `0`。保留记录与关联关系，用于历史数据完整性和审计追溯。由于认证签发链已拒绝 inactive 用户，已知账号不能再取得会话。

迁移必须幂等，并分别覆盖 ADMIN、STUDENT、COMPANY 三条原始种子。迁移报告只记录命中数量，不输出完整手机号、邮箱或哈希。

### 3.2 管理员一次性初始化

新增显式开关，默认关闭：

- `app.bootstrap.admin.enabled=${ADMIN_BOOTSTRAP_ENABLED:false}`
- `app.bootstrap.admin.phone=${ADMIN_BOOTSTRAP_PHONE:}`
- `app.bootstrap.admin.nickname=${ADMIN_BOOTSTRAP_NICKNAME:平台管理员}`

初始化器仅在开关严格为 `true` 时装配。普通启动不得隐式创建管理员。

初始化规则：

1. 手机号必须通过现有手机号格式校验；不得写日志、异常详情或审计 details。
2. 数据库已有活动 ADMIN 时安全跳过，不创建第二个管理员。
3. 数据库没有活动 ADMIN 且手机号不存在时，创建 `active=true`、`verified=true` 的 ADMIN，并同时写入 `users.role` 与 `user_roles`。
4. 手机号已属于 STUDENT/COMPANY、inactive 用户或角色信息不一致时启动失败，禁止自动提权或复活。
5. 相同配置重复启动必须幂等。
6. 初始化成功后应提示固定文本，部署方必须移除开关；日志不得包含手机号。
7. 多实例部署时只允许一个实例带初始化开关启动；数据库唯一手机号约束作为最后防线，冲突必须失败而不是吞掉。

不新增公网初始化接口，不接受请求参数创建 ADMIN，不设置默认密码。管理员仍使用正式短信认证流程；真实短信供应商未配置时不能以 Mock 绕过。

## 4. S03-B 简历隐私授权

### 4.1 唯一新增企业接口

新增：

`GET /company/candidates/{applicationId}/resume`

该接口返回文件流，不返回 `resumeUrl`、存储相对路径、绝对路径、学生用户 ID、手机号或邮箱。文件名必须继续经过 `ResumeFilenameSanitizer`。

除该接口外不新增按 `studentUserId`、`candidateKey` 或任意 URL 下载简历的入口。人才发现接口本轮不得直接下载简历。

### 4.2 授权顺序

必须在读取文件前依次完成：

1. 从 `SecurityContext` 取得当前用户，要求 COMPANY；
2. 定位当前用户拥有的 Company；
3. 查询 `applicationId` 及对应 Job；
4. 校验 Job 属于当前 Company；
5. 取得投递对应的 `studentUserId`；
6. 按隐私设置判定可见性；
7. 通过后才读取 `student_profiles.resume_url` 和文件内容。

跨企业投递统一返回既有 403 语义，不通过差异响应泄露归属。隐私拒绝使用 `FORBIDDEN(2002)`。不存在的投递保持既有 `APPLICATION_NOT_FOUND`；授权通过但学生没有简历时使用既有 `PROFILE_NOT_FOUND`，不新增 ErrorCode。

### 4.3 可见性决策表

| 设置 | 企业条件 | 投递条件 | 结果 |
|---|---|---|---|
| 无设置记录/null | 任意 | 任意 | 403，按 PRIVATE 处理 |
| PRIVATE | 任意 | 包括已投递、面试、录用 | 403 |
| APPLIED_COMPANIES | 岗位属于当前企业 | SUBMITTED/VIEWED/INTERVIEW/HIRED | 200 |
| APPLIED_COMPANIES | 岗位属于当前企业 | WITHDRAWN/REJECTED | 403 |
| APPLIED_COMPANIES | 其他企业 | 任意 | 403 |
| VERIFIED_COMPANIES | 当前企业 `verified=true` 且拥有该投递岗位 | 任意合法投递状态 | 200 |
| VERIFIED_COMPANIES | 未认证企业或其他企业 | 任意 | 403 |

`VERIFIED_COMPANIES` 不是“知道学生 ID 即可查看”。它仍要求合法的候选业务上下文，本轮该上下文限定为当前企业拥有的 `applicationId`。

### 4.4 代码结构

将现有布尔方法收束为失败关闭的授权组件，例如 `CompanyResumeAccessPolicy`。授权组件必须校验 company ownership，不能依赖 Controller 先验，也不能把客户端传入的 `studentUserId/companyId` 当成可信事实。

文件读取放在独立 Service 方法中。Controller 只解析身份、路径参数、构建安全响应头。任何拒绝路径都不得调用 `ResumeStorageService.read()`。

企业候选人列表与详情 DTO 保持不含 `resumeUrl`。学生本人上传、下载、版本、导出接口完全不变。

## 5. S03-C Actuator 隔离

### 5.1 运行边界

推荐配置：

- `management.server.port=${MANAGEMENT_SERVER_PORT:8081}`
- `management.server.address=${MANAGEMENT_SERVER_ADDRESS:127.0.0.1}`
- 仅暴露 `health,info,metrics,prometheus`；
- `health.show-details=never`；
- `health.show-components=never`。

生产默认只绑定回环地址。需要采集 Prometheus 时，由部署层通过受控网络或反向代理访问管理端口，不通过公网业务端口开放。

### 5.2 业务端口行为

业务端口不得提供 `/actuator/metrics` 或 `/actuator/prometheus`。普通 STUDENT、COMPANY、ADMIN 的业务 JWT 不能把管理指标变成公网资源。健康检查继续提供最小 `UP/DOWN` 信息，不返回数据库、Redis、RabbitMQ、磁盘路径或连接池细节。

本轮不新增运维账号体系，不把 ADMIN 等同于基础设施运维身份。

## 6. 数据与副作用

允许的数据库变化仅为：

- V43 对完全匹配的旧种子账号执行 `is_active: 1 -> 0`；
- 显式管理员初始化首次创建一条 ADMIN 用户和对应角色；
- 企业成功下载简历如需审计，只允许白名单动作与 `applicationId/companyId`，不得记录路径、文件名、学生 ID、联系方式或简历内容。

简历访问不得修改 `student_profiles`、`resume_versions`、投递、评分、排名、推荐、邀约、消息、通知或风险表，不发送 RabbitMQ、短信或邮件。

## 7. 契约与兼容性

- S02 基线为 175 paths / 213 operations。
- 新增一个企业简历下载接口后，预期为 176 paths / 214 operations；最终以运行时 OpenAPI 导出为准。
- 不修改既有响应字段，不把 `resumeUrl` 加回任何企业 DTO。
- 不新增 ErrorCode。
- V43 是唯一新增迁移，V1–V42 不得修改。

## 8. 验收门槛

必须同时通过：

- V43 在 H2 快速层和真实 MySQL 8 执行成功；
- 仅完全匹配的三条原始种子账号被禁用，改过任一指纹的账号不受影响；
- 管理员初始化关闭、成功、重复、已有 ADMIN、手机号冲突、并发冲突场景；
- 三种简历可见性及所有投递状态、跨企业、未认证企业、ADMIN/STUDENT/匿名权限矩阵；
- 拒绝路径零文件读取，企业 JSON/响应头无路径及个人信息泄漏；
- Actuator 业务端口与管理端口真实启动验证；
- 全量测试和 `mvn clean verify` 零失败、零错误、零跳过；
- 静态与运行时 OpenAPI 一致；
- 真实 MySQL/Docker 黑盒通过后才能冻结。