完善 Docker 部署骨架并整理开源发布资料

- 调整 Dockerfile 与入口脚本，拆分应用、MySQL、Redis 的部署职责
- 新增 docker-compose、docker ignore 与 Docker 环境变量示例
- 重写 README 并补充 Docker 部署说明与第三方资产说明
- 将后台示例账号与 webhook token 改为安全占位值，移除弱口令默认兜底

admin/dashboard/README.md

@@ -97,14 +97,15 @@ ABOT 管理后台是一个集成于主程序的 Web 应用，用于管理和监
 
 管理后台随主程序自动启动，默认访问地址为：`http://服务器IP:8888`
 
-默认登录凭据：
-- 用户名：admin
-- 密码：admin123
+默认示例配置位于 [config.toml](/d:/learn/abot/admin/dashboard/config.toml:1)，公开仓库中已改为占位值。
 
-建议首次登录后立即修改默认密码，确保系统安全。
+正式部署前请务必完成以下操作：
+1. 修改管理员账号与密码
+2. 配置独立的 `secret_key`
+3. 替换 webhook token
 
 ## 注意事项
 
 1. 管理后台与主程序共享资源，请合理使用，避免过度消耗系统资源
 2. 敏感操作（如批量删除群组）请谨慎执行，操作前请确认
-3. 统计数据每日凌晨自动更新，也可手动触发更新
+3. 统计数据每日凌晨自动更新，也可手动触发更新

admin/dashboard/config.toml

@@ -3,14 +3,19 @@ host = "0.0.0.0"
 port = 8888
 
 [auth]
-username = "admin"
-password = "admin123"
+# 公开仓库中仅保留示例占位值：
+# 1. 请在首次部署前改成你自己的管理员账号；
+# 2. 更推荐通过环境变量或独立未跟踪配置覆盖；
+# 3. 不再在仓库中保留弱口令，降低开源发布时的误用风险。
+username = "please_change_me"
+password = "please_change_me"
 
 [trendradar_webhook]
 # 是否启用 TrendRadar webhook 适配接口
 enabled = true
-# 固定 token（建议配置），支持请求头 X-Webhook-Token / query token / payload.token 三种传法
-token = "watHcBbQIxtmyqGRSHKeTDRVjkHOceiRfFytUkQUwmV"
+# 固定 token（建议配置），支持请求头 X-Webhook-Token / query token / payload.token 三种传法。
+# 开源仓库中仅保留占位值，正式环境务必替换为高强度随机串。
+token = "please_change_me"
 # 默认推送目标群（可配置多个）
 default_group_ids = []
 # 是否允许 payload 覆盖目标群（开启后可通过 target_group_ids/group_id 指定）

admin/dashboard/server.py

@@ -32,6 +32,13 @@ sys.path.append(os.path.abspath(os.path.join(os.path.dirname(__file__), '..', '.
 class DashboardServer:
     """统计看板服务器"""
 
+    # 公开仓库默认占位值：
+    # 1. 不再把 admin / admin123 这类弱口令作为代码级兜底；
+    # 2. 当用户未显式配置后台账号时，系统仍可启动，但会强烈提示其先完成配置；
+    # 3. 这里保留固定占位串，主要用于避免 None/空串把旧逻辑带偏。
+    SAFE_PLACEHOLDER_USERNAME = "please_change_me"
+    SAFE_PLACEHOLDER_PASSWORD = "please_change_me"
+
     def __init__(self, host: str = None, port: int = None,
                  username: str = None, password: str = None,
                  robot_instance=None):
@@ -41,8 +48,8 @@ class DashboardServer:
         # 优先使用传入的参数，其次使用配置文件中的参数
         self.host = host or self.config.get("server", {}).get("host", "0.0.0.0")
         self.port = port or self.config.get("server", {}).get("port", 8888)
-        self.username = username or self.config.get("auth", {}).get("username", "admin")
-        self.password = password or self.config.get("auth", {}).get("password", "admin123")
+        self.username = username or self.config.get("auth", {}).get("username", self.SAFE_PLACEHOLDER_USERNAME)
+        self.password = password or self.config.get("auth", {}).get("password", self.SAFE_PLACEHOLDER_PASSWORD)
 
         self.LOG = logger
         self.LOG.info(f"Dashboard配置加载完成: 服务器将运行在 {self.host}:{self.port}")
@@ -129,20 +136,29 @@ class DashboardServer:
                 with open(config_path, 'r', encoding='utf-8') as f:
                     return toml.load(f)
             else:
-                # 如果配置文件不存在，创建默认配置
+                # 如果配置文件不存在，创建安全占位配置：
+                # 1. 公开仓库不再自动落地弱口令；
+                # 2. 保留最小可运行结构，避免因为缺文件直接崩溃；
+                # 3. 部署者看到占位值后，会更自然地完成首次替换。
                 default_config = {
                     "server": {"host": "0.0.0.0", "port": 8888},
-                    "auth": {"username": "admin", "password": "admin123"}
+                    "auth": {
+                        "username": self.SAFE_PLACEHOLDER_USERNAME,
+                        "password": self.SAFE_PLACEHOLDER_PASSWORD,
+                    }
                 }
                 with open(config_path, 'w', encoding='utf-8') as f:
                     toml.dump(default_config, f)
                 return default_config
         except Exception as e:
             self.LOG.error(f"加载Dashboard配置文件失败: {e}")
-            # 返回默认配置
+            # 返回默认配置兜底，但仍坚持使用安全占位值。
             return {
                 "server": {"host": "0.0.0.0", "port": 8888},
-                "auth": {"username": "admin", "password": "admin123"}
+                "auth": {
+                    "username": self.SAFE_PLACEHOLDER_USERNAME,
+                    "password": self.SAFE_PLACEHOLDER_PASSWORD,
+                }
             }
 
     def _create_app(self) -> Flask: