xsl
381da60ae4
测试验证阶段，换开发机时不再需要手工拷贝两个机密文件。已与用户确认安全 要求不高，代价是密钥进入 git 历史，上线前必须清理。 入库（.gitignore 用 ! 例外放行）： - backend-java/src/main/resources/application-local.yml 淘宝 AppKey/AppSecret + verify-sign + mode=forward + forward-base - reference/facepp-skinanalyze/credentials.env 旷视 FACEPP_API_KEY / FACEPP_API_SECRET / FACEPP_SKINANALYZE_URL （从服务器同名文件裁剪而来，只保留旷视相关行，去掉了其它项目条目） 其它密钥防护保持不变：apikey.*、.env、*.env 等仍被忽略。 上线前必做（已写入条待办第 6 项与 .gitignore 注释）： 1) 重置 AppSecret 与旷视 Key 2) git filter-repo 从历史清除这两个文件 3) 改回环境变量 / 保密字典注入 HANDOFF 1.5 节、待办第 6 项、交接检查清单已同步为「clone 即有」。
巨子测肤 · H5 与淘宝小程序
本仓库包含两个入口，共用 Node 后端、Face++ 检测、评分与报告话术。
h5/：现有浏览器/微信公众号 H5、管理后台，以及共享后端server.js。taobao/：淘宝原生小程序。开发、联调、测试说明见 taobao/README.md。backend-java/：SAE + 淘宝云网关的 Java 最小连通性 MVP；操作步骤见 docs/SAE-Java-MVP-操作步骤.md。- 当前交接（换开发机先读这份）：docs/HANDOFF-2026-11-02.md。
- 上一轮交接：docs/HANDOFF-2026-11-01.md。
- 服务器侧配置（systemd / nginx
/tb/白名单 / 安装脚本）：deploy/README.md。 rednote/：复用 H5 的持久浏览器身份入口，独立运行和存储。说明见 rednote/README.md。h5/js/skin-score.js、report-ui.js、report-copy.js：业务规则的源文件。小程序内的副本由同步脚本生成并检查哈希。h5/lib/taobao-*.js：淘宝网关验签、短期上传/异步任务和独立 API 路由。docs/、reference/、design/、feedback/、new_feedback/：需求、接口资料、设计与历轮反馈；早期文档的规则可能已被后续实现替代。backend/docs/：后台需求资料；可运行的共享服务实际在h5/server.js。temp/：本地测试数据、预览和截图，已忽略，不提交。
兼容边界：允许共享后端扩展，但保持 H5 的页面、微信公众号链接、微信登录、游客不留存和历史报告行为。淘宝使用独立账号来源，不把淘宝账号与微信账号自动合并。
本轮工作只在本地开发和样本验证，未部署或修改线上服务器。启动本地隔离环境：
cd taobao
npm ci
npm run dev:backend
H5 本地入口为 http://127.0.0.1:18180；这个环境固定使用测试样本，不调用真实 Face++。生产 H5 的运行说明仍见 h5/README.md。