企业官网建设流程全解析

PanWatch Security 清单：自托管 AI 盯盘助手的 8 个安全加固建议

【免费下载链接】PanWatchPanWatch — AI stock monitoring for A-shares, HK & US markets, powered by TradingAgents. Portfolio insights, real-time alerts & automated reports.｜盯盘侠：覆盖 A股/港股/美股的 AI 盯盘、持仓分析、实时提醒与自动报告。项目地址: https://gitcode.com/GitHub_Trending/pa/PanWatch

PanWatch 是一个可自托管的 AI 盯盘系统，覆盖 A股、港股、美股三大市场，内置 TradingAgents 智能分析、持仓洞察、实时价格提醒与自动化报告。只需一条 Docker 命令即可部署。但由于它会在本地数据库保存 AI API Key、账号密码、持仓数据等敏感信息，部署后的安全加固非常重要。本文提供 8 个安全加固建议，帮你把 AI 盯盘助手安全地上线。

建议 1：首次部署后立即创建登录账号

PanWatch 采用单用户 JWT 认证。在首次设置密码之前，接口处于"未设密码、允许访问"的初始状态——这意味着任何人打开页面都能操作你的盯盘系统。因此部署后的第一件事，就是打开 Web 界面创建用户名和密码（要求至少 2 位用户名、6 位密码，建议使用强密码）。

使用 Docker 部署的用户更省事：启动时直接传入AUTH_USERNAME和AUTH_PASSWORD环境变量，系统会在首次启动时自动预置账号，无需手动设置。相关逻辑见 src/modules/administration/api/auth.py。

建议 2：指定自定义 JWT 签名密钥

登录成功后系统会签发有效期 30 天的 JWT 令牌，使用 HS256 算法签名。若你没有显式设置JWT_SECRET，签名密钥会在首次启动时自动生成并写入数据库——密钥本身是安全的，但显式指定一个强随机值可以让签名密钥的归属更清晰，也便于迁移和审计。

做法：在docker run或 Compose 文件中加上-e JWT_SECRET="<64位随机字符串>"。密钥获取逻辑见 src/modules/administration/api/auth.py。

建议 3：不要把 8000 端口暴露到公网

PanWatch 默认监听8000端口。自托管场景下最常见的安全隐患，就是把端口直接映射到公网 IP。项目的 SECURITY.md 也明确说明：用户自行管理的反向代理不在官方修复范围内，即端口防护责任在你。推荐两种做法：

• 本地使用：将端口绑定到本机回环地址，如-p 127.0.0.1:8000:8000，远程访问走 SSH 隧道；
• 跨设备使用：在前面加一层 Nginx / Caddy 反向代理，启用 HTTPS 与访问控制，PanWatch 只监听内网。

建议 4：收紧数据卷 /app/data 的权限

这是整个部署中最核心的数据。PanWatch 的 SQLite 数据库统一存放在数据目录（Docker 下为/app/data），里面包括：密码哈希、JWT 签名密钥、AI 服务商 API Key、个人访问令牌哈希、账户持仓与交易风格等。

加固要点：

• 数据卷挂载后确认宿主目录权限，避免被其他用户可读；
• 不要把data目录放在 Web 服务器等可公开读取的路径下；
• 将数据卷纳入定期备份——它既是资产也是单点故障，备份同时提升安全与可用性。

镜像中数据目录的创建见 Dockerfile，挂载方式见 README.md 的 Quick Start 一节。

建议 5：个人访问令牌（PAT）按最小权限发放

如果你要用 MCP 端点把 PanWatch 接入外部工具，需要创建个人访问令牌（PAT）。PanWatch 的 PAT 设计本身就偏向安全：

• 明文令牌仅在创建时返回一次，之后只存哈希，丢了无法找回；
• 目前只支持只读的mcp:read权限，且 PAT 无法用于管理 PAT 本身，防止泄露后自我续期；
• 默认 90 天过期，支持随时吊销，吊销后 MCP 端点立即拒绝该令牌。

使用习惯上建议：为每个接入方单独创建令牌并备注名称、设置明确过期时间、定期到列表里清理不再使用的令牌。实现见 src/modules/administration/api/pats.py。

建议 6：精简并定期轮换 AI 服务商 API Key

PanWatch 支持任意 OpenAI 兼容的 AI 服务商（OpenAI、智谱、DeepSeek、Ollama 等），API Key 保存在数据库中，登录用户可在"设置 → AI 服务商"页面查看。建议：

• 只添加实际在用的服务商，减少 Key 暴露面；
• 优先使用服务商侧限额/限额的子账号 Key，而非主账号 Key；
• 每隔一段时间（或怀疑泄露时）到服务商后台轮换，再同步更新 PanWatch 配置。

服务商与 Key 的管理接口见 src/modules/administration/api/providers.py。

建议 7：保护通知渠道凭据，配置静默时段

Telegram Bot Token、企业微信/钉钉/飞书 Webhook、Bark 等通知渠道的配置同样保存在数据库里，属于凭据，泄露后他人可冒充你的应用发消息。两点建议：

• 渠道地址与 token 不要明文写进共享的文档或截图；
• 善用通知策略：通过"系统设置"配置静默时段（如23:00-07:00）与重试次数，既防打扰也防误配置导致的刷屏。系统自检时通知类项目默认只校验配置、不真实发送，就是为了防止检查过程触发通知轰炸。

相关配置项见 src/platform/runtime/config.py，自检通知策略见 src/modules/administration/selfcheck.py。

建议 8：养成自检与版本更新习惯

• 一键体检：PanWatch 内置系统自检功能，并发探测数据源、AI、通知三大类，并对代理不通、鉴权失败、限流等常见错误给出中文修复提示，适合每次改动配置后跑一遍。入口与诊断逻辑见 src/modules/administration/selfcheck.py；
• 健康检查：Docker 镜像内置了 30 秒间隔的/api/health健康检查，配合编排系统可及时发现服务异常；
• 保持更新：SECURITY.md 建议自托管部署在条件允许时升级到最新发布镜像，以及时获得安全修复；
• 漏洞走私密渠道：发现疑似漏洞时不要公开提 Issue，而是按 SECURITY.md 的流程私信报告（邮件主题标注[PanWatch Security]），且报告中切勿包含 API Key、token、持仓数据等敏感信息。

结语

PanWatch 的设计已经为自托管安全做了不少铺垫：登录鉴权、PAT 最小权限、明文令牌只展示一次、自检防刷屏、镜像健康检查……你只需按上面的清单补齐"部署层"的防护——锁住账号、管好密钥、守住端口与数据卷，就能安心让 AI 盯盘助手 7×24 小时替你值班了。

【免费下载链接】PanWatchPanWatch — AI stock monitoring for A-shares, HK & US markets, powered by TradingAgents. Portfolio insights, real-time alerts & automated reports.｜盯盘侠：覆盖 A股/港股/美股的 AI 盯盘、持仓分析、实时提醒与自动报告。项目地址: https://gitcode.com/GitHub_Trending/pa/PanWatch