请问有计划增加认证层来放开0.0.0.0的监听吗

[SaitoAsuka1121]

如题

[PerryLink]

截至 0.1.5-rc.2（master c291e79），「认证层放开 0.0.0.0」仍未支持，且是
刻意为之：启动器直接拒绝该参数——报错原文 "error: --host 0.0.0.0 is
intentionally not supported yet for safety: it would expose remote code
execution to the network; use 127.0.0.1 instead"
（packages/bundle/web-app/src/startup.ts:74-75），并把「不支持绑定所有
网络接口」列为已知限制（packages/bundle/web-app/README.zh.md:149）。

现状可用的替代：

• 局域网访问：--host <本机局域网IP>（不要 0.0.0.0）+ --trusted-host
  host:port 显式授权；flag 定义见 startup.ts:51-54，行为说明见
  web-app/README.zh.md:52-54。
• 认证层：目前是每次启动生成的进程 token——打印的 URL 携带 token，浏览器
  换取签名 cookie 后重定向到无凭据根页面；没有用户名/密码认证
  （web-app/README.zh.md:37）。
• 远程最稳的做法仍是 SSH 转发：dsh web 在远端监听 127.0.0.1，本地
  ssh -L 3080:127.0.0.1:3080，浏览器访问本地 loopback；特权 API 的信任
  围栏对 loopback 放行（web-app/README.zh.md:56-58）。

结论：短期不要期待 0.0.0.0 + 独立认证层；远程访问用 SSH 隧道，或显式
LAN IP + --trusted-host，并意识到拿到 URL 里的 token 就等于拿到全部权限。

[drscrewdriver]

做个反代呗 分配token 权限是个问题