#安全操作

不同身份、信任 pin、管理令牌、工作负载凭据与访问授权各自解决一个问题。不要跨层复用，也不要把“已登录”误当成“已授权”。

#信任与凭据分层

• 账号会话证明“谁登录”；
• Device 私钥证明“哪次安装”；
• NSD 三类 pin 验证控制面部署/通道，不是密码；
• API Token、Webhook secret、工作负载凭据用于自动化或公网访问；
• Access Grant 决定主体最终能访问什么。

不要在这些层之间复用材料，也不要把公开 pin 当成需要隐藏的秘密，或把真正 token 误放进截图。

#最小权限

优先单 Service 而非整 Node，优先用户组而非复制规则；临时授权记录到期时间。跨 Network/账号必须显式授权并保留 owning Space。公网入口默认拒绝，匿名需要单独 allow。

#变更保护

NSD URL、trust pin、域名、认证提供方、网关 Exit 和默认路由属于高影响变更：双人复核、分批发布、正反向验证和可回退。远端配置即使签名可信，也不应静默重定向认证 authority。

#安全地提交反馈

分享截图或日志前，检查并遮盖账号、私有地址、客户域名和其他敏感信息。不要发送 API Token、私钥、完整邀请、Webhook secret 或工作负载凭据。排障通常只需要错误提示、版本、发生时间与操作步骤。

#安全使用 API

使用API 访问指南配置自动化。按任务选择最小权限的令牌，并核对其所属 Network；示例中的令牌、ID、域名和响应仅供说明，请替换为自己的值。

每次请求都需要通过服务端的鉴权与权限检查。不要把管理令牌粘贴到第三方调试网站、截图或公开文档中；使用环境变量或密钥管理工具注入，并在不再需要时撤销。