SecOps安全运维数据平台产品系统

场景：你是网络安全驻场/运维人员，单位内网有一套自己的资产（服务器、终端、业务系统、网段），日常要干这些事：

- 安全部门/审计要台账：有哪些系统、谁负责、有什么漏洞、修了没有
- 平时要做运维工作记录：巡检、加固、变更、告警处置，年底要写月度/年度运维报告
- 领导要看态势：漏洞多少、高危多少、闭环率多少，一页能看懂的

之前怎么干（痛点）：

1. Excel 手搓：漏洞信息从扫描工具导出是几百上千条，用 Excel 管——重复的删不掉（扫描工具每次全量出，同一条漏洞每次都在）、格式不统一、没法筛选统计
2. 报告纯手工：每月月底对着 Excel 数数、复制粘贴写 Word 报告，耗时且容易出错
3. 无留痕无权限：Excel 在共享盘上，谁改过不知道；账号就一个密码发群里，离职不改
4. 资产对不上漏洞：漏洞表里一堆 IP，哪台机器是谁的、什么业务，要翻好几个表或者问人

一句话：把"Excel + 人肉统计 + 共享盘"这套传统手工模式，变成有权限、有留痕、有自动统计和报告生成的数据平台。数据量不大（几百到几千条），所以刻意选 SQLite 单文件——备份就是拷一个文件，这对驻场场景是最小运维成本。

Flask + SQLite 架构的内网安全运维数据平台，独立开发并部署双服务器生产环境，14 个模块、3 周迭代 11 个版本，承载漏洞 806 条、终端 339 台、业务系统 161 套。

态势大屏：指标卡加漏洞 12 月趋势、运维按日趋势；图表引擎纯 CSS 实现、零 JS 依赖，模板层动态生成 DOM，解决离线环境无法引入图表库的问题。

威胁情报：后台线程定时拉取 NVD CVE，编号加关键词匹配自动标注相关性；无外网时优雅降级，只记录不崩溃。

漏洞管理（核心）：全字段 SHA256 指纹 upsert 去重、导入幂等；日期筛选实现"发现区间重叠"算法，精确统计历史遗留漏洞在周期内的存续；报告引擎一键输出 Word/PDF/Excel/CSV 四格式态势报告，分析文本由统计规则驱动。

资产管理：业务系统/终端/网段/互联网应用四子模块，统一 CRUD、多维筛选、批量软删除、导入导出；自动归属引擎把漏洞库指定网段 IP 幂等同步进业务系统表，软删除行不复活。

权限与安全：PBKDF2 600k 加盐哈希、旧哈希登录自动透明升级；首登强制改密；前端隐藏加后端逐接口独立鉴权双保险，构造请求越权会被拦截；5 次失败锁定 5 分钟；白盒自审计独立修复 2 严重/3 高危/10 中危/5 低危共 20 个漏洞。

审计日志：请求钩子 AOP 式埋点，登录与全部写操作留痕（操作者/IP/明细），5xx 不落盘，200 天滚动清理。

MCP 集成（亮点）：独立进程纯标准库实现 MCP stdio 服务端、手写 JSON-RPC 2.0 协议，零第三方依赖，对台账只读暴露 6 个查询工具，可被 Claude/Cursor 等 AI 客户端直接调用。

工程化：双服务器 systemd 常驻加防火墙白名单、CI、版本 tag 管理；每版本固定 E2E 流程（隔离冒烟→tes

1. 单文件主应用 + 职责拆分的独立模块：app.py（路由+模型）+ report.py（报告引擎）/ vuln_render.py（漏洞渲染）/ convert.py（外部档案 Excel 兼容层：日期序列号/表头偏移/列名映射/类别推断）/ alert.py（多通道告警推送）/ threat_intel.py（NVD 定时拉取后台线程）/ mcp_server.py（MCP 服务端）——模块间低耦合，独立进程可单独起
2. 全链路动态化：类别表、人员表（角色数据驱动）、网段表都是数据驱动，新增类别/角色=插一行数据，表单/筛选/导入/导出/报告全链路自动生效，零代码改动
3. 权限模型：users 表 + PBKDF2 600k 加盐（旧 120k 登录自动升轮次）+ 前端隐藏与后端逐 action 鉴权双保险 + 强制改密标志位
4. 审计钩子：Flask before/after_request AOP 式埋点，写操作明细按 endpoint 分支提取，5xx 不落盘
5. 数据一致性设计：漏洞全字段 SHA256 指纹 upsert、手动导入覆盖优先/自动同步只增不覆盖、软删除（manual_removed）+自动同步不复活、导入幂等键
6. MCP 集成：独立进程纯 stdlib 手写 JSON-RPC 2.0，SQLite 只读，6 个查询工具供 AI 客户端调用