返回 Bug 清单
BUG-0443project-13高已修复deploy-config
DB/Redis 口令经 systemd ExecStart -D 参数暴露在 /proc/<pid>/cmdline（世界可读 444）
发现：2026-10-04验证：2026-10-27置信度：70%
症状
任意非特权用户可直接读取数据库与 Redis 口令（实测能读到 2 行 password=）。
根因
把'本机文件权限 600'当成唯一暴露面，忽略了进程元数据（cmdline 比 environ 更宽：444 vs 400）。
修复方案
口令移入 /etc/project-13/backend.env（600），由 EnvironmentFile 注入；cmdline 中 password= 归零。修复后验证：DB 1247 行可查、Redis PONG、/api/health 200。
错误签名
口令写在 ExecStart 的 -D 参数里；/proc/<pid>/cmdline 是 444 世界可读（environ 才是 400）技术信息
来源项目
project-13
涉及文件
/etc/systemd/system/dragon-scale-backend.service, /etc/project-13/backend.env
标签
dragonscale, security, credentials, procfs, project-13...