.env.example

APP_ENV=dev
HOST=0.0.0.0
PORT=4877
# 控制台安全路径：后台仅在 /<ADMIN_ACCESS_PATH>/ 下可访问，/admin 返回 404。
# 部署后首次登录会在后台提示修改（系统设置 → 控制台安全路径），此处为初始默认值。
ADMIN_ACCESS_PATH=agentcapture
SITE_ID=local-demo
# 默认 SQLite；切换 PostgreSQL 示例（需 pip install -e ".[pg]"）：
# DATABASE_URL=postgresql+psycopg://honeypot:password@127.0.0.1:5432/agentcapture
DATABASE_URL=sqlite:///./agent_capture.db
SECRET_KEY=change-me-before-production
SESSION_COOKIE_NAME=ach_sid
ADMIN_SESSION_COOKIE_NAME=ach_admin
CANARY_HEADER_NAME=X-Agent-Canary
INJECTOR_ENABLED=true
COLLECT_PATH=/collect/beacon
AGENT_INJECTION_ENABLED=true
AGENT_INJECTION_AGGRESSIVENESS=medium
RECON_JSONP_ENABLED=true
RECON_BEACON_PATH=/recon/fingerprint
PAYLOAD_CALLBACK_HOST=
KNOWLEDGE_BASE_ROOT=./data/knowledge_base
BOOTSTRAP_ADMIN_USERNAME=admin
BOOTSTRAP_ADMIN_PASSWORD=ChangeMe123!
BOOTSTRAP_ADMIN_EMAIL=admin@example.local
# 安全加固项
# 节点 API 共享密钥：设置后 /api/node/* 必须携带 X-Node-Token 头
NODE_AUTH_TOKEN=
# 匿名 C2 注册限速（每 IP 每小时）
C2_REGISTER_MAX_PER_IP_HOUR=10
# 仅在平台部署于可信反向代理之后时设为 true：
# false 时以 TCP 对端地址为客户端 IP，攻击者无法用伪造 X-Forwarded-For
# 轮换假 IP 绕过速率统计或伪造白名单来源
TRUST_PROXY_HEADERS=false
# 挑战决策（challenge 档）是否启用 JS 挑战页
CHALLENGE_ENABLED=true
# isolate 判定 / canary 回显命中的持久隔离时长（分钟）
ISOLATION_TTL_MINUTES=60
# 事件控制台 /console/events 默认需要管理员登录；挂大屏等场景可显式放开
CONSOLE_PUBLIC=false
# 数据保留（天，0 = 关闭对应清理）
EVENT_RETENTION_DAYS=30
HEARTBEAT_RETENTION_DAYS=7
LOGIN_LOG_RETENTION_DAYS=90
HONEYPOT_SESSION_RETENTION_DAYS=60
# 交互式 SSH 蜜罐（paramiko 已是默认依赖；缺依赖时自动降级为 banner 模式）
# 接受任意口令登录（蜜罐标准做法，绝不锁死攻击者）
SSH_ACCEPT_ALL=true
# 假 shell 中显示的主机名
SSH_HOSTNAME=web-prod-01

# Docker 端口映射（docker-compose.yml 读取；宿主机侧端口冲突时覆盖）
# HOST_PORT=4877
# HOST_SSH_PORT=2222
# HOST_FTP_PORT=2121
# HOST_MYSQL_PORT=33060
# HOST_REDIS_PORT=63790
# HOST_ES_PORT=19200
# HOST_NGINX_ADMIN_PORT=8081
# HOST_THINKPHP_PORT=48777