安全

了解 token 管理、HTTPS 校验与访问边界。

Token

• 每个 token 可以独立停用或删除，建议按设备/用途分配。
• token 可放在 token 查询参数或 x-proxy-token 请求头。
• URL 中的 token 可能出现在访问日志或 Referer 中；能使用请求头时优先使用请求头。
• 定期轮换：创建新 token，切换调用方，再停用旧 token。

HTTPS

• 访问 HTTPS 目标时执行证书链校验。
• 不会因为节点证书配置而关闭目标证书校验。
• HTTP 目标不提供传输加密，仅建议用于兼容性场景。

访问边界

• 目标只允许 http 与 https。
• 默认限制内网、回环与保留地址。
• 访问凭证与代理入口使用不同子域，管理密码只用于管理入口。

管理入口

• 管理员通过独立的管理入口登录，不对外公开。
• 登录会话有效期 12 小时。
• 停用默认 token 后，使用旧值会返回 403。