# 非功能基线（P10.5）

更新时间：2026-02-11

## 安全基线
- 使用 `server/scripts/security-baseline.sh` 检查关键安全配置与核心路由语法。
- 发布前要求：
  - `JWT_SECRET` 非默认值。
  - `ERP_SYNC_ENABLED` / `INVOICE_VERIFICATION_ENABLED` 通过 Feature Flag 治理，默认保持关闭。
  - `npm audit --omit=dev --audit-level=high` 输出需评审并记录处理策略。

## 性能基线（Dashboard）
- 使用 `server/scripts/benchmark-dashboard.sh` 对以下端点做基线采样：
  - `/api/dashboard/expense-overview`
  - `/api/dashboard/trends`
  - `/api/dashboard/top-categories`
  - `/api/dashboard/approval-efficiency`
- 默认采样次数：`ITERATIONS=10`。
- 建议阈值（测试环境）：
  - 平均响应（avg）< 500ms
  - 最大响应（max）< 1500ms

## 回滚原则
- 若非功能指标异常，先执行配置回滚而非代码回滚：
  1. 将 `erp_sync` 和 `invoice_verification` 设为 `force_off`。
  2. 必要时将 env 硬闸 `ERP_SYNC_ENABLED=false`、`INVOICE_VERIFICATION_ENABLED=false`。
- 保留审计与历史数据，不做 destructive 数据回滚。