换了域名，门禁没跟过去

域名迁完、拉数恢复的当晚，顺手做了一次未授权探测，结果把迁移的另一半问题翻了出来：不带任何身份凭证直接访问，首页、数据接口、配置接口全部返回成功。数据接口出的是全量数据，配置接口还露着内部配置——哪怕密钥字段是掩码形式，那也是内部信息的外泄面。

根因不在新服务，而在迁移清单漏了一项：旧域名原来受访问控制应用保护，换到新域名时，保护没有跟过去。账号里有好几个访问控制应用，没有一个覆盖新域名。防火墙和抗攻击防护当时都在工作，但它们防的是机器人和攻击流量，不是身份授权——正常 API 调用拦不住，也本来就不该由它们拦。

修复的办法不复杂：把新域名加进现有的访问控制应用，沿用原来的策略——人用邮箱放行、自动化用服务令牌放行。关键在修复后的两组复测，缺一组都不算闭环：未授权访问要全部跳到登录页，不再直接出数据；带服务令牌的访问要仍然正常，定时任务链路不能因此断掉。

还有一个尾巴：生产服务眼下挂在一个现成应用下面，功能上等同于专属应用，但日后改动那个应用会连带影响它。当前不急着迁，记下来就行。

换域名清单上，授权要和域名写在同一行。域名换过去了，门禁没跟过去，迁移就不算做完。