# 华为NAS 安全加固操作手册

## 一、账号层（华为智慧生活App操作）

### 1.1 创建只读账号
打开「华为智慧生活」→ 华为家庭存储 → 用户管理：

| 操作 | 说明 |
|------|------|
| 新建用户 | `baoyu_viewer` |
| 密码 | 随机强密码（16位，大小写+数字+符号） |
| 权限 | **仅「家庭共享」— 只读** |
| 用途 | 分享给总经理/同事查看客户档案 |

> ⚠️ 当前所有人共用 `Simonliu1990` 管理员账号，相当于谁都能删改NAS文件。必须分离！

### 1.2 管理员账号加固
- 修改管理员密码：`Simonliu1990` → 强密码
- 开启登录异常提醒（如有）

---

## 二、共享层（App操作）

### 2.1 客户档案独立目录
在NAS创建专用共享文件夹结构：
```
家庭共享/
├── outputs/              ← 当前目录（已有）
│   └── 客户档案_自包含.html
├── 客户档案/             ← 新建专用目录（推荐）
│   └── 客户档案_自包含.html
│   └── README.txt        ← 说明文件
└── (其他现有文件...)
```

### 2.2 权限矩阵

| 用户 | 客户档案目录 | 其他目录 |
|------|:--:|:--:|
| 管理员(你) | 读写 | 读写 |
| baoyu_viewer | **只读** | 无权限 |
| 总经理 | 通过baoyu_viewer | — |
| 访客 | 无 | 无 |

> 设置路径：华为智慧生活 → 文件管理 → 客户档案 → 权限 → 仅授权用户

---

## 三、终端层（macOS操作）

### 3.1 移除自动挂载
当前LaunchAgent自动挂载NAS，任何人登录你的Mac都能访问：

```bash
# 查看当前挂载配置
launchctl list | grep -i nas
cat ~/Library/LaunchAgents/*nas* 2>/dev/null

# 如需移除自动挂载（提高安全性）：
launchctl unload ~/Library/LaunchAgents/com.biori.nasmount.plist 2>/dev/null
```

### 3.2 手动挂载（只读模式）
需要时手动挂载，用完即卸：

```bash
# 以只读模式挂载
mount_smbfs -o rdonly "//baoyu_viewer:密码@192.168.101.45/家庭共享" /Volumes/nas_ro

# 用后卸载
umount /Volumes/nas_ro
```

### 3.3 钥匙串存储凭证
避免密码出现在命令行历史中：

```bash
# 存入钥匙串
security add-internet-password -a baoyu_viewer -s 192.168.101.45 -w "密码" -T /sbin/mount_smbfs

# 挂载时从钥匙串读取
mount_smbfs "//baoyu_viewer@192.168.101.45/家庭共享" /Volumes/nas_ro
```

---

## 四、NAS设备层（App操作）

| 设置项 | 推荐值 | 路径 |
|--------|--------|------|
| 固件更新 | **自动更新** | 设备设置 → 固件升级 |
| SMB协议版本 | **SMB 3.0** | 网络服务 → SMB → 最低版本 |
| DLNA/媒体服务 | **关闭**（如不用） | 网络服务 → DLNA → 关闭 |
| FTP服务 | **关闭** | 网络服务 → FTP → 关闭 |
| 外网访问 | **关闭** | 华为智慧生活 → 远程访问 → 关闭 |
| 登录通知 | **开启** | 安全设置 → 登录提醒 |
| 休眠 | 保持唤醒（方便随时访问） | 电源管理 |

---

## 五、数据层

### 5.1 文件权限固化
部署脚本加锁：

```bash
# 部署到NAS时自动设只读
cp 工具/客户档案_自包含.html "/Volumes/家庭共享/客户档案/"
chmod 444 "/Volumes/家庭共享/客户档案/客户档案_自包含.html"
```

### 5.2 完整性校验
每次部署后生成SHA256校验值：

```bash
shasum -a 256 工具/客户档案_自包含.html > 工具/客户档案_自包含.html.sha256
cp 工具/客户档案_自包含.html.sha256 "/Volumes/家庭共享/客户档案/"
```

---

## 六、安全等级一览

| 等级 | 措施 | 工作量 |
|:--:|------|:--:|
| ⭐ | 改管理员密码 | 1分钟 |
| ⭐⭐ | 创建只读账号 + 权限分离 | 5分钟 |
| ⭐⭐⭐ | + 关闭多余服务 + SMB3 | 10分钟 |
| ⭐⭐⭐⭐ | + 终端只读挂载 + 钥匙串 | 20分钟 |

建议至少完成 **⭐⭐⭐** 级别。