miguan v1

conf/app.sample.ini

@@ -71,6 +71,15 @@ ban_threshold_404 = 20             ; 统计窗口内返回 404 的次数阈值
 ban_window_seconds = 60            ; 统计窗口时长（秒）
 ban_duration_minutes = 15          ; 临时封禁时长（分钟），到期自动解除，重启即清零
 security_alert_email =             ; 触发封禁时发送告警邮件的收件人（复用下方 SMTP 发信配置），留空不发送
+
+; ── 蜜罐（虚假后台登录界面）────────────────────────────────────────────
+enable_honeypot = false             ; 开启后，扫描器探测后台路径（/wp-admin、/.ssh、/.env 等）
+                                   ; 时不再返回 302/404，而是返回一个仿 WordPress 的假登录页，
+                                   ; 并把其提交的用户名/密码记录入库供取证。
+                                   ; 只在「没有任何路由匹配」的路径上生效，真实业务路由零交集；
+                                   ; 假页面只含 canary 标记与假凭据，绝不含任何真实信息。
+honeypot_paths =                   ; 追加自定义诱饵路径（逗号分隔），与内置清单取并集。
+honeypot_retain_days = 30          ; 蜜罐命中记录的保留天数（取证用途），到期可用 CLI 清理。
 default_moderation_strictness =    ; 站点默认「内容审核严格度」：lax（宽松）/ standard（标准）/ strict（严格）。
                                    ; 仅对未单独设置档位的账号生效（账号在设置页选择后以账号设置为准）。
                                    ; 留空回退 strict（最严档）：保证升级不会放宽任何拦截。