workphone-sdk/开发文档/8、部署/06-存客宝宝塔/部署验收记录.md

工作手机 SDK · 存客宝宝塔部署验收记录

更新：2026-07-14 · 状态：线上 SDK、真机 WSS、服务器 Frida RPC 与安全读类已通过；写类继续验收

0. 2026-07-14 本轮更新

• 部署目录：/www/wwwroot/workphone-sdk；Compose：docker-compose.baota.yml。
• 公网域名：https://wpsdk.quwanzhi.com；手机地址：wss://wpsdk.quwanzhi.com/ws/device。
• API Key 鉴权与设备配对令牌分离；令牌已从客户端日志和管理 API 响应中脱敏。
• 调试阶段进入输出的旧配对令牌已在服务器轮换撤销，真机使用新令牌重新绑定成功。
• Android Agent 5.0.1 已覆盖安装到授权 Redmi 真机并自动重连。

1. 当前证据

检查项	结果	证据
宝塔 Compose	✅	Mongo、Redis、SDK 三容器均 healthy
本机绑定端口	✅	SDK 仅 127.0.0.1:8899，公网不直暴露 8899
公网健康	✅	/health healthy；/ready true
HTTPS 证书	✅	Let's Encrypt，CN=quwanzhi.com，有效至 2026-09-25
API 鉴权	✅	无 Key /api/v3/devices=401；带 Key=200
WSS 真机	✅	Redmi 2312DRAABC，Android 13，公网在线
设备 MD5	✅	ed25814d9c92b3430696dc96c2142b5f
微信版本读类	✅	Fleet 真链路返回微信 8.0.69，channel=no_root_pkg
配对令牌脱敏	✅	日志及设备 API 均不含 ?token=/pairing_token
Frida 服务	✅	Root 可用；Frida 16.5.6 非默认端口可达；公网回执 frida_server_ready=true
微信 Hook/RPC	✅	宝塔 server/frida 取得真实 RPC 回执，96 actions / 26 modules
微信读类	✅	15 项读类 HTTP 200，覆盖资料、联系人、群、标签、消息、安全与设备信息
设备控制	✅	启动应用、当前应用、UI 树、PNG 真机截图修复后复验通过
外部网页调用	✅	API Key 鉴权正确；CORS OPTIONS=200；5 路并发 5/5 通过
朋友圈发布	❌	两次均提示“内容未发表”，截图已归档，不计成功
其他写类	⏳	发消息、群发、加友、朋友圈互动需白名单和操作前确认

2. 已整理

• 宝塔部署架构、端口、环境变量、Nginx WebSocket 配置和验收顺序。
• 设备主动上报主链路与平台拉取兜底链路。
• 存客宝 BFF 统一鉴权与设备绑定字段要求。

3. 待继续

• 使用白名单目标完成单聊、群消息、加友和朋友圈互动等受控写类回执。
• 排查朋友圈上传失败原因，并以微信最终页面和 API 回执双重验收。
• 配置纯客宝/存客宝 BFF 的 WORKPHONE_SDK_URL 与服务器 API Key，并验证业务端设备状态。
• 执行 24 小时稳定性与服务器重启后的容器自启、真机自动重连验收。

真实密钥只保存在服务器 .env；二维码中含短期/生产配对令牌，不写入文档或仓库。