安全模型

先说不承诺什么

安全页通常从「我们保护你」开始。这一页从边界开始，因为一个说不清边界的承诺没有用。

边界

画布上的授权是产品护栏，不是安全边界

Termspace 里所有终端和应用本身跑在同一个用户身份下。底层是 tmux，而任何已经能在你机器上执行命令的进程，都可以直接向那些会话发送按键 —— 绕开画布上的连线、弹窗、开关，一个都不经过。

所以「连线即授权」防的是：agent 拿错账号、连错数据库、把活派到你没打算派的地方，以及你自己手滑。它不防一个已经拿到你 shell 的攻击者 —— 那种情况下，你的 ssh 私钥和浏览器 cookie 早就没了，Termspace 的弹窗是最不重要的一环。

这句话同样写在项目的开发文档和代码注释里。任何时候有人（包括我们自己）把它描述成安全机制，那是错的。

做到的

在那条边界之内，具体做了这些

每一条都给出它挡住的那个具体场景。挡不住什么也一并写。

凭证只在主进程里存在 safeStorage 用系统钥匙串加密后落盘。界面层从设计上就拿不到值，只拿得到有哪些变量名 —— 已保存的明文永不回传给界面。所以任何界面上的 bug 都泄不出凭证内容。
数据库和 ssh 连接「用得到，拿不到」 tb db / tb ssh agent 提交一条 SQL，主进程拿着连接串去跑，只把结果还回去。密码走环境变量，绝不进命令行参数 —— 同一台机器上所有用户都能看到进程的参数表。只读连接会在客户端和服务端各设一道，并拒绝多语句与客户端元命令。
每个浏览器节点一个独立登录空间按节点分区否则 agent 拿到自己节点的授权后，只要导航到你在别的节点登录过的站，就白拿登录态。分区参数形状不对时一律落到一次性空间，绝不退回共享的默认空间。
远程访问只绑回环或 Tailscale 网卡形态判定永远不提供绑定所有网卡的选项。判定 Tailscale 网卡用的是网卡形态（地址段 + 掩码 + 硬件地址），不是只看地址段 —— 酒店和校园网络会把同一段地址发给物理网卡，只看段就会把服务开到公共 Wi-Fi 上。找不到 Tailscale 时退回回环，并在设置里如实标注，绝不退到物理网卡。
导入别人的画布不会执行任何东西导入前净化画布文件里可以带每个终端的启动命令，那会在第一次开会话时进 shell。导入时全部摘掉，同时摘掉账号绑定 —— 否则别人的画布会静默用上你的订阅号并按它计费。 你选择打开一个文件，不等于同意执行它。
派活只进活着的 agent 会话 fail-closed 判定状态判定拿不准时一律拒绝。检查和真正写入之间如果还有异步等待，落笔那一刻会再查一遍 —— 那几毫秒足够 agent 退出，那时终端里是光秃秃的 shell，任务正文就成了直接执行的命令。
安全开关只往收紧的方向失败先改内存再落盘关掉一个开关时先让它立刻生效，再写磁盘。反过来的话，写盘失败会让界面显示「已关闭」而实际还开着。
敏感文件在创建那一刻就是私有的创建即设权限不是「先写完再改权限」—— 那中间有一个几毫秒的窗口文件是全局可读的，而监听目录事件就能守到。

数据

东西存在哪，谁能看到

什么	存在哪	出网吗
凭证内容	本机，系统钥匙串加密	不出网
画布布局 / 节点	本机 JSON，原子写 + 备份	不出网
终端滚动历史	本机文件	不出网
派活与授权记录	本机追加式日志	不出网
额度数据	不落盘，内存里	向对应厂商的官方接口查询
崩溃日志	本机	不自动上传

没有账号体系，没有服务端。 Termspace 不向我们的服务器发送任何东西 —— 我们没有那样的服务器。唯一的固定出站是检查更新（见下），其余全部是你自己配置的 agent 在跟它们各自的厂商说话。

更新

更新链条到底保证了什么

更新包会替换掉整个应用，所以这条链的每一环都值得说清楚 —— 包括每一环不保证什么。

环节	保证	不保证
HTTPS	连上的确实是那个地址的服务器，传输中没被改	那台服务器可信
校验和	下载到的文件完整、没损坏	发布者身份 —— 控制了发布目录的人可以给恶意包算一个匹配的校验和
代码签名	候选包的签名与当前正在运行的这个应用同源	它来自官方目录、版本更新、通过了公证、私钥没泄漏

结论：这条链的信任根是发布目录的控制权，代码签名是最后一道防线而不是第一道。更新源地址在设置里可以改 —— 这有代价，所以界面上会显著提示当前生效的域名。只接受 HTTPS，明文地址一律拒绝。

装不装你说了算

后台检查、后台下载，但绝不自动安装、绝不在退出时静默替换。终端里跑着你的活，自动重启会把正在进行的 agent 对话掐掉。

不会降级

签名本身不提供版本单调性，防降级完全靠这一层，所以它是显式写死的。

修过的

发布前审计拦下的三个

写出来不是为了显得坦诚 —— 是因为它们说明了这套东西的失效模式长什么样： 不报错，测试全绿，只是安静地做了错误的事。

只读的数据库连接可以读出连接串里的密码严重 psql 有一类以反斜杠开头的命令是客户端行为，其中一个能执行任意本机命令。三道闸一道都拦不住，因为它们管的都不是这件事：一道看 SQL 开头的关键字，一道找分号，一道设的是服务端的事务只读属性。于是 broker 存在的唯一理由 —— agent 用得到、拿不到凭证 —— 被整个抹掉。现在任何一行以反斜杠开头都直接拒绝，可写连接同样拒（「可写」授权的是那个数据库，不是这台机器）。
打开别人发来的画布等于执行里面的命令严重画布文件里带着每个终端的启动命令。确认框只说了「替换画布」，没说「并执行其中的命令」。现在导入时全部摘掉。
浏览器节点共用一套 Cookie 中授权是按节点发的，而登录态是共享的 —— agent 拿到一个节点的授权，导航一下就能用上另一个节点的登录态。现在每个节点一个独立分区。

这三个都不是在写代码时发现的，是在发布前专门做一遍审计时发现的 —— 改动审查看的是「这次改了什么」，而它们不在任何一次改动里。

报告

发现问题

如果你找到了这一页没说清的问题，或者发现某句话与实际实现不符，请告诉我们。 「文档描述与实现不符」本身就算一个有效报告 —— 这一页的价值全在于它是准确的。

软件当前处于早期阶段。它跑在你的开发机上、握着你的账号凭证，请按这个前提评估要不要用。