name: ops-safety
description: 当用户执行系统级命令（sysctl、iptables、systemctl、Docker 配置、数据库 DDL）或进行服务器运维操作时触发。提供运维安全规范。

运维安全规则

防止因不完整的操作导致系统故障。

1. 系统级命令规则

在给出任何系统级命令（sysctl、firewalld、iptables、内核参数、systemctl 等）之前，必须先说明：

命令说明模板

## 命令说明

**命令**: sudo sysctl -p /etc/sysctl.d/99-xxx.conf

**影响范围**:
- 内核网络参数
- 可能影响 Docker 容器网络
- 可能影响 Cloudflare 连接

**风险等级**: 高

**回滚方案**:
1. sudo rm -f /etc/sysctl.d/99-xxx.conf
2. sudo sysctl --system
3. sudo systemctl restart docker
4. docker-compose up -d
5. curl -I http://127.0.0.1:80  # 验证

**是否确认执行？**

2. 回滚方案要求

回滚方案必须包含以下步骤，缺一不可：

3. 问题排查原则

不扩散问题

如果 A 配置导致问题：
- ✅ 先彻底恢复 A
- ❌ 不要去改 B、C、D

最小改动原则

• 只修改必要的配置
• 一次只改一个变量
• 改完验证后再进行下一步

不动正常配置

• 用户明确说某配置正常，不要建议修改
• 不要"顺手"优化其他配置

4. 特定场景规则

Cloudflare + 服务器

当用户使用 Cloudflare 代理时：

Docker 相关

修改以下配置后，必须提示重启 Docker：
- 内核网络参数（sysctl）
- iptables / firewalld 规则
- Docker daemon 配置

数据库操作

执行以下操作前必须提示备份：
- 表结构修改（ALTER TABLE）
- 批量数据更新（UPDATE/DELETE 无 WHERE 或影响大量数据）
- 数据库迁移

5. 禁止行为

6. 风险等级定义