平台运维台
使用 .env 中的 OPS_ACCOUNT / OPS_PASSWORD 登录后进入运维台。运维身份只管理平台资源：它不能读取班级文件、会话或学生业务数据，对业务接口一律返回 404；「问 Agent」在运维台也不会检索班级资料。
| 页面 | 内容 |
|---|---|
| 班级与班管 | 开启班级、任命或更换班管、停用与归档班级 |
| 模板库 | 评分方案模板的上架与下架 |
| Agent 配置 | 模型供应商与用途路由、平台知识、知识库与用量上限 |
| 邮件与通知 | 发信供应商、密钥、域名、模板、限流与投递状态 |
| 队列与任务 | 积压、死信重投、Worker 心跳与定时任务 |
| 备份与恢复 | 备份计划、保留期、异地目标与恢复演练 |
| 开关与阈值 | 维护模式、开放注册、上传、并发与限流，以及登录页校徽 |
| 组件健康 | API、PostgreSQL、Redis、Garage 与各 Worker 的状态 |
| 部署与版本 | 前后端镜像版本、数据库迁移版本与备份状态 |
| 平台审计 | 平台配置操作的记录，不包含学生业务正文 |
班级与班管
每个班级是一个隔离的租户。开启班级时填写班级名称与第一位班管的学号、姓名；班管随后用这组学号、姓名注册。班管账号需要恢复或更换时也在这里处理。归档班级会撤销该班级账号已创建的 MCP 连接。
开关与阈值
运维页可以热调整部分运行参数，无需重启：
- 维护模式：暂停业务写入。
- 注册与上传：全平台开关。
- 限流与并发：在部署硬上限以内调整。硬上限来自环境变量
API_RATE_LIMIT_PER_MINUTE、API_RATE_LIMIT_BURST与PASSWORD_HASH_CONCURRENCY（每次 Argon2 约占 64 MiB 内存）。
公网入口仍建议在 Cloudflare 或 Ingress 层做边缘防护，应用层令牌桶只是最后一道闸。
队列与定时任务
后台工作通过 Redis Stream 投递给各 Worker，失败超过重试次数的消息进入死信，可在「队列与任务」重投。worker:maintenance 负责定时提醒、自动封存、审核时限、导出与临时文件过期清理等周期任务；各 Worker 定期写入心跳，停止上报会在「组件健康」显示。
各 Worker 的职责见命令与服务。