基于NAS部署Leantime：打造私有化Web安全项目管理与协作平台

1. 项目概述：从Web安全到高效协作的融合实践

最近在整理小迪老师的Web安全实战笔记，特别是第56期，发现一个很有意思的讨论点：很多安全从业者或开发团队在推进项目时，常常面临工具链混乱、任务追踪困难、知识沉淀缺失的问题。安全测试、漏洞复现、代码审计这些工作本身流程复杂，如果项目管理再跟不上，效率就会大打折扣。与此同时，随着NAS（网络附加存储）在个人和中小团队中的普及，它不再仅仅是存电影、备份照片的仓库，其强大的计算和扩展能力，完全能承载一个轻量、私密、自主可控的协作环境。于是，一个想法自然浮现：能否将开源的轻量级项目管理工具部署在NAS上，打造一个专属于技术团队的高效协作中心？这次要聊的，就是把Leantime这个优秀的开源项目管理工具，塞进你的NAS里，实现从漏洞情报管理到渗透测试任务跟踪的一站式解决方案。整个过程简单易用，旨在让你花最少的时间在环境搭建上，把精力聚焦在核心的Web安全研究和项目协作本身。

2. 核心工具选型：为什么是NAS + Leantime？

在开始动手之前，我们得先搞清楚两个核心组件：NAS和Leantime。它们各自的特性以及组合在一起的优势，决定了这个方案是否值得投入。

2.1 NAS：不止于存储的私有化基石

对于技术团队，尤其是涉及安全研究的团队，数据私密性和自主可控是生命线。公有云笔记或项目管理软件虽然方便，但敏感的项目数据、未公开的漏洞细节、内部工具链文档存放在第三方平台，始终存在潜在风险。NAS解决了这个核心痛点。

NAS在这里扮演了三个关键角色：

1. 私有化服务器 ：它是一台24小时在线、低功耗的Linux服务器。常见的群晖（Synology）、威联通（QNAP）或自建的TrueNAS系统，都提供了完善的Docker容器支持，这是部署Leantime的完美载体。
2. 统一数据仓库 ：项目相关的所有文档、扫描报告、PoC代码、截图证据，都可以直接存放在NAS的共享文件夹中。Leantime可以与这些文件夹联动（通过Docker卷映射），实现项目文件与任务管理的无缝结合。比如，你可以把一个任务的“完成证据”直接关联到NAS共享目录里的某个PDF报告。
3. 网络与权限中枢 ：NAS本身提供了灵活的权限管理（如用户组、文件夹权限），你可以轻松控制谁能访问项目管理平台，谁能访问底层存储的文件，实现网络层面的隔离与安全。

注意 ：在选择NAS时，务必确认其Docker套件的完整性和易用性。像群晖的DSM 7.x以上的系统，其Container Manager（原Docker套件）已经非常成熟，图形化操作对新手极其友好。如果你的NAS性能较弱（如ARM架构、内存小于2G），可能需要关注Leantime的资源占用，或选择更轻量的替代品。

2.2 Leantime：为敏捷与实践而生的项目管理工具

市面上开源项目管理工具很多，如Redmine、Taiga、OpenProject等。为什么偏偏是Leantime？这是由它的设计哲学决定的。

Leantime的核心优势解析：

• 极简与敏捷融合 ：它不像Jira那样重型复杂，也不像Trello那样过于简单。它完美融合了看板（Kanban）、迭代（Sprint）规划、任务列表和思维导图（Idea Board），特别适合Web安全这类兼具流程性（渗透测试流程）和探索性（漏洞研究）的项目。
• “客户/项目”模型贴合安全服务 ：Leantime内置了“客户（Clients）”概念。在安全团队中，这可以完美映射为“外部客户项目”、“内部研发项目”或“不同资产归属方”。每个客户下可以建立多个项目，权限和视图自然隔离，管理起来非常清晰。
• 内置时间跟踪与报告 ：安全审计常常需要记录时间投入。Leantime的任务计时功能简单直接，并能生成简洁的项目进度报告，对于团队负责人评估工作量和项目健康度很有帮助。
• 开源与可自托管 ：这是最关键的一点。基于PHP和MySQL/MariaDB开发，结构清晰，部署依赖少，非常适合在NAS的Docker环境中运行。代码开源意味着你可以完全掌控数据，并根据需要进行二次开发（比如增加与扫描器API的联动）。

组合价值 ：将Leantime部署在NAS上，相当于拥有了一个 私密、集成、低成本的团队协作大脑 。所有项目活动在内部网络完成，数据不出私域；NAS的存储能力与Leantime的任务管理能力结合，形成了“任务-文档”一体化的闭环；利用NAS的DDNS和内网穿透能力，你甚至可以在保证安全的前提下，让远程团队成员也能安全访问这个平台。

3. 环境准备与部署实战

理论说得再多，不如动手部署一遍。这里我们以最常见的 群晖NAS DSM 7.2 系统为例，演示通过Docker部署Leantime的全过程。其他品牌NAS或基于Docker的系统（如UnRAID, 使用Docker Compose的Linux服务器）原理相通，只需调整路径和网络设置。

3.1 前置条件检查

在打开NAS的Container Manager之前，请确保以下几点：

1. NAS已安装并启用Container Manager ：在套件中心搜索并安装“Container Manager”。
2. 准备一个存储目录 ：在NAS上创建一个共享文件夹，例如 docker ，在其内部再创建 leantime 文件夹。后续Leantime的持久化数据（数据库、上传文件、配置）都会放在这里。建议路径： /volume1/docker/leantime 。请记下这个路径。
3. 获取数据库信息 ：Leantime需要MySQL或MariaDB。你可以选择：
   • 方案A（推荐，独立容器） ：在Container Manager中单独部署一个MariaDB容器。这样更灵活，便于管理。
   • 方案B（使用NAS套件） ：如果NAS套件中心提供了MariaDB套件，也可以安装。但需要注意版本兼容性和网络访问权限（容器需要能访问宿主机的数据库）。
4. 知晓NAS的IP地址 ：例如 192.168.1.100 。

3.2 部署MariaDB数据库

我们采用方案A，使用Docker部署MariaDB，实现与Leantime的容器间互联。

1. 打开Container Manager，进入“注册表”页面，搜索 mariadb ，选择官方镜像（通常为 mariadb:latest 或一个稳定版本如 mariadb:10.11 ），点击“下载”。
2. 下载完成后，在“映像”中找到它，点击“启动”。
3. 进入容器创建向导：
   • 容器名称 ：自定义，如 mariadb-leantime 。
   • 启用自动重启 ：勾选，确保NAS重启后数据库自动运行。
4. 进入“高级设置”：
   • 端口设置 ： 清空默认端口映射 。因为我们将使用容器网络，让Leantime容器通过容器名直接访问，无需映射到宿主机端口，更安全。
   • 存储空间 ：点击“添加文件夹”。选择你在NAS上准备好的路径，例如 docker/leantime/db 。在“装载路径”填写 /var/lib/mysql 。这会将数据库文件持久化到NAS。
   • 环境 ：点击“添加”，设置以下变量：
     • MYSQL_ROOT_PASSWORD : 设置一个强密码，如 YourStrongRootPassword123! 。
     • MYSQL_DATABASE : 数据库名，设为 leantime 。
     • MYSQL_USER : 数据库用户，设为 leantime_user 。
     • MYSQL_PASSWORD : 对应用户的密码，如 YourLeantimeUserPassword456! 。
5. 其他保持默认，点击“应用”，然后“下一步”完成创建并运行容器。

实操心得 ：务必记录下你设置的数据库名、用户名和密码，下一步配置Leantime时会用到。密码不要使用默认或过于简单的，这是安全基线。

3.3 部署Leantime应用容器

数据库就绪后，我们来部署主角Leantime。

1. 在Container Manager的“注册表”中搜索 leantime/leantime ，选择官方镜像，下载。
2. 对下载的镜像点击“启动”。
3. 容器创建向导：
   • 容器名称 ：如 leantime 。
   • 启用自动重启 ：勾选。
4. 高级设置 ：
   • 端口设置 ：这是关键。Leantime默认使用80端口。我们需要将其映射到NAS的一个未被占用的端口上，例如 8080 。设置：本地端口 8080 ，容器端口 80 。这样你就能通过 http://你的NAS IP:8080 访问Leantime。
   • 存储空间 ：添加两个文件夹映射。
     • 映射1：NAS路径 docker/leantime/uploads -> 容器路径 /var/www/html/userfiles 。用于保存用户上传的图片、文档等。
     • 映射2：NAS路径 docker/leantime/config -> 容器路径 /var/www/html/config 。用于持久化Leantime的配置文件。
   • 环境 ：添加以下变量。 请根据你上一步的数据库设置进行修改 。
     • LEAN_DB_HOST : 填写 mariadb-leantime （即你刚才创建的MariaDB容器名称）。Docker网络会自动解析。
     • LEAN_DB_USER : leantime_user
     • LEAN_DB_PASSWORD : YourLeantimeUserPassword456!
     • LEAN_DB_DATABASE : leantime
     • LEAN_SESSION_PASSWORD : 设置一个用于加密会话的密码，长度建议32位以上，可以用命令生成，如 openssl rand -base64 24 生成一个。
     • LEAN_APP_URL : 填写你最终访问Leantime的地址，例如 http://192.168.1.100:8080 。这个很重要，影响密码重置等链接的生成。
5. 链接 （可选但推荐）：在“链接”部分，添加容器 mariadb-leantime ，并为其设置一个别名，如 db 。这样在Leantime容器内，除了通过 LEAN_DB_HOST 指定的容器名访问，也可以通过别名 db 访问数据库，多一层保障。
6. 完成设置，运行容器。

3.4 初始化访问与配置

容器运行后，稍等一分钟左右让服务完全启动。然后打开浏览器，访问 http://你的NAS IP:8080 。

1. 首次安装向导 ：你会看到Leantime的安装界面。它会自动检测环境。因为我们已经通过环境变量配置了数据库，所以通常检测会通过，直接进入下一步。
2. 创建管理员账户 ：设置你的第一个用户邮箱、密码和姓名。这就是系统超级管理员。
3. 完成 ：登录后，你就进入了Leantime的主界面。至此，核心部署完成。

注意事项 ：如果安装向导提示数据库连接失败，请按以下步骤排查：

1. 检查MariaDB容器是否正常运行（Container Manager中状态为“运行中”）。
2. 进入Leantime容器的“详情”->“终端机”，点击“新增”->“通过命令启动”，输入 bash 进入容器shell。
3. 尝试执行 ping mariadb-leantime ，看是否能解析到IP。再尝试 mysql -h mariadb-leantime -u leantime_user -p ，输入密码看能否连接数据库。这能帮你定位是网络问题还是数据库认证问题。
4. 核对Leantime容器环境变量中的数据库密码是否与MariaDB容器设置完全一致（注意大小写和特殊字符）。

4. Leantime在Web安全项目管理中的核心应用

平台搭好了，怎么用它来管理我们的Web安全项目呢？Leantime的模块设计其实非常贴合安全工作的流程。下面我们以一个典型的“外部渗透测试项目”为例，拆解如何使用Leantime进行全流程管理。

4.1 项目初始化与客户/资产关联

1. 创建“客户” ：在Leantime左侧菜单，“客户管理”中，创建一个新客户，例如“某科技有限公司”。这里可以记录客户的基本联系信息、合同编号等。
2. 创建“项目” ：在“项目管理”中，点击“新建项目”。项目名称设为“某科技官网及API渗透测试”。关键点在于“关联客户”，选择刚创建的“某科技有限公司”。这样，所有这个项目下的任务、文档都天然归属于这个客户，便于后续按客户维度查看和报告。
3. 定义项目画布 ：进入项目后，默认是“看板”视图。我们可以根据渗透测试流程来定义列。例如：
   • 待处理 ：收集到的待验证漏洞线索、待扫描的资产。
   • 信息收集 ：正在进行子域名枚举、端口扫描、目录爆破的任务。
   • 漏洞分析 ：对发现的潜在漏洞进行深入分析和验证。
   • 利用测试 ：编写或测试PoC/Exp。
   • 报告编写 ：整理漏洞详情、复现步骤、截图证据。
   • 已完成 ：已交付给客户或已修复验证的漏洞。
4. 邀请成员 ：在项目设置中，通过邮箱邀请你的团队成员。他们注册/登录后，就能看到并参与这个项目。

4.2 任务分解与协作实战

假设我们收到一个目标： target.com 。

1. 创建史诗/特性 ：在“待办事项”列表或“思维导图”中，创建一个大的主题，比如“信息收集阶段”。这可以作为一组相关任务的容器。
2. 创建具体任务 ：
   • 任务标题：“子域名枚举 (target.com)”
   • 描述：可以使用 subfinder , amass ，并关联资产发现平台。
   • 关联文件 ：这是与NAS结合的优势。点击任务详情中的“附件”，可以直接从你的电脑上传文件，或者 更重要的是 ，你可以将任务关联到NAS共享文件夹里的某个文件。例如，你习惯把扫描结果存到 NAS共享/安全项目/某科技/子域名.txt ，那么可以在这里备注上该文件的SMB或WebDAV访问路径（如 file://nas/安全项目/某科技/子域名.txt ）。这样任务和产出物直接挂钩。
   • 分配负责人 ：分配给负责信息收集的成员A。
   • 设置时间跟踪 ：点击“开始计时”，成员A在实际操作时开启，休息时暂停，Leantime会自动累计该任务耗时。
   • 添加到迭代 ：如果项目采用敏捷冲刺，可以创建一个为期两周的“迭代一”，将这个任务拖入。
   • 拖拽看板 ：将任务从“待处理”拖到“信息收集”列。
3. 任务更新与评论 ：成员A在枚举过程中，可以在任务下方“评论”区域实时更新进展：“已使用subfinder完成初步枚举，发现50个子域，正在用httpx探测存活”。其他成员可以@他进行讨论。发现一个有趣的子域 admin.target.com ，可以立即创建一个新任务“ admin.target.com 路径爆破与登录框测试”，并关联到上一个任务作为“后续任务”。
4. 漏洞管理 ：当发现一个SQL注入漏洞时，创建一个任务“ api.target.com/user?id=1 SQL注入漏洞验证与利用”。
   • 在描述中详细记录漏洞URL、参数、Payload。
   • 利用“附件”功能，上传漏洞请求/响应的Burp Suite截图、手工验证的录屏（文件存在NAS上）。
   • 设置优先级为“高”，截止日期为明天。
   • 这个任务会经历“漏洞分析”、“利用测试”、“报告编写”等多个看板列，完整跟踪其生命周期。

4.3 报告生成与知识沉淀

项目尾声，Leantime的“报告”功能就派上用场了。

1. 进度报告 ：在项目概览或报告部分，可以快速查看所有任务的完成状态、每个成员的时间投入汇总。这对于项目经理评估项目健康度和工作量分配非常直观。
2. 成果汇总 ：通过看板视图，筛选“已完成”列的所有任务，这些就是本次渗透测试发现的所有问题点。每个任务里详细的描述、评论和附件，构成了漏洞报告的第一手素材。
3. 知识库关联 ：Leantime的“思维导图”功能非常适合做知识沉淀。你可以创建一个名为“常见Web漏洞检查清单”的思维导图，每个节点是一种漏洞类型（如SQLi、XSS、SSRF），节点下可以链接到具体的任务（例如之前那个SQL注入任务）。这样，这个思维导图就变成了一个活的、可追溯的团队知识库。新成员入职，让他看这个思维导图，点进去就能看到历史上的真实案例和解决过程。

与NAS的深度集成技巧 ：

• 统一文档根目录 ：在NAS上建立 安全项目/客户名/项目名/ 的目录结构。在Leantime的项目描述或一个专门的“文档任务”中，贴上这个目录的访问链接（如SMB路径）。所有团队成员都养成习惯，将产出文件存于此。
• 使用WebDAV ：为上述目录开启WebDAV服务。这样，在Leantime的任务附件中，甚至可以直接以 http://你的NAS IP:5005/安全项目/... 的形式引用文件，点击即可在浏览器预览或下载，无需切换窗口去访问网络驱动器。
• 备份策略 ：Leantime的数据库（MariaDB容器）和上传文件（ userfiles 目录）都已持久化在NAS上。你可以直接利用NAS自有的快照或备份套件，对整个 docker/leantime 目录进行定期备份，实现项目管理数据的全量保护。

5. 安全加固与性能调优指南

将服务部署在内部网络，不代表可以高枕无忧。遵循安全最小化原则，我们需要对这个自建平台进行一些加固和优化。

5.1 基础安全配置

1. 修改默认端口 ：我们部署时已经将容器内部的80端口映射到了NAS的8080端口，这本身就是一个改变默认端口的操作。如果8080也被其他服务占用，可以换成其他高端口（如8081, 8888等）。
2. 启用HTTPS ：内网服务也建议使用HTTPS，特别是如果涉及远程访问。有两种主流方案：
   • NAS反向代理 ：群晖等NAS自带反向代理套件（如“应用程序门户”或Nginx Proxy Manager）。你可以为 leantime.your-nas.local 这样的域名配置反向代理，指向 http://localhost:8080 ，并在此反向代理配置中申请和配置SSL证书（Let‘s Encrypt免费证书）。
   • Leantime容器内配置 ：更复杂，需要自定义镜像或挂载证书文件，不推荐新手。
3. 防火墙规则 ：在NAS的防火墙设置中，仅允许必要的IP段（如公司内网IP范围）访问8080端口。如果完全不需要外网访问，则只允许局域网IP。
4. Leantime后台安全 ：
   • 强密码策略 ：要求所有团队成员设置强密码，并定期更换。
   • 双因素认证 ：检查Leantime是否有相关插件或新版本支持，如有则启用。
   • 定期更新 ：关注Leantime GitHub仓库的Release，定期通过更新Docker镜像来升级版本，修复安全漏洞。

5.2 性能优化与日常维护

1. 资源限制 ：在Container Manager中，为Leantime和MariaDB容器设置CPU和内存限制，防止某个容器异常占用全部资源影响NAS其他服务。对于小型团队，Leantime容器分配512MB-1GB内存，MariaDB分配256MB-512MB内存通常足够。
2. 数据库优化 ：
   • 定期登录MariaDB容器（ docker exec -it mariadb-leantime mysql -u root -p ），对 leantime 数据库执行 OPTIMIZE TABLE 操作，或者通过phpMyAdmin（如果安装了）进行优化。
   • 考虑为任务表、时间跟踪表等大表增加索引（如果你有数据库管理经验）。
3. 日志管理 ：Leantime和PHP的日志默认可能在容器内。建议通过Docker的日志驱动配置，或者将日志目录也映射到NAS上（如 .../leantime/logs ），方便问题排查。定期清理旧日志。
4. 备份与恢复演练 ：前面提到了备份 docker/leantime 目录。务必定期（如每周）进行备份，并 至少进行一次恢复演练 ：在测试环境中，用备份的数据库文件和配置文件，重新部署容器，验证是否能完整恢复数据。备份无效等于没有备份。

5.3 常见问题与故障排查实录

在实际使用中，你可能会遇到以下问题。这里记录了我的排查思路和解决方法。

最后再分享一个小技巧 ：对于需要严格审计的安全项目，可以利用Leantime的“活动流”功能。项目内几乎所有的操作（创建任务、更新状态、添加评论、上传文件）都会在活动流中留下记录。这不仅是团队协作的痕迹，在需要回溯“谁在什么时候做了什么”时，它就是一个天然的审计日志。配合NAS存储的不可篡改特性（如启用Btrfs快照），整个项目的过程与产出就构成了一个可信的电子证据链。这套组合拳下来，无论是内部协作效率，还是对外交付的专业度，都能提升一个档次。