Add files via upload

docs/zh-CN/asset-management.md

@@ -2,7 +2,7 @@
 
 [English](../en-US/asset-management.md)
 
-资产管理用于将手工录入、FOFA、HTTP API 和 Agent 任务中发现的域名、IP、端口与服务统一归档，形成可持续维护的资产基线。它关注三个问题：当前拥有哪些资产、哪些资产已经检查、风险集中在哪里。
+资产管理用于将手工录入、网络空间测绘搜索、HTTP API 和 Agent 任务中发现的域名、IP、端口与服务统一归档，形成可持续维护的资产基线。它关注三个问题：当前拥有哪些资产、哪些资产已经检查、风险集中在哪里。
 
 > 资产管理面向安全测试和攻击面治理，不替代完整的企业 CMDB。仅可录入和扫描自有系统或已获得明确授权的目标。
 
@@ -12,7 +12,7 @@
 
 - **资产概览**：统计资产总量、IP、域名、端口、近期变化、扫描覆盖率和协议分布。
 - **资产库**：维护资产身份、服务信息、来源、标签、项目归属、责任与业务属性、扫描记录和风险状态。
-- **信息收集**：查询 FOFA，并将确认归属的结果单条或批量写入资产库。
+- **信息收集**：查询 FOFA、ZoomEye、Quake 或 Shodan，并将确认归属的结果单条或批量写入资产库。
 
 资产可以进一步发起单目标分析或批量扫描。Agent 保存漏洞并完成扫描回写后，资产列表会同步展示相关漏洞数量、风险等级和最近扫描时间。
 
@@ -95,13 +95,14 @@ example.com
 - 批量导入需要 `asset:write` 权限。填写项目时，当前用户还必须有权访问该项目。
 - 不建议取消服务端条数上限。更大规模的数据应拆分文件并在低峰期导入。
 
-### 从 FOFA 导入
+### 从网络空间测绘搜索导入
 
-1. 在配置文件或 **系统设置 → 资产管理** 中填写 FOFA API Key，也可使用 `FOFA_API_KEY` 环境变量。
+1. 在配置文件或 **系统设置 → 资产管理** 中填写对应 API Key，也可使用环境变量：`FOFA_API_KEY`、`ZOOMEYE_API_KEY`、`QUAKE_API_KEY`、`SHODAN_API_KEY`。
 2. 进入 **资产管理 → 信息收集**。
-3. 输入或生成 FOFA 查询语句，并确认查询范围。
-4. 执行查询，选择确认归属的结果后点击 **入库所选**。
-5. 根据返回的新增、更新和跳过数量检查导入结果。
+3. 选择数据源：FOFA、ZoomEye、Quake 或 Shodan。
+4. 输入或生成该数据源的查询语句，并确认查询范围。
+5. 执行查询，选择确认归属的结果后点击 **入库所选**。
+6. 根据返回的新增、更新和跳过数量检查导入结果。
 
 外部搜索结果不等同于自有资产。建议先通过组织域名、证书、网段或产品指纹缩小范围，确认授权后再入库。
 
@@ -225,7 +226,7 @@ HTTP API 和 `query_assets` 还支持 `max_vulnerabilities`、最近扫描时间
 1. 划定一组明确授权的域名、IP 或网段。
 2. 手工加入少量核心目标，验证识别和去重结果。
 3. 使用标签区分生产、测试、核心业务和外网范围。
-4. 配置 FOFA，从窄查询开始并确认资产归属。
+4. 配置一个或多个网络空间测绘搜索引擎，从窄查询开始并确认资产归属。
 5. 对单个低风险目标测试扫描和漏洞回写流程。
 6. 使用“从未扫描”和“超过 30 天未扫描”筛选覆盖盲区。
 7. 确认流程稳定后，再逐步创建小规模批量任务。

docs/zh-CN/rbac.md

@@ -94,13 +94,15 @@ AI 测试角色不是安全授权边界。即使选择了“渗透测试”角
 | 机器人 | `robot:read`、`robot:write` |
 | 文件 | `files:read`、`files:write`、`files:delete` |
 | 攻击链 | `attackchain:read`、`attackchain:write` |
-| FOFA | `fofa:execute` |
+| 网络空间测绘 / 信息收集 | `fofa:execute` |
 | OpenAPI | `openapi:read` |
 | 对话分组 | `group:read`、`group:write`、`group:delete` |
 | 执行监控 | `monitor:read`、`monitor:write`、`monitor:delete` |
 
 特殊权限说明：
 
+- `fofa:execute` 为兼容旧版本保留权限名，现在保护 **信息收集** 页中的 FOFA、ZoomEye、Quake、Shodan 查询。
+
 - `agent:execute` 允许运行 Agent，但不自动允许本地文件系统、Shell 或任意配置命令。
 - `agent:local-execute` 是本地执行兜底权限，应仅授予可信操作员。
 - `mcp:execute` 用于访问认证后的 MCP HTTP 入口。