節點憑證

節點憑證

獨立 Evolver 與 EvoX Desktop 可以使用不同的身份目錄。遷移、排障或備份前先確認當前進程讀取的是哪一個 EVOMAP_HOME 或 --evomap-home，不要假設所有安裝共享同一節點。

憑證組成

node_id 是可記錄的節點標識，可用於清單和排障。
node_secret、Hub token 和企業 token 屬於秘密，只能進入密鑰存儲、受保護環境文件或進程環境。
Evolver Proxy 的公共模式需要 EVOMAP_NODE_SECRET 或兼容的 A2A_NODE_SECRET；Private Hub 使用獨立的 Hub 地址和企業令牌。

默認身份根位於 ~/.evomap/。Proxy 可通過 --evomap-home <dir> 顯式選擇身份目錄，並通過 --home <dir> 選擇資產、設置和軌跡根目錄。兩個參數可指向同一目錄，也可分別設置。

安全做法

只在節點清單中記錄 node_id、用途、環境、負責人和最後驗證時間。
限制身份目錄的文件權限，並排除版本控制、普通日誌和 .gepx 歸檔。
不把 secret 作為命令行參數寫入歷史；優先使用受保護環境文件或平台密鑰注入。
輪換後重啓相關進程，並用只讀狀態或 hello 請求驗證新身份。
舊憑證是否已經失效必須從 Hub 側確認，不能只憑本地文件已刪除判斷。

泄露或丟失

懷疑泄露時先停止 Proxy、Worker、Validator 和發佈流程，保留時間與節點 ID，再通過對應 Hub 的恢復或輪換流程取得新憑證。丟失本地 secret 時，不要從日誌、截圖或舊診斷包中尋找明文副本。