金闩的每一根闩，都要过这三道关
存量系统零改动。不碰在跑的服务、不新增任何一个可能坏的部件——安全加固不得引入新故障面。
所有新增保护随时可逆，今天拆、明早恢复原状分毫不差。装不回去的，不叫闩，叫施工。
每根闩落地即自成完整水位，不装"半把锁"。哪怕只落了一根，整体也已在更高的水位上。
不说规划，只说已经在岗的
基于 age（_filippo 现代加密标准）的文件级加密归档，公钥加密、私钥解密；每一份归档均有校验存证与回环还原验证。
在岗整机全盘加密开启，设备一旦离手，数据不可读。静态加密是所有安全的地基。
在岗解密私钥分置于硬件加密盘、系统级加密钥匙串、以及一份由唯一口令保护的离线密文——多处独立，互为冗余。
在岗还原手册不依赖记忆与原机：任何一台新设备，凭密文与唯一口令即可完成全量重建，公钥可由私钥随时重算。
在岗重要资产变动均有基线校验与操作记录，可追溯、可复核——安全感来自看得见的账本。
在岗金库本体永不直连公网。你正在看的这个页面，是金闩唯一"露面"的部分。
红线帕累托改进的中文说法——不拆门，先落闩。它有一个防走样的节奏约束：
"先落闩"永远不许变成"永远不换门"——涉及不可逆的换门级操作，必须当家人在场拍板。
每一期收口都是完整可用的水位，不留半吊子中间态
全盘加密、加密金库、私钥多重保管、灾备还原——当前水位。
集中凭据管理、专网接入、全量行为审计——动结构，不换门。
全部历史欠账迁移入库、原明文清零、首次恢复演练。
物理隔离冷库、防篡改审计链、红蓝对抗——安全水位上探最高档。
