docs: M3.5 收口报告 + 暴露面清单补全（文档站/处置记录/凭证纪律）

- 06 M3.5 收口：6 项用户反馈处置结果、迁移预估被审计推翻的教训、
  关键语义定型（/me 不回退、PATCH 三态、头像权限按字段定档、昵称按码点计）、
  实现期 4 项发现、契约 v1.4.0 纯增量承诺、遗留 5 项
- server-exposure.md 补：patbond-doc 文档站（漏记）、2026-09-11 处置记录、
  纪律 6「凭证不进任何可留存介质」与纪律 7「配置备份不留配置目录」

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs/development/server-exposure.md

@@ -28,12 +28,13 @@
 | 服务 | 监听 | 用途 | 归属决策 | 状态 |
 | --- | --- | --- | --- | --- |
 | gitea | **127.0.0.1:3000** | 代码托管 + Actions 调度 | [CI Runner 手册](ci-runner-setup.md) | ✅ 运行（2026-09-11 起改为仅本机监听） |
-| nginx | 0.0.0.0:80/443 | 反向代理，按域名分流 | —— | ✅ 运行 |
+| nginx | 0.0.0.0:80/443 | 反向代理，按域名分流（`sites-enabled/`：`git.patbond.cn`、`patbond-doc`） | —— | ✅ 运行 |
+| **文档站（patbond-doc）** | 经 nginx 443 | mkdocs 构建产物，含架构/部署/迭代全部文档 | —— | ✅ 运行；⚠️ **公开可访问，待评估是否加 basic auth 或 IP 白名单**（无凭证内容，但暴露内部架构细节） |
 | act_runner（容器） | 无监听（主动回连） | Gitea Actions 执行器 | [CI Runner 手册](ci-runner-setup.md) | ✅ 运行 |
 | dockerd / containerd | 本机 socket | 容器运行时（runner 与 job 容器） | ADR-006 | ✅ 运行 |
 | sshd | 0.0.0.0:22 | SSH | —— | ✅ 运行 |
 | 腾讯云 agent（barad_agent / YDEyes / YDLive / stargate） | —— | 云监控与主机安全，云厂商预装 | —— | ✅ 运行（预期存在） |
-| **nacos** | ~~*:8848 / *:9848~~ | **项目已不使用** | **ADR-002 已移除** | ⛔ 已停止；`nacos.service` 仍为 enabled，**待 `systemctl disable`** |
+| **nacos** | ~~*:8848 / *:9848~~ | **项目已不使用** | **ADR-002 已移除** | ⛔ 已停止 **且已 `systemctl disable`**（2026-09-11，重启不再自启） |
 
 ## 3. 核对方法
 
@@ -60,3 +61,11 @@ sudo last -20
 3. **决策与环境同步**：ADR 决定移除某组件时，**同一次收口内**必须停服务、禁自启、删防火墙规则，并更新本页。
 4. **凭证轮换触发条件**：任何「外部可调用内部 API」的迹象，一律视为对应 token 已泄露并轮换（`INTERNAL_TOKEN`、`SECRET_KEY`）。
 5. **本页与实际不符即为缺陷**：核对时发现未登记的开放端口或常驻服务，按缺陷处理——先查清用途，无正当理由即关闭。
+6. **凭证不进任何可留存介质**：生成/轮换凭证时一律「直接落盘不回显」（如 `NEW=$(gitea generate secret X); sed -i ...; unset NEW`），**不打印到终端、不粘贴进聊天记录、不写入报告或日志**。协作规则原本只约束「不入库」，2026-09-11 的处置中新 token 被回显并粘贴，故扩展此条。
+7. **配置备份不留在配置目录**：`sites-available/*.bak.*` 之类应移出（如 `/root/nginx-backups/`）——留在配置目录里，一旦 include 通配符被改宽或软链手误就会激活旧配置。
+
+## 5. 处置与核对记录
+
+| 日期 | 动作 | 触发 |
+| --- | --- | --- |
+| 2026-09-11 | Gitea 改仅监听 127.0.0.1；防火墙删 3000/8848/9848/2222；停并 disable Nacos；清理被注入的 gitconfig；nginx 增 `/api/internal/` 全拒；轮换 `INTERNAL_TOKEN`（两次——首次回显后按纪律 6 重做）；外部验证四项通过 | [安全事件](iterations/iteration-3.5/07-security-incident-20260911.md) |