---
title: 已知风险与技术债
type: fact
permalink: main/projects/6f47523e-e22e-4cdd-bd18-76e5e474ee0c/已知风险与技术债
stable_id: afa3e76f-eb77-49b5-9769-6ba559026c35
scope: project
project_id: 6f47523e-e22e-4cdd-bd18-76e5e474ee0c
memory_type: fact
status: active
revision: 1
restored_from_commit: 6a6a895eafcca6052e81a14fca103a42635dd1c2
created_at: '2026-09-23T14:59:57.816949+00:00'
updated_at: '2026-09-23T14:59:57.817006+00:00'
tags:
- risks
- tech-debt
- security
---

1. **无鉴权**：后端监听 0.0.0.0 且所有 API 无身份认证，暴露局域网有风险。
2. **敏感配置明文**：.runtime/ 保存的配置含 Root、PPPoE、Wi-Fi 密码；已 gitignore 但历史上有过跟踪。
3. **构建不可完全复现**：OpenWrt、feeds、Qosmio NSS 跟随可变分支；Docker 基础镜像和 apt 包未固定摘要。
4. **单体文件**：App.vue ~1495、main.py ~1082、build_config.py ~1192 行，维护困难。
5. **配置规则漂移风险**：选项模型、默认值和校验同时存在于 Vue、Pydantic、JSON 和构建脚本中。
6. **无自动化测试**：tests/ 被 gitignore，无 CI 工作流，无测试框架。
7. **补丁脆弱性**：DTS、升级脚本、主题模板等使用精确文本替换，上游格式变化会中断构建。
8. **代理缺口**：OPENWRT_BUILD_PROXY 不传给 docker build 阶段，首次构建镜像时 apt 可能因网络受限失败。
9. **设备侧边界**：手动模式允许固定风扇 0% 无独立过温保护；网络灯默认 ping 223.5.5.5。