docs: 2026-09-11 安全事件复盘 + 新建服务器暴露面清单 + M3.5 报告 03/04/05 入档

安全事件（已闭环，服务恢复）：
- 根因链：Gitea 3000 对公网开放 → 外部调用 /api/internal/manager/add-logger
  注入 gitconfig 的 uploadpack.packObjectsHook → 指向不存在的脚本 →
  upload-pack 发 NAK 后无法产出 pack → 全仓 HTTPS clone 失败（CI 全挂）
- 攻击未达成代码执行（hook 目标脚本不存在）；三仓 ref 与本地逐一核对未被篡改；
  无系统层入侵（无陌生 key/crontab/挖矿进程/陌生登录）
- 新建常设「服务器暴露面清单」：补上服务器侧「决策变了环境没跟上」的核对机制
  （Nacos 在 ADR-002 移除后仍暴露公网近两个月）
- CI Runner 手册排障表增三条：CI 秒失败先在本机复现 checkout、跨仓比 CI
  须核对时间戳、clone 坏而 push 正常时查 packObjectsHook 注入

M3.5 交付报告：03 后端资料与头像（api 334→379）、04 契约冻结 v1.4.0
（31→32 路径、矩阵 173→181 格、11 格红转绿）、05 资料页与头像 UI（flutter 526→597）

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

mkdocs.yml

@@ -9,6 +9,7 @@ nav:
       - 功能完成清单: development/feature-checklist.md
       - 真机验证清单: development/device-verification.md
       - 发布记录: development/releases.md
+      - 服务器暴露面清单: development/server-exposure.md
       - CI Runner 部署手册: development/ci-runner-setup.md
       - 第一迭代:
           - 进展看板: development/iterations/iteration-1/index.md
@@ -99,6 +100,10 @@ nav:
       - M3.5 体验补齐:
           - 01 任务分解: development/iterations/iteration-3.5/01-pm-task-breakdown.md
           - 02 客户端体验修复: development/iterations/iteration-3.5/02-client-ux-fixes.md
+          - 03 后端资料与头像: development/iterations/iteration-3.5/03-backend-profile-avatar.md
+          - 04 契约冻结 v1.4.0: development/iterations/iteration-3.5/04-contract-freeze-v140.md
+          - 05 资料页与头像 UI: development/iterations/iteration-3.5/05-profile-avatar-ui.md
+          - 07 安全事件复盘: development/iterations/iteration-3.5/07-security-incident-20260911.md
   - API:
       - 契约说明: api/index.md
   - 架构: