1. 目录权限与路径检查
AI 网页通的所有文件访问请求必须经过底层的 Permission Guard 引擎检查：
- 真实物理路径解析：对于任何相对路径、
..向上跳跃路径，系统首先使用filepath.EvalSymlinks解析出目标在操作系统的真实物理绝对路径。 - 符号链接 (symlink) 逃逸防护：即使白名单目录内创建了指向系统根目录的软链接，路径校验也会直接抓取链接指向的实际目标，若实际目标不在白名单内，坚决拒绝访问。
- 白名单外物理拒绝：任何未包含在授权目录前缀内的操作，直接抛出物理级
ACCESS_DENIED错误，不予读取或改写。
2. 敏感路径与凭据防护
即使某个敏感文件碰巧被放置在授权目录内，系统内置的硬编码敏感特征阻断器也会生效：
默认硬编码拦截的敏感对象包括：
.ssh 密钥与配置、.aws / .kube 云凭据、.env 环境变量配置、私钥文件 (.pem, .key)、Shell 历史记录 (.bash_history, .zsh_history)、macOS Keychain、Windows 凭据管理器。
3. 受控命令执行机制
命令执行是高阶能力，其保护策略包括：
- 独立全局开关：用户未在客户端面板显式启用前，命令执行 API 处于硬封锁状态。
- 破坏性指令黑名单拦截：系统内置危险指令过滤引擎，对格式化磁盘、删除操作系统关键系统目录 (
rm -rf /,del /f /s /q C:\\)、关机、重启等命令直接拦截。 - 操作系统权限约束：命令永远只能以当前电脑登录的普通用户权限执行，不会提升至 root 或 Administrator 权限。
4. 安全边界明确声明
特别声明
AI 网页通不是操作系统级完全隔离沙箱。 它通过白名单与应用级安全护栏限制 AI 的行为，但无法替代操作系统本身的安全策略。请务必遵守最小权限原则，不要在生产主服务器上开放包含关键资产的目录。
5. 身份认证与设备绑定
连接链路上拥有完整的身份防伪造保护：
- 设备唯一指纹绑定：每个客户端在首次激活时生成唯一的设备密钥对，中转网络与本地守护进程之间通过加密鉴权通信。
- 防止未授权窜连：外部人员即使探测到中转地址，由于缺少正确的授权凭据与用户验证，无法向你的电脑发送任何指令。
6. 本地审计日志
所有经过客户端处理的动作均写入本地日志文件，记录内容包括：
[2026-10-04 15:32:01] TOOL: read_file
TARGET: /Users/me/Projects/App/main.go
STATUS: ALLOWED
DURATION: 1.2ms
[2026-10-04 15:33:14] TOOL: read_file
TARGET: /Users/me/.ssh/id_ed25519
STATUS: BLOCKED (Rule: Sensitive Path Match)
DURATION: 0.4ms用户可随时在面板中点击「查看日志」审计 AI 的历史所有操作。