[longsizhuo]

之前「登录」一节给了一段命令，直接往 IH 的生产 .env 追加 secret，还是现场生成的。这样绕开了 IH 的密钥平台 Infisical，IH 那边的人也不知道这个值从哪来。

现在的步骤：

1. 在 Infisical（IH 后端项目的 prod 环境）建 SSO_HOLOCARD_SECRET、SSO_HOLOCARD_STAGING_SECRET，作为唯一真源；
2. IH 维护者按 IH 的流程同步进生产 .env，重建 backend；
3. HoloCard 这边用 read -rs 粘贴同一个值，写进 /etc/holocard*/sso.env（root 600），值不回显、不进 shell 历史。

配套的 IH 侧说明：InvolutionHell/involutionhell-backend#60（.env.example 写明值在 Infisical、本地开发留空）。

只改文档。

🤖 Generated with Claude Code

https://claude.ai/code/session_011CHv6oQ6cYWQvdBV6FFRhF

[Copilot]

Copilot was unable to review this pull request because the user who requested the review has reached their quota limit.

[longsizhuo]

评审结论：可以合入，无阻塞性问题

只改了 deploy/README.md（+12/−5），没有代码、接口或数据格式变化，因此没有可跑的测试，也不影响 pnpm typecheck / pnpm build。我按 diff 逐行核对了新写的 shell 片段。

核对过、没问题的点

• read -rsp 配 echo 能让密钥不回显、不进 shell 历史。printf 是 bash 内建，值不会出现在 ps 的参数里，和旧写法一致。
• 删掉 openssl rand 和 >> ~/involution-hell/.env 之后，本仓文档不再指导任何人去改 IH 生产机的 .env，这符合 PR 的意图。
• 步骤 2 的 docker compose up -d backend 从代码块挪成了文字说明，步骤 3 的 systemctl daemon-reload && restart 还在，顺序也对：先让 IH 后端认到新 secret，再重启 HoloCard。
• sso.env 的模式 600 和 drop-in 的路径都没变。

建议性意见（都不阻塞）

1. read -rsp 是 bash 专有写法（-s、-p）。文档写的是"以 ubuntu 跑"，ubuntu 默认是 bash，所以没问题。如果有人放进 sh -c 或 dash 里执行会报错，可以在代码块上方注明"bash"。
2. 步骤 3 只写了 staging 的完整命令。正式站"同理"，要读者自己换 HOLOCARD_SSO_CLIENT_ID 的写法（正式站用默认值所以不写）、目录 /etc/holocard、drop-in 目录和服务名。现在这段文字已经写清楚了，只是容易漏一步。如果以后常用，可以把两段命令都列出来。
3. 文档里的 Infisical 地址、项目名和环境名，以及"IH 前端仓 CONTRIBUTING『.env 文件规则』"这个引用，我无法验证（超出本仓范围）。需要作者确认链接和章节名真实存在，否则文档会指向一个找不到的位置。
4. 最后一句"值要换（泄露了、人员变动）也是先改 Infisical，再按 2、3 同步"没提到：IH 后端和 HoloCard 两边的值换的时候有短暂不一致，期间登录会失败。运维上通常可以接受，但如果想写得完整，可以补一句"两边尽量连着做"。

---

Generated by Claude Code