保存今天的修改

docs/deployment.md

@@ -2,7 +2,7 @@
 
 现有灰度环境使用 `Jenkinsfile`、`Dockerfile` 和 `deploy/` 发布独立物流聊天服务。流水线构建并测试镜像，通过严格校验主机指纹的 SSH 发送到专用 Docker Compose 服务，Nginx 提供 HTTPS；客户聊天免登录，客服和其他非白名单路径使用访问密码。
 
-应用使用单个 Waitress 进程、8 个线程和 UID 10001，宿主机端口仅绑定回环地址。运行密钥、聊天数据、附件和证书不进入镜像。游客历史和附件在应用内按归属隔离；客服仍依赖 Nginx 密码保护，不能裸露上游端口。客户登录与订单关联尚未接入，匿名查单不会读取订单数据。
+应用使用单个 Waitress 进程、8 个线程和 UID 10001，宿主机端口仅绑定回环地址。运行密钥、聊天数据、附件和证书不进入镜像。游客历史和附件在应用内按归属隔离；客服采用应用内 24 小时会话鉴权，并保留 Nginx 密码保护，不能裸露上游端口。客户订单访问按服务端客户登录及关联范围校验，匿名查单不会读取订单数据。
 
 容器时区设为 `Asia/Shanghai`，营业时间与聊天时间按中国时间计算。
 
@@ -71,8 +71,12 @@
 
 更新前执行 SQLite 在线备份。应用启动或 Nginx 检查失败时，仅恢复本服务之前的 Compose 和站点配置，保留数据；不自动用旧库覆盖新记录。失败发布目录保留供定位，数据库降级及删除数据需另行处理。
 
+应用内另有升级前快照、版本迁移和运行中的每日数据库备份。维护 CLI 已包含在运行镜像，使用时指定 `/var/lib/baiyue-logistics-chat/history.db`；恢复必须停机并先保留当前数据安全快照，详见 [数据库维护](database-maintenance.md)。
+
 新环境自动创建业务表，不创建默认客服账号或演示数据。专用访问密码用于客服工作台及受保护接口；Nginx 账号不是应用内客服账号。客户首页无需密码，客户端先自动建立访客会话，再访问自己的历史。
 
+进入客服工作台还需使用 `agents` 中的应用账号登录。升级自动新增 `staff_sessions` 表，不覆盖已有账号密码；登录会话存储于数据库，自登录成功起 24 小时有效，浏览器 Cookie 同步保存 24 小时；访问后台或重启服务不会重置期限。升级时撤销旧无限期会话，需重新登录一次。退出、改密或删除账号后旧凭证不可再用。工作台写请求必须携带页面提供的 `X-CSRF-Token`；脚本调用后台 API 也必须先登录、保存 Cookie 并通过 `/api/admin/session` 获取 CSRF 令牌。每个账号与连接来源组合的登录限速为单进程计数，不直接信任客户端转发 IP 头，避免同一代理下某个账号输错导致其他账号被锁，多进程部署需配置统一代理限流。
+
 ## HTTPS 及续期
 
 域名须解析到已核实的灰度入口，公网 80、443 端口可达。其他域名的证书不能直接用于新域名。