docs(quick-260405-qk2): SSH密钥体系改造

Author: ZaneL1u

.planning/STATE.md

@@ -79,9 +79,10 @@ None.
 | 260405-hai | 增强 Claude 状态 API：返回每个进程的 PID、工作目录和运行时间 | 2026-04-05 | 2ae9592 | [260405-hai-claude-api-pid](./quick/260405-hai-claude-api-pid/) |
 | 260405-hio | Claude Code 深度配置集成：结构化settings编辑面板+系统指纹查看 | 2026-04-05 | bea7886 | [260405-hio-claude-code-settings](./quick/260405-hio-claude-code-settings/) |
 | 260405-jji | 镜像版本管理：自动拉取最新镜像+版本展示+一键升级 | 2026-04-05 | 6aad37a | [260405-jji-image-version-mgmt](./quick/260405-jji-image-version-mgmt/) |
+| 260405-qk2 | SSH密钥体系改造：入站免密登录+出站外部鉴权+多密钥管理 | 2026-04-05 | d297fbb | [260405-qk2-ssh](./quick/260405-qk2-ssh/) |
 
 ## Session Continuity
 
-Last session: 2026-04-05T06:10:00.000Z
-Stopped at: Completed 260405-jji quick task
+Last session: 2026-04-05T11:15:00.000Z
+Stopped at: Completed 260405-qk2 SSH 密钥体系改造
 Resume file: None

.planning/quick/260405-qk2-ssh/260405-qk2-PLAN.md

@@ -0,0 +1,27 @@
+# Quick Task 260405-qk2: SSH 密钥体系改造
+
+**Created:** 2026-04-05
+**Status:** Completed
+
+## Goal
+
+将 SSH 密钥系统从单密钥对改造为多密钥管理，拆分为入站（免密登录）和出站（外部服务鉴权）两类用途。
+
+## Tasks
+
+### Task 1: 数据库 + 后端模型
+- 新建 `ssh_keys` 表（migration 0012），包含 purpose、label、fingerprint 等字段
+- 从 `users` 表自动迁移已有密钥数据
+- 添加 SSHKey 模型和 5 个 Repository 方法
+
+### Task 2: 后端 API + 注入逻辑
+- 重写 ssh_keys.go 为 List/Create/Delete 三端点
+- contracts.go 添加 SSHKeyEntry，HostActionRequest 支持密钥数组
+- runtime_service.go 查询所有密钥并传递
+- worker.go 入站密钥→authorized_keys，出站密钥→身份文件
+- router.go 更新路由
+
+### Task 3: 前端
+- 重写 hooks 为多密钥 CRUD
+- 重写 SSHKeyManager 分为入站/出站两个区域
+- 更新用户详情页和门户页

.planning/quick/260405-qk2-ssh/260405-qk2-SUMMARY.md

@@ -0,0 +1,42 @@
+# Quick Task 260405-qk2: SSH 密钥体系改造 — Summary
+
+**Completed:** 2026-04-05
+
+## 变更概要
+
+### 问题
+原有 SSH 密钥系统每用户仅支持一对密钥，存储在 users 表上，无法区分入站（免密登录）和出站（外部鉴权）用途，也不支持写入 authorized_keys。
+
+### 解决方案
+
+#### 数据库
+- 新建 `ssh_keys` 表，支持多密钥、`purpose` 字段（inbound/outbound）、label、fingerprint
+- 自动从 users 表迁移已有密钥数据
+
+#### 后端
+- `contracts.go`: 新增 `SSHKeyEntry` 类型，`HostActionRequest` 新增 `SSHKeys` 数组字段
+- `ssh_keys.go`: 完全重写为 List/Create/Delete 三端点，Create 支持自动生成密钥对（outbound）或直接导入公钥（inbound）
+- `runtime_service.go`: 从新表查询用户所有密钥并传递到 HostActionRequest
+- `worker.go`: 入站密钥追加到 `~/.ssh/authorized_keys`，出站密钥注入为身份文件（第一个用默认名，后续用 label 命名）
+- `router.go`: 更新 admin 和 user 路由
+
+#### 前端
+- `use-ssh-keys.ts`: 重写为多密钥 CRUD hooks
+- `ssh-key-manager.tsx`: 重新设计为入站/出站两个独立区域，入站仅需粘贴公钥，出站支持生成和导入
+- 用户详情页和门户页同步更新
+- 引导组件更新描述文字
+
+## 修改的文件（13 个）
+- `internal/store/migrations/0012_ssh_keys_table.sql` — 新建
+- `internal/store/repository/models.go` — SSHKey 模型
+- `internal/store/repository/queries.go` — 5 个 CRUD 方法
+- `internal/agentapi/contracts.go` — SSHKeyEntry + SSHKeys 字段
+- `internal/controlplane/http/ssh_keys.go` — 完全重写
+- `internal/controlplane/http/router.go` — 路由更新
+- `internal/runtime/runtime_service.go` — 密钥查询和传递
+- `internal/runtime/tasks/worker.go` — injectSSHKeys 重写
+- `web/admin/src/hooks/use-ssh-keys.ts` — 完全重写
+- `web/admin/src/components/ssh-keys/ssh-key-manager.tsx` — 完全重写
+- `web/admin/src/routes/_dashboard/users/$userId.tsx` — 适配新接口
+- `web/admin/src/routes/_portal/portal/hosts/$hostId.tsx` — 适配新接口
+- `web/admin/src/components/onboarding-guide.tsx` — 更新引导文字