防伪+成绩单+录取通知书

.env.docker.example

@@ -1,6 +1,7 @@
-# 首次启动前请复制为 .env.docker，并替换下面两个值。
-# TOTP_ENCRYPTION_KEY 必须至少 32 个字符，部署后不得随意更换。
+# 首次启动前请复制为 .env.docker，并替换下面三个值。
+# 两项密钥必须至少 32 个字符、彼此独立，部署后不得随意更换。
 TOTP_ENCRYPTION_KEY=replace-with-a-random-secret-of-at-least-32-characters
+DOCUMENT_VERIFICATION_SECRET=replace-with-an-independent-random-secret-of-at-least-32-characters
 
 INITIAL_ADMIN_USERNAME=admin
 INITIAL_ADMIN_PASSWORD=replace-with-a-strong-admin-password

.env.example

@@ -20,6 +20,9 @@ INITIAL_ADMIN_DISPLAY_NAME=系统管理员
 # TOTP 密钥加密主密钥。生产环境必填且至少 32 个字符；修改后已绑定的 TOTP 将无法解密。
 # TOTP_ENCRYPTION_KEY=replace-with-a-random-secret-of-at-least-32-characters
 
+# 成绩单与录取通知书防伪码签名密钥。生产环境必须独立设置并长期稳定保存。
+# DOCUMENT_VERIFICATION_SECRET=replace-with-an-independent-random-secret-of-at-least-32-characters
+
 # 公开首页文案与联系方式（修改后重启应用生效）
 PUBLIC_SITE_NAME=海州市教育考试中心
 PUBLIC_SITE_CODE=HZ-EDU-032

README.md

@@ -78,6 +78,7 @@
 - 审批实例、当前责任人、转交和监督操作全程留痕
 - 桌面端与移动端响应式布局
 - Excel 文件使用 `exceljs` 生成和解析，并限制上传文件大小
+- 成绩单与录取通知书以 PDF 下载，使用服务端 HMAC 防伪码支持公开验真
 
 ## 运行
 
@@ -92,13 +93,15 @@ npm start
 
 账户可在“账户安全”中启用 TOTP 二次验证。生产环境必须设置至少 32 个字符的 `TOTP_ENCRYPTION_KEY`；该值用于加密 TOTP 密钥并保护恢复码哈希，部署后必须稳定保存，不能随意更换。本地开发未设置时会使用仅适合开发的稳定派生值。
 
+生产环境还必须单独设置至少 32 个字符的 `DOCUMENT_VERIFICATION_SECRET`。系统用它为成绩单和录取通知书生成 HMAC 防伪查询码；更换该值会使此前下载文书的查询码失效，因此应独立生成、稳定保存且不得与 TOTP 密钥共用。
+
 本地开发无需额外配置，首次运行会自动创建 `data/exam.sqlite` 和完整关系型数据库结构，但不会导入学校、考生、考试或报名测试数据。首次建库只写入系统基础配置和一个超级管理员；账号、密码和显示名可通过 `INITIAL_ADMIN_USERNAME`、`INITIAL_ADMIN_PASSWORD`、`INITIAL_ADMIN_DISPLAY_NAME` 设置。当前数据库结构版本为 v17；v16 数据库会自动增加 TOTP 字段，低于 v15 的开发库会提示重建。
 
 ### Docker
 
 项目根目录包含生产镜像和 Docker Compose 配置。默认使用 SQLite，数据库保存在命名卷 `exam-information-data` 中，因此重建容器不会丢失数据。
 
-先创建容器环境文件，并将其中的 TOTP 主密钥和初始管理员密码替换为安全随机值：
+先创建容器环境文件，并将其中的 TOTP 主密钥、文书防伪签名密钥和初始管理员密码替换为相互独立的安全随机值：
 
 ```powershell
 Copy-Item .env.docker.example .env.docker