Prepare private Beta security roadmap and least-privilege manual CI

.github/workflows/tests.yml

@@ -1,26 +1,51 @@
-name: tests
-on: [push, pull_request, workflow_dispatch]
+name: Private Beta acceptance
+on:
+  workflow_dispatch:
 permissions:
   contents: read
+concurrency:
+  group: private-beta-${{ github.ref }}
+  cancel-in-progress: false
 jobs:
   ubuntu:
+    timeout-minutes: 15
     strategy:
       fail-fast: false
       matrix:
         include:
-          - os: ubuntu-22.04
+          - os: Ubuntu 22.04
+            label: vpsmaster-ubuntu22
             python: '3.10'
-          - os: ubuntu-24.04
+          - os: Ubuntu 24.04
+            label: vpsmaster-ubuntu24
             python: '3.12'
-    runs-on: ${{ matrix.os }}
+    runs-on: [self-hosted, Linux, X64, '${{ matrix.label }}']
+    env:
+      PYTHONDONTWRITEBYTECODE: '1'
+      PIP_DISABLE_PIP_VERSION_CHECK: '1'
+      EXPECTED_PYTHON: '${{ matrix.python }}'
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
         with:
           persist-credentials: false
-      - uses: actions/setup-python@v7
-        with:
-          python-version: ${{ matrix.python }}
-      - run: python -m pip install pytest 'setuptools>=77' wheel
-      - run: python -m pytest -q
-      - run: python -m pip wheel --no-build-isolation --no-deps . --wheel-dir work/wheels
-      - run: python -m proxydoctor suite --offline --lang en
+      - name: Verify interpreter and prepare isolated CI tools
+        shell: bash
+        run: |
+          set -euo pipefail
+          python3 -B -c 'import os,sys; assert sys.version_info[:2] == tuple(map(int,os.environ["EXPECTED_PYTHON"].split("."))); print(sys.version.split()[0])'
+          python3 -B -m venv "$RUNNER_TEMP/vpsmaster-ci-venv"
+          "$RUNNER_TEMP/vpsmaster-ci-venv/bin/python" -B -m pip install --timeout 15 --retries 1 'pytest>=8,<10' 'setuptools>=77,<100' 'wheel>=0.45,<1'
+      - name: Complete regression tests
+        shell: bash
+        run: '"$RUNNER_TEMP/vpsmaster-ci-venv/bin/python" -B -m pytest tests -q -p no:cacheprovider --junitxml="$RUNNER_TEMP/vpsmaster-unit.xml"'
+      - name: Wheel build
+        shell: bash
+        run: '"$RUNNER_TEMP/vpsmaster-ci-venv/bin/python" -B -m pip wheel --no-build-isolation --no-deps . --wheel-dir "$RUNNER_TEMP/wheels"'
+      - name: Offline CLI lifecycle without publishing raw host details
+        shell: bash
+        run: |
+          set -euo pipefail
+          status=0
+          "$RUNNER_TEMP/vpsmaster-ci-venv/bin/python" -B -m proxydoctor suite --offline --lang en --json-output "$RUNNER_TEMP/offline.json" > "$RUNNER_TEMP/offline.log" 2>&1 || status=$?
+          if [ "$status" -gt 1 ]; then echo "CLI lifecycle failed, exit $status"; exit 1; fi
+          "$RUNNER_TEMP/vpsmaster-ci-venv/bin/python" -B -c 'import json,os,pathlib; d=json.loads((pathlib.Path(os.environ["RUNNER_TEMP"])/"offline.json").read_text()); assert d["summary"]["failed_modules"]==0; print("Offline CLI completed with zero failed modules; raw report retained only in temporary runner storage.")'

CURRENT_STATUS.md

@@ -1,10 +1,6 @@
-# VPSMaster · 1.0.0b1 当前状态
+# VPSMaster · Private Beta上线准备
 
-项目从ProxyDoctor更名为VPSMaster，保持Python包、schema和旧CLI兼容，新增vpsmaster启动器与默认安装目录。
-本轮仅做品牌、文档与兼容处理，没有实现Roadmap中的CPU/磁盘基准、监控、部署或Web UI。
-
-旧验收ZIP SHA256 adffff5e9e6b251a17e8c8345768082d3cb8de6abc579f69efb59e7c6a6b7217已只读保留。旧282项回归和两机各103项是历史基线，不能作为新包的通过证据。
-VPSMaster新包须完整回归、从最终ZIP安装及关键功能验收；实际结论、数量、环境与SHA256见包外VPSMASTER_TEST_REPORT.md和VPSMASTER_TEST_RESULTS.json。
-
-仍未全面验证海外VPS、ARM、公网IPv6、全新Ubuntu22 Server镜像。媒体仅网页可达性，三网实验性默认关闭；没有完整管理面板。
-未推送、合并或创建公开Release。历史Alpha/旧名文档保留原始证据，仅供追溯。
+基线01b325d / 032d6f3eec70484f49ae938d76b6386ec317c8a20a2cc206c9756ea0d25c6a94原样保留。
+本轮独立分支更新安全加固定位、五阶段Planned路线和私有CI/发行准备。未开发新的加固/自动修复/Web UI。
+文档和CI属于包内变化，因此新候选须重新构建、完整回归及最终ZIP实机验收。实际SHA与GitHub CI结果见包外PRIVATE_GITHUB_ACCEPTANCE_REPORT.md，不能沿用基线通过。
+仓库必须Private，发行必须草稿/Pre-release，未获公开授权。媒体/三网/ICMP-TCP/BGP/IP数据及未验证系统边界仍按README和KNOWN_LIMITATIONS解释。

KNOWN_LIMITATIONS.md

@@ -25,3 +25,5 @@
 - No Web UI, automatic proxy deployment or full management panel is provided.
 - Bandwidth `attempted` counts scheduled sample slots, including automatically
   skipped slots; it is not an actual network-request counter. Inspect sample errors.
+
+当前不具备一键安全加固或自动修复。未来遵循检测→解释→预览→确认→备份→执行→验证→回滚；回滚不能覆盖所有断网/重启/云安全组/宿主机故障。本轮只更新路线与私有发布准备。

MANIFEST.sha256.json

@@ -13,18 +13,19 @@
     "ARCHITECTURE.md": "2d0167efe06df1eb10f0386b3a48c743fcd555a57e7a5247f1af24e6d2524701",
     "CHANGELOG.md": "6a813acbc64657a7aa3df39e9abdc5bb2e6a00b25eabae05940e8f4b7831fc68",
     "CONTRIBUTING.md": "ff542d9f3161d4034a9b1eb24c48fdbcf2834813e728a348393df8787825999d",
-    "CURRENT_STATUS.md": "e8a1dd24324dd0e50756b9a89d08a67eebc010bfb52e846731690bd32d6e779c",
+    "CURRENT_STATUS.md": "82632c2351318c115322ec0537450014b7306fa9bcdfaddf6b1d9a6b804bfa7f",
     "DEVELOPMENT_BRIEF.zh.md": "2826390187880a27ee3a14405ee2bff012fdda532fa567ee16643959842193f9",
     "IPQUALITY_COVERAGE.md": "57bb12daad9b52e2c9ff55a7de5dafcd7278e57ea86a2545e15701cfb4b27fdd",
-    "KNOWN_LIMITATIONS.md": "77ad98e35bff5b60e99ba8ab74a5ada94858fe7a75add42dc821e8ed6577bcd9",
+    "KNOWN_LIMITATIONS.md": "c874b401af6bed7539dceaab9a15fe0c74653846ff1f2bad142687c68461fc93",
     "OPEN_SOURCE_REFERENCES.md": "f75ae885e4f31902a77e3eea90cfee3a3a0b38c0772ba70dc8935448fe483051",
     "OPEN_SOURCE_RESEARCH.md": "b55daa9b58b49fc2acd7cc3ecec077a64ea5bb68be2893ed2f616cb581434803",
     "PROBLEM_BACKLOG.md": "e4ba9faf47c25ebb8af39f5d22185c1ccf191d9248f60fd6985406be34e42403",
     "PUBLIC_BETA_CHANGE_REPORT.md": "33f3eefb59f8445ccd974b3a40881febbfe3855baeb188c9edfe55167bbcf6e9",
-    "README.en.md": "feafce6619ef02958a40f370da63c66d06c83d391e581973d1e435db8dcc0de2",
-    "README.md": "abcd0e5413d2c8b60adafe5a926c0fb4b924ee4e354498ac37d39dce0996098e",
-    "RELEASE_NOTES.md": "23283cb2b6636380f61a5dac27639ad2ea2275971524b7051ca3063fc19cc92c",
+    "README.en.md": "b7472946383d790249f0612ea045b128f9b1309bb9eefb78f46701fde6ef5224",
+    "README.md": "7a3071c306cfe3403401c61a85ce4cd23b1761efee7e8cf56cb5adc8aee32325",
+    "RELEASE_NOTES.md": "020d12ae499c5049b0362b3ac97e6e43a1956b4035594450da5da669d3818b01",
     "SECURITY.md": "24dd0d7306bd3643f9d9773db51ea777d9049337afdd92d5ce3c6dfd38b2c81f",
+    "SECURITY_ROADMAP.md": "1eb9799e41419201701b4cc5bf49045b02b63021044285eec4e9661aa591f949",
     "TEST_PLAN.md": "1c4cbc8d4608a3983c6ed7de782c9e7f0deba25b9b8f191e3eb1cd5f4757dd29",
     "THIRD_PARTY_NOTICES.md": "f6aaa77f22195916ca027e7756d74e3a206399c9e6a6c399d530a21a05f4e768",
     "USER_CHECKLIST_STATUS.md": "ef3255e772499813fb2c28cb9bdad3eac2ab970f4d4aff7e8a827c0f2c1b45f5",
@@ -81,13 +82,14 @@
     "tests/test_server_info.py": "52bd0f409cc01ffaabb3fde25a0781dab286065d475f2c639ed586b89b5608c2",
     "tests/test_stage1.py": "9413983d55805a663d5b831b64146f191846192788ff014f4db256c5f68d3b9a",
     "tests/test_suite.py": "61c83fe1bdb54deea884120ae8f9cc17373cdbe2f27bc84b600f86e614b1b5cb",
+    "docs/CI.md": "b0a391418bb98d077eb46c1ca4f4ba4cedf6aa7b45ce8cef682e20c88576ba3b",
     "docs/DATA_SERVICES.md": "d91be04176e6dda22c831cb9cd24f968ad82c1851c53bb6cbf356c51141b4a4c",
-    "docs/GITHUB_ABOUT.md": "c4c03497033313c09e38f98403224924f04720351c48578349da9a9dd3b5062f",
+    "docs/GITHUB_ABOUT.md": "cff3e044fcdc8f702fd2ee0b36f5e854c0ef710d127dbdb2544424d216d0ad60",
     "docs/history-beta-before-p0-20261101.md": "fd1130fcf1e896b84954e1a6805ecf75dd88fb5ec7c2938ee8d0fce0e8488be0",
     "docs/pre-alpha-README.en.md": "0f6c892c62870b925ccdefd2659f09ef49c8c34d7a763cb922b6f121f5972843",
     "docs/pre-alpha-README.md": "ebc76331f714158bb0f4d3b4bd4e20ac92713bece32cfafab4b1ff32cae3d4a1",
     "docs/status-history-before-2026-11-01.md": "28cd2e77331469b9ffd4b7f298ad6eaecefd48e00b6f7e2823b54d4cacab1ca0",
-    ".github/workflows/tests.yml": "ba27ec460fd71a2f9bbac20be0aa5b7043a14a04ae7c3ae0eaf5237cd72b4b5c",
+    ".github/workflows/tests.yml": "a0d3002520e97206d94aa3ff9ee02be81f062c0dbb280c579af29e9d95846a58",
     ".github/ISSUE_TEMPLATE/bug_report.md": "e0a64101b0552afc7bc0722379ade9e730faeb8e510ec89f6c2d177926c52a64",
     ".github/ISSUE_TEMPLATE/feature_request.md": "e4efabb0a5961e03344f59985797f4a349989d94ce3bd9edabf5f4d5a656bc68"
   }

README.en.md

@@ -1,11 +1,13 @@
 # VPSMaster
 
-**An open-source VPS diagnostics and management toolkit.**
+**VPS Diagnostics & Security Hardening Toolkit**
+
+Open-source Linux VPS diagnostics, security auditing and future safe server hardening toolkit.
 
 [中文](README.md) · [English](README.en.md) · [Limitations](KNOWN_LIMITATIONS.md) · [Contributing](CONTRIBUTING.md)
 
 VPSMaster is a Python toolkit for Linux VPS users, especially beginners and the Chinese Linux community.
-The **1.0.0b1 Beta is CLI-focused**: transparent diagnostics are available; management and Web UI remain planned.
+The **1.0.0b1 Beta is CLI-focused**: transparent diagnostics are available; Linux security hardening, safe backup/rollback, continuous monitoring and Web UI remain planned. The aim is controlled, auditable and recoverable management.
 Routine checks do not change SSH, firewall, routes or system DNS. Missing evidence remains unknown.
 
 ## Available
@@ -86,7 +88,7 @@ ICMP/TCP loopback success and limited public observations do not establish compl
 - BGP/geolocation depend on third-party accuracy, terms and quotas; geography is estimated.
 - Overseas VPS, ARM, public IPv6 and a fresh Ubuntu22 Server image are not comprehensively validated.
 - PTY bytes/width checks do not prove GUI font rendering. Beta is not production stability or independent security certification.
-- No Web UI, automated proxy deployment, full management panel, long monitoring or CPU/disk benchmarks are currently provided.
+- No Web UI, one-click hardening, automated proxy deployment, full management panel, long monitoring or CPU/disk benchmarks are currently provided.
 
 See [full limitations](KNOWN_LIMITATIONS.md), [status](CURRENT_STATUS.md) and [Beta notes](RELEASE_NOTES.md).
 
@@ -100,17 +102,21 @@ Never publish raw logs, subscriptions, passwords, tokens or keys. See [SECURITY.
 
 ## Roadmap — Planned
 
-These are future goals, **not claims of current implementation**. Stage1 deepens existing basic diagnostics. No delivery dates are promised.
+**Trusted diagnostics now; safe Linux hardening is the future focus.** None of these plans imply current implementation or fixed delivery dates.
 
-1. **Network and hardware:** improve mainland three-carrier tests; deepen ICMP/TCP/UDP diagnosis; BGP/ASN/path analysis; CPU/disk benchmarks; more IP intelligence/reputation sources.
-2. **Long-term diagnosis:** stability monitoring; peak-hour analysis; historical report comparison; anomaly detection/advice; VPS purchase acceptance reports.
-3. **Security and maintenance:** deeper audits; repair suggestions/previews; configuration backup/rollback; maintenance assistance.
-4. **Automation and Web UI:** optional service deployment; modular management; local Web UI; state visualization; optional service configuration/management.
+1. **Detection:** CPU/disk benchmarks, mainland carrier coverage, network/BGP analysis, IP intelligence cross-checks, accuracy/compatibility and more security rules.
+2. **One-click hardening:** SSH/key/password policy, UFW/nftables, Fail2ban, unused services/ports, updates/patches, permissions and Linux baselines; explain risks, preview plans and let users select actions.
+3. **Backup, verification and rollback:** back up before changes, show diffs, verify alternative SSH access and preserve management channels, recheck connectivity, bounded rollback where reliable, audit logs and recovery guidance. Rollback cannot guarantee recovery from every outage, reboot, cloud firewall or host failure.
+4. **Continuous monitoring:** periodic audits, configuration drift, unusual SSH login/port changes, report history, update/risk alerts, network stability and purchase acceptance reports.
+5. **Visual security management:** local Web UI, evidence-based risk display, hardening tasks, backup/rollback interface, multi-server exploration and optional service maintenance. No public management listener by default.
+
+Future flow: **detect → explain → preview → confirm → back up → execute → verify → roll back**.
+Explicit consent, alternative SSH access, cloud-firewall awareness, business-port protection, idempotency and audit records are required. High-risk changes must not be unattended defaults; disabling protection or broadening permissions is not a repair strategy. See [SECURITY_ROADMAP.md](SECURITY_ROADMAP.md).
 
 ## Contributing, Issues and license
 
-See [CONTRIBUTING.md](CONTRIBUTING.md). Once a repository is published, use its **Issues → New issue** tab with the bundled [bug](.github/ISSUE_TEMPLATE/bug_report.md) or [feature](.github/ISSUE_TEMPLATE/feature_request.md) template.
-No public repository URL is configured yet; no fictional owner/repo link is supplied. Use private channels for sensitive vulnerability reports.
+See [CONTRIBUTING.md](CONTRIBUTING.md). Use the authorized private repository’s [Issues](https://github.com/griffinmx/VPSMaster/issues) → New issue tab with the bundled [bug](.github/ISSUE_TEMPLATE/bug_report.md) or [feature](.github/ISSUE_TEMPLATE/feature_request.md) template.
+The repository is Private; public access needs owner approval. Use private channels for sensitive vulnerability reports.
 
 MIT project; former-brand contributor notices remain in [LICENSE](LICENSE).
 No third-party traceroute clients, databases or remote test scripts are bundled/executed. References/attribution are in [THIRD_PARTY_NOTICES.md](THIRD_PARTY_NOTICES.md) and [OPEN_SOURCE_REFERENCES.md](OPEN_SOURCE_REFERENCES.md).

README.md

@@ -1,14 +1,18 @@
 # VPSMaster
 
-**面向 Linux VPS 用户的一站式服务器检测、网络诊断与管理工具。**
+**VPS Diagnostics & Security Hardening Toolkit**
+
+面向Linux VPS用户的开源服务器检测与安全管理工具。
 
 [中文](README.md) · [English](README.en.md) · [已知限制](KNOWN_LIMITATIONS.md) · [贡献指南](CONTRIBUTING.md)
 
-VPSMaster 是基于 Python 的开源 VPS 综合检测与管理工具，主要面向中文 Linux 社区及 VPS 初学者。
+VPSMaster 是一款基于Python、面向Linux VPS用户的开源服务器检测与安全管理工具，提供系统环境检测、网络质量诊断、IP信息分析及基础安全体检。主要面向中文Linux社区及VPS初学者，也帮助有经验的用户了解服务器状态和风险。
+
+当前以安全、易用、默认只读的CLI为基础；未来重点是Linux安全加固、配置备份/回滚、持续安全监控与可视化管理，目标是可控、可审计、可回滚的服务器管理。
 **当前 `1.0.0b1` 是以 CLI 为核心的 Beta 公测候选，非生产稳定版；管理能力仍在规划中。**
 项目强调安全、易用和检测结果透明：普通检测默认不修改 SSH、防火墙、路由或系统 DNS，未知结果不会被写成安全或成功。
 
-> An open-source VPS diagnostics and management toolkit. The current Beta focuses on transparent, read-only CLI diagnostics; management and Web UI are planned.
+> Open-source Linux VPS diagnostics, security auditing and future safe server hardening toolkit. Current Beta is read-only diagnostics; hardening and Web UI are Planned.
 
 ## Available / 当前可用
 
@@ -124,40 +128,45 @@ ICMP/TCP 的回环成功和有限公网观察，不代表所有线路或完整
 `--show-ip` 只影响终端显示；导出默认脱敏 IP、已知密钥字段和URL凭据，但不是任意文本匿名器。
 不要公开原始日志、订阅地址、密码、Token或私钥。安全问题见 [SECURITY.md](SECURITY.md)，未知不能当作安全保证。
 
-## Roadmap / 开发路线 — Planned / 规划中
+## Roadmap / 安全加固开发路线 — Planned / 规划中
 
-以下是未来目标，**不代表当前 Beta 已实现**。阶段一包含现有基础诊断的继续完善；未承诺交付日期。
+**现在主打可信检测，未来核心竞争力是安全加固。** 以下全部为长期规划，不是当前已有功能，不承诺固定交付日期。
 
-### 阶段一：网络与硬件检测完善 — Planned
+### Phase 1 — 检测能力完善（Planned）
 
-- 中国大陆三运营商测速完善
-- ICMP/TCP/UDP 线路诊断深化
-- BGP、ASN 和线路分析深化
-- CPU 和磁盘性能基准
-- IP 情报与信誉来源扩展
+- CPU和磁盘性能基准；中国大陆电信、联通、移动节点覆盖。
+- 网络线路/BGP分析、IP情报交叉验证、网络检测准确性与兼容性改善。
+- 服务器安全体检规则扩展。
 
-### 阶段二：长期监控与诊断 — Planned
+### Phase 2 — 一键安全加固（Planned，未来重点）
 
-- 长时间网络稳定性监测
-- 晚高峰性能分析
-- 历史报告对比
-- 异常检测和诊断建议
-- VPS 购买验收报告
+- SSH安全配置检查与加固、密钥认证和密码登录策略管理。
+- UFW/nftables规则管理、Fail2ban等暴力破解防护。
+- 不必要服务/开放端口检查、更新/补丁策略、用户与文件权限加固、Linux安全基线。
+- 方案预览、风险解释及用户按需选择；当前Beta没有一键加固或自动修复。
 
-### 阶段三：安全与维护 — Planned
+### Phase 3 — 安全备份、验证与回滚（Planned）
 
-- 深度安全体检
-- 安全修复建议和预览
-- 配置备份及回滚
-- 服务器维护辅助功能
+- 修改前自动备份、变更差异、当前SSH管理连接检查与管理通道保留。
+- 执行后SSH/网络复验、具备可靠机制时的超时回滚、操作审计日志。
+- 配置恢复向导和失败恢复提示。
+- 自动回滚不能保证恢复所有断网、重启、云安全组或宿主机故障。
 
-### 阶段四：自动化管理及 Web UI — Planned
+### Phase 4 — 持续安全监控（Planned）
 
-- 可选服务器服务部署
-- 模块化管理能力
-- 本地 Web UI
-- 服务器状态可视化
-- 可选服务配置和管理功能
+- 定期安全体检、配置漂移、SSH异常登录和可疑端口变化提醒。
+- 安全报告历史对比、更新/风险变化提醒。
+- 长期网络稳定性监测、VPS购买验收报告。
+
+### Phase 5 — 可视化安全管理（Planned）
+
+- 本地Web UI、安全评分与风险展示、加固任务管理。
+- 备份/回滚界面、多服务器管理探索、可选服务部署维护。
+- Web UI默认不得向公网直接暴露管理入口；评分必须说明依据和不确定性。
+
+未来加固流程：**检测 → 解释 → 预览 → 确认 → 备份 → 执行 → 验证 → 回滚**。
+默认只读、明确授权、替代SSH管理连接验证、云安全组考虑、幂等与审计、业务端口保护均为前提。
+高风险变更不作无人值守默认动作，也不通过关闭安全保护或放宽权限“修复”。详见 [安全加固设计原则](SECURITY_ROADMAP.md)。
 
 ## Known Limitations / 已知限制
 
@@ -166,15 +175,15 @@ ICMP/TCP 的回环成功和有限公网观察，不代表所有线路或完整
 - BGP/IP 地理信息依赖第三方来源、准确性、服务条款和限额；位置不证明物理路由。
 - 海外 VPS、ARM、公网 IPv6、全新 Ubuntu22 Server 镜像未全面验证；新GUI字体渲染须单独目视验收。
 - Beta 不代表生产稳定性、独立安全认证或资源独享证明。
-- **当前没有 Web UI、自动代理部署或完整管理面板。** 也没有长时间监控、CPU/磁盘基准或完整全国三网回程。
+- **当前没有 Web UI、一键安全加固、自动代理部署或完整管理面板。** 也没有长时间监控、CPU/磁盘基准或完整全国三网回程。
 
 详见 [KNOWN_LIMITATIONS.md](KNOWN_LIMITATIONS.md)。更新请安装到新的、确认不存在的目录；卸载前备份报告，只移除自己确认的安装目录。
 
 ## 贡献、Issues 与许可
 
 欢迎文档、翻译、可复现Bug和有来源的检测规则贡献，见 [CONTRIBUTING.md](CONTRIBUTING.md)。
-仓库公开后使用顶部 **Issues → New issue**；[Bug 模板](.github/ISSUE_TEMPLATE/bug_report.md) 和 [功能建议模板](.github/ISSUE_TEMPLATE/feature_request.md) 已随源码提供。
-当前未配置公开仓库地址，不编造仓库URL；敏感安全问题不要发到公开Issues。
+在有权访问的仓库中使用 [Issues](https://github.com/griffinmx/VPSMaster/issues) → New issue；[Bug 模板](.github/ISSUE_TEMPLATE/bug_report.md) 和 [功能建议模板](.github/ISSUE_TEMPLATE/feature_request.md) 已随源码提供。
+仓库当前为Private，只有获授权用户可访问；未经所有者确认不会公开。敏感安全问题不要发到公开Issues。
 
 项目采用 [MIT](LICENSE)，保留旧品牌贡献者版权。标准库运行，不打包第三方测速客户端/地理数据库，不下载执行外部检测脚本。
 感谢相关开源项目与数据服务，详见 [THIRD_PARTY_NOTICES.md](THIRD_PARTY_NOTICES.md) 和 [OPEN_SOURCE_REFERENCES.md](OPEN_SOURCE_REFERENCES.md)。

RELEASE_NOTES.md

@@ -27,3 +27,5 @@
 升级使用新目录，保留旧报告。没有自动更新/迁移。
 
 MIT许可，保留历史版权和第三方来源说明。尚未推送、合并或创建公开Release。
+
+当前不具备一键安全加固或自动修复。未来遵循检测→解释→预览→确认→备份→执行→验证→回滚；回滚不能覆盖所有断网/重启/云安全组/宿主机故障。本轮只更新路线与私有发布准备。

SECURITY_ROADMAP.md

@@ -0,0 +1,44 @@
+# VPSMaster 安全加固设计路线 — Planned
+
+## Roadmap / 安全加固开发路线 — Planned / 规划中
+
+**现在主打可信检测，未来核心竞争力是安全加固。** 以下全部为长期规划，不是当前已有功能，不承诺固定交付日期。
+
+### Phase 1 — 检测能力完善（Planned）
+
+- CPU和磁盘性能基准；中国大陆电信、联通、移动节点覆盖。
+- 网络线路/BGP分析、IP情报交叉验证、网络检测准确性与兼容性改善。
+- 服务器安全体检规则扩展。
+
+### Phase 2 — 一键安全加固（Planned，未来重点）
+
+- SSH安全配置检查与加固、密钥认证和密码登录策略管理。
+- UFW/nftables规则管理、Fail2ban等暴力破解防护。
+- 不必要服务/开放端口检查、更新/补丁策略、用户与文件权限加固、Linux安全基线。
+- 方案预览、风险解释及用户按需选择；当前Beta没有一键加固或自动修复。
+
+### Phase 3 — 安全备份、验证与回滚（Planned）
+
+- 修改前自动备份、变更差异、当前SSH管理连接检查与管理通道保留。
+- 执行后SSH/网络复验、具备可靠机制时的超时回滚、操作审计日志。
+- 配置恢复向导和失败恢复提示。
+- 自动回滚不能保证恢复所有断网、重启、云安全组或宿主机故障。
+
+### Phase 4 — 持续安全监控（Planned）
+
+- 定期安全体检、配置漂移、SSH异常登录和可疑端口变化提醒。
+- 安全报告历史对比、更新/风险变化提醒。
+- 长期网络稳定性监测、VPS购买验收报告。
+
+### Phase 5 — 可视化安全管理（Planned）
+
+- 本地Web UI、安全评分与风险展示、加固任务管理。
+- 备份/回滚界面、多服务器管理探索、可选服务部署维护。
+- Web UI默认不得向公网直接暴露管理入口；评分必须说明依据和不确定性。
+
+未来加固流程：**检测 → 解释 → 预览 → 确认 → 备份 → 执行 → 验证 → 回滚**。
+默认只读、明确授权、替代SSH管理连接验证、云安全组考虑、幂等与审计、业务端口保护均为前提。
+高风险变更不作无人值守默认动作，也不通过关闭安全保护或放宽权限“修复”。详见 [安全加固设计原则](SECURITY_ROADMAP.md)。
+
+
+本轮仅更新定位与设计文档，没有实现加固、自动修复或管理UI。任何未来实现都需独立威胁分析、回归与失联恢复实测；不能把计划当成当前安全承诺。

docs/CI.md

@@ -0,0 +1,13 @@
+# Private Beta CI
+
+此工作流仅workflow_dispatch手动触发，contents:read，不批准PR，不上传制品/缓存，不运行部署/加固。
+checkout固定至官方v7.0.1提交3d3c42e5aac5ba805825da76410c181273ba90b1，关闭凭据持久化。
+开发测试在用户venv里使用pytest、setuptools和wheel；这些不是产品运行依赖，不打入发行ZIP。
+
+使用self-hosted Linux x64 runner标签vpsmaster-ubuntu22 / vpsmaster-ubuntu24，分别要求Python3.10/3.12。
+本轮私有验收会临时注册已授权实验VM为ephemeral runner，完成后移除，不安装后台服务、不使用GitHub托管计费额度。
+没有临时runner时手动执行会排队；不能把排队或本地测试当作远端CI通过。未来更换CI方式须单独核实费用、安全边界和凭据。
+仅对受信任已审代码使用本地runner；不得把持久自托管runner直接暴露给不受信任公开PR。
+
+CI原始系统报告不上传；只在临时runner保存并按本轮清理。GitHub原生步骤日志由私有仓库访问权限保护。
+Self-hosted免费政策参考：https://docs.github.com/en/billing/concepts/product-billing/github-actions ，执行时须核对当前政策。

docs/GITHUB_ABOUT.md

@@ -1,14 +1,10 @@
-# VPSMaster GitHub 展示设置（本地草案）
+# VPSMaster GitHub 设置
 
-- Repository name: VPSMaster
-- English description: An open-source VPS diagnostics and management toolkit.
-- 中文描述：面向 Linux VPS 用户的一站式服务器检测、网络诊断与管理工具。
-- Suggested topics: linux, vps, diagnostics, network, traceroute, python, cli
-- Release tag: v1.0.0-beta.1
-- Release title: VPSMaster v1.0.0-beta.1 — Public Beta
-- Pre-release: true
-- Latest stable release: false
+- Repository: https://github.com/griffinmx/VPSMaster
+- Visibility: Private（本轮禁止转为Public）
+- Subtitle: VPS Diagnostics & Security Hardening Toolkit
+- Description: Open-source Linux VPS diagnostics, security auditing and future safe server hardening toolkit.
+- 现在主打可信检测，未来重点Linux安全加固；备份/回滚、持续监控和可视化均Planned。
+- Release: v1.0.0-beta.1 / Pre-release=true / Draft=true / make_latest=false。
 
-仓库地址/维护者身份尚未配置，不自动建立链接、公开仓库或发布。
-发布文案须附上RELEASE_NOTES、KNOWN_LIMITATIONS及最终ZIP的独立SHA文件；不能用旧包摘要。
-先复核当前文件与Git历史的凭据/原始日志，再经用户确认发布。只公开源码及经过审查的发行文件，不公开VM脚本、快照、备份或原始测试证据。
+原032d候选保留。本轮README/工作流等属于包内变更，新的ZIP须独立SHA与验收，不能沿用旧摘要。公开前须所有者最终确认。