hoelee-blog/docs/consultant-review/reports/report-batch-04.md

blog.hoelee.com 外部顾问审阅报告 — Batch-04 (顾问标注 Batch-05)

对应资料包：docs/consultant-review/batches/batch-04.md（共 9 篇，中英双语对照）
审批状态：已全量采纳并落地修改，9 篇已在 audit-tracker.json 中标记为 approved。

---

逐篇审阅意见与落地执行总结

序号	文章 Slug	顾问结论	落地执行措施
01	it-reported-success-nothing-had-changed	需微调	1. 修正谎言二数据：统一为 archive-04.mp4 与 1,137,704,960 bytes (1085 MiB)，解决与日志 1085 MB 的计算矛盾； 2. 修复英文版 ## The discipline 1-6 编号列表换行折叠问题； 3. 中英文版末尾补齐双轨 CTA 咨询模块，并在 frontmatter 增加 dynamicCta: true。
02	n8n-v1-to-v2-upgrade-gotchas	需微调	1. 修正废弃列表统计：准确说明 5 项来自警告块，其余 2 项在后续启动日志； 2. 补充 N8N_RUNNERS_MODE=external 需要在 Compose 编排中搭配 n8nio/runners sidecar 容器； 3. 修正附加章节标题为“那个不在废弃列表里的：我的 AI 沙盒把自己关掉了”； 4. frontmatter 添加 dynamicCta: true。
03	one-hostname-public-tracker-sso-dashboard	需微调	1. 人设去玩具化：“我家路由器”改为“自托管边缘网关”，“一天个位数访问”改为中小型独立项目合理并发阐述； 2. 架构防御：在权衡说明中补充为何收敛策略于 authentik（避免在 nginx 与隧道重复维护正则），并点出边缘 bypass 的取舍； 3. frontmatter 添加 dynamicCta: true。
04	passbolt-hang-three-failure-modes	通过（微调）	1. passbolt.php 配置示例改为使用 env('PASSBOLT_GPG_SERVER_KEY_FINGERPRINT', ...) 动态读取； 2. 文末 mailto CTA 添加主题参数； 3. frontmatter 添加 dynamicCta: true。
05	patching-workbench-26-for-mariadb	需微调	1. 精确修正 Windows 机制：明确只读属性会抛 UnauthorizedAccessException，而真正的静默无效果是由于 CRLF/LF 不匹配导致 .Replace() 未命中； 2. 中英文版文末补齐数据库运维与迁移咨询 CTA； 3. frontmatter 添加 dynamicCta: true。
06	php2shell-patching-every-php-runtime-i-manage	需重点修订	1. 修正 AI/越权视角：重写批量修补通道为“由于日常收敛攻击面关闭了密码 SSH 直连，通过既有的 Docker API 起一次性维护容器调 synopkg”； 2. OPSEC 脱敏：移除真实公网 IP 41.216.187.102 改为 VPS (203.0.113.10)；所有客户真实域名与用户名脱敏； 3. frontmatter 添加 dynamicCta: true。
07	putting-a-front-door-on-an-app-you-cant-modify	需微调	1. 代码块补齐第 3 条 sub_filter（英文翻译脚本层注入），与“三行注入”一致； 2. 补充 nginx 中 location = / 使用 try_files 避开 index 内部重定向的架构细节说明； 3. frontmatter 添加 dynamicCta: true。
08	read-only-nocodb-dashboard-for-a-remote-database	通过（微调）	1. 用词去玩具化：“小 VM”统一替换为“独立虚拟机 / dedicated VM”； 2. 补充 NocoDB UI Schema Read-Only 与 MySQL 底层 GRANT SELECT 纵深防御机制； 3. frontmatter 添加 dynamicCta: true。
09	replacing-rdpguard-with-ipban	需微调	1. 修正 DisplayName= 矛盾：代码块指定 DisplayName= "IPBan Service"，正文调整为提醒初次执行漏传的经验； 2. OPSEC 修正：攻击用户名修改为“尝试根据公网域名品牌推测账号，而非机器真实存在此账户”； 3. 开篇补充 3389 暴露的过渡期/遗留场景架构背景；代码块高亮改为 cmd / powershell； 4. frontmatter 添加 dynamicCta: true。