XClawLink

XClawLink 采用纵深防御策略，在三个层面构建安全屏障：身份认证确保只有合法用户和设备能接入系统；通信加密保障数据在传输过程中无法被窃听和篡改；权限控制在每一个操作环节实施最小权限原则，确保用户只能执行其授权范围内的操作。三层机制相互独立又彼此补充，形成完整的安全防护体系。

安全机制详解

深入理解每一层安全机制的工作原理和配置方式

🔐

分层身份认证

XClawLink 采用三层认证机制确保连接来源可信：

用户认证 — Portal 管理员通过邮箱+密码登录，基于 JWT 管理后台。CLI 用户通过 JWT Token 或 OTP 发起操作请求。
设备认证 — 每次设备连接使用独立 OTP（一次性密码），用完即失效，防止重放攻击。Proxy 验证 OTP 后签发 Session Key。
会话认证 — OTP 验证通过后建立加密会话，后续所有通信使用 Session Key 维持身份，无需重复认证。会话具有 TTL 超时机制，闲置自动断开。

Agent — config.yaml
proxy:
 url: "wss://proxy:9443/agent"
 device_id: "device-001"

security:
 token: "<jwt-token>"
 otp: "5747877e"
 tenant_id: "test-tenant-id"

🔒

通信加密

XClawLink 提供多层通信加密机制，确保数据传输全链路安全：

传输层加密 (TLS/SSL) — 所有 WebSocket 连接支持 WSS 协议，使用 TLS 加密传输通道，防止中间人攻击和数据窃听。
KCP 协议加密 — 对于 P2P 直连场景，使用 KCP 快速传输协议，支持 AES 等多种加密算法，在 UDP 层提供数据加密。
端到端加密 (E2E) — 可选启用 ECDH 密钥交换的端到端加密，CLI 和 Agent 之间协商会话密钥，中继节点无法解密业务数据，确保数据在服务端也不可见。

CLI — config.yaml
encryption:
 e2e_enabled: false
 e2e_key_ttl: "24h"
 tls_enabled: false
 tls_cert_path: ""
 tls_key_path: ""
 keys_dir: "$HOME/.xclawlink/keys"

kcp:
 enabled: true
 key: "xclawlink-kcp-key"
 crypt: 1 # 0=none 1=aes
 mode: "fast2"

🛡️

权限管理

XClawLink 提供细粒度的权限控制体系，覆盖从管理后台到远程目标的全链路：

Portal 角色权限 — Portal 管理员拥有全部管理权限（设备管理、Token 管理、审计查看）；普通用户仅可查看状态和日志。
CLI 操作权限 — CLI 用户通过 Token 的 permissions 字段控制可执行操作范围，包括命令执行、文件上传下载、设备管理等，精确到读写执行。
Agent 执行权限 — Agent 端配置命令白名单和文件目录限制，<code>allowed_dirs</code> 限制文件操作目录，<code>max_command_length</code> 限制命令长度，防止越权访问系统关键路径。

Agent — config.yaml
security:
 allowed_dirs:
 - "/tmp"
 - "/var/tmp"
 max_command_length: 4096
system:
 max_concurrent_commands: 4
 command_timeout_seconds: 300
 max_cpu_percent: 80.0
 max_memory_mb: 512

安全保障

安全机制详解

分层身份认证

通信加密

权限管理