建議採用一個簡單而清晰嘅信任邊界：網關留喺可信 VPS，由現有可信業務後端負責對外接入。不可信開發環境只取得受限嘅呼叫權限；小程式只使用業務功能，唔直接接觸通用網關。

呢個做法毋須一開始就加 Nginx、負載均衡或者複雜防火牆。不過，亦唔應承諾完全冇額外時延。

先留意目前程式嘅安全缺口

• 現時啟動入口預設監聽所有網絡介面，唔係只監聽本機。見 main.go。喺可信 VPS 上，建議令網關明確綁定本機回環地址，唔好直接暴露到公網。
• 主路由未接入呼叫方鑑權，而且註冊咗模型目錄、統計，以及兩組聊天路徑。見 internal/api/chat.go。唔可以因為客戶端填咗密鑰，就當入口已經受保護。
• 專案有舊版鑑權中間件，但係面向 Gin；目前啟動鏈用標準 HTTP 路由，而已檢視嘅主路由冇調用呢個中間件。見 middlewares/auth.go、main.go。單靠設定舊版鑑權環境變數，唔足以證明現時入口安全。
• 現有准入設定明確係本地試驗用途，並要求每個客戶端限額為零，唔可以當作已備妥嘅生產環境多用戶限流。見 internal/chatadmission/config.go、internal/chatadmission/config.go。

1. 不可信開發環境：遠程呼叫，唔好喺嗰度部署網關

建議鏈路：不可信開發 VPS → HTTPS 受限開發入口〔可信業務後端〕→ 私有連線 → 網關〔可信 VPS〕。

• 原始碼、建置流程、網關運行實例同上游憑證全部留喺可信環境。不可信 VPS 只配置呼叫地址同開發專用憑證。
• 開發入口可以保留現有客戶端需要嘅聊天協議，但只開放必要嘅方法、路徑同模型；唔提供統計、管理、任意轉發或者帳戶能力。
• 每個開發環境用獨立憑證，設定短有效期、可撤銷，並限制模型白名單、請求大小、並發數同累計預算。開發憑證同正式業務憑證要完全分開。
• 憑證驗證同預算扣減必須喺可信後端執行，唔好依賴不可信環境入面嘅設定或者檢查程式。

**安全邊界要講清楚：**如果主機管理員唔可信，就要當該環境入面嘅憑證、請求同回應都有機會被讀取或者篡改。短期憑證唔會令洩漏變得不可能，只可以限制損失；普通容器、派發二進制檔或者程式混淆，都唔可以當成能夠瞞過主機管理員嘅保密措施。

所以，目標唔係「令不可信 VPS 持有一把偷唔走嘅主密鑰」，而係「主密鑰永遠唔進入嗰個環境；即使開發權限外洩，都可以撤銷，而且損失有上限」。真正敏感嘅開發內容仍然應該留喺可信環境。

唔建議由不可信 VPS 用 SSH 隧道直連目前未有鑑權嘅網關：一旦隧道身份被盜，原有嘅限制可能就會被繞過。若必須用隧道，只准連到受限開發入口，唔好連到原始網關或者其他私網服務。

2. 小程式公開試用：開放業務功能，唔好開放通用網關

建議鏈路：微信小程式 → 現有可信業務後端〔登入、額度、Agent〕→ 私有連線 → 網關 → 上游模型。

• 沿用業務登入狀態。微信官方流程係由客戶端取得臨時登入憑證，再由服務端換取用戶標識並建立自訂登入狀態；會話密鑰唔應該下發到客戶端。9
• 小程式只提交職位描述、職位要求同必要嘅個人經歷，唔持有網關主密鑰，亦唔直接選擇任意模型、系統提示或者工具。
• 喺現有後端增加「個人亮點優化」業務入口，由後端固定模型候選、提示模板、可用搜尋能力同輸出格式。唔好只係透傳一個冇限制嘅聊天代理。
• 用後端驗證過嘅登入狀態識別用戶，唔好信任請求正文自行填寫嘅用戶標識。按用戶分開管理任務、上下文同額度，避免歷史資料串用。
• 設定每位用戶嘅額度、每項任務可調用模型同工具嘅次數、輸入輸出上限，以及全站試用總預算同緊急停用開關。免費試用都要有預算上限。
• 多步 Agent 由後端執行，而且每一步都扣同一項任務預算。取消、逾時同重試都要受預算限制，避免探索循環無限增加呼叫。
• 如果現有後端有多個工作進程，額度預留同結算應使用現有資料庫嘅交易能力統一處理；唔好由每個進程各自計算總預算。

小程式可以繼續使用現有 HTTPS 業務域名。微信一般要求預先設定小程式可連線嘅伺服器域名，因此毋須另外向小程式暴露網關域名。7

3. 私有連線與時延：先沿用現有 SSH 隧道

• 如果後端同網關喺同一部可信主機，優先用本機連線。
• 如果分別喺兩部可信主機，第一階段沿用現有常駐 SSH 隧道，由可信業務後端連到網關；唔好每個請求都重新建立隧道。
• SSH 使用專用、只容許端口轉發嘅身份，並限制可連接嘅目標端口。網關綁定本機地址；隧道斷開就拒絕呼叫，唔好退回無保護嘅公網入口。
• 空白呼叫密鑰只適用於已受控嘅內部連線，而且要確認同一主機上其他進程都屬於信任範圍。任何面向不可信環境嘅入口，都必須真正驗證獨立憑證。
• 只有實測證明現有隧道成為瓶頸，先考慮喺兩部可信主機之間改用 WireGuard。WireGuard 支援基於對端密鑰嘅認證同加密，但唔代表你嘅實際連線一定會更快。1216

呢個方案唔新增第三方中轉，亦唔要求再部署一層反向代理。業務後端應盡量重用連線、及時轉發串流輸出，並將小程式斷線傳遞到執行中嘅任務。

目前未有足夠證據估算實際會增加幾多時延。應分開量度後端到網關嘅網絡時間、首段輸出時間同整項任務完成時間，再比較中位數同較高分位數；中國內地連到網關及上游嘅實際線路亦要另外驗證。

另外，「快速模型」唔可以只睇個名。現有候選測試要求預設仍保持深度模式、高推理同詳細輸出，亦明確表示測試唔能夠證明實際上游可用或者延遲表現。見 internal/upstream/studioglobal/registry_fast_models_test.go、internal/upstream/studioglobal/registry_fast_models_test.go。建議為亮點優化另外設計同實測輕量業務預設，唔好直接改動現有開發預設。

4. 最小落地次序與驗收

1. 收緊網關監聽範圍，確認公網同不可信開發環境都無法繞過後端直連網關。
2. 喺可信後端建立兩種權限範圍：受限開發呼叫，以及公開試用業務呼叫；兩者分開管理憑證同預算。
3. 實作有上限嘅 Agent、額度預留、取消傳遞同串流輸出；同時保留全站預算上限。
4. 驗收：冇憑證或者已撤銷憑證會被拒絕；開發權限無法存取管理路徑；用量耗盡即停止；不同用戶嘅上下文互相隔離；多步呼叫同重試都唔會超出任務預算。
5. 先小規模試用並量度時延，再決定要唔要更換私有傳輸方式或者拆分實例。

非目標與正式開放前要確認嘅事項

• 本次建議唔代表已實施、部署或測試，亦冇寫入 ADR 或計劃檔案；以上只係架構建議，唔代表安全部署已獲驗證。
• 第一階段唔建設負載均衡、服務網格或者長期 Agent 平台；單一實例嘅故障風險同容量上限係明確接受嘅取捨。
• 上游係咪容許向公眾提供試用、個人經歷資料實際會流向邊度，以及相關合規要求，目前證據不足，正式開放前要先確認。建議只提交必要、並盡量去識別化嘅資料，亦唔好記錄完整履歷正文或者憑證。

**總結：**原始碼同主憑證留喺可信環境；開發端只取得受限權限；小程式只取得業務能力；內部連線沿用受控私有通道。先做好鑑權、預算同任務邊界，唔使急住增加基礎設施層數。

建議採用一個簡單而清晰嘅信任邊界：網關留喺可信 VPS，由現有可信業務後端負責對外接入。不可信開發環境只取得受限嘅呼叫權限；小程式只使用業務功能，唔直接接觸通用網關。

呢個做法毋須一開始就加 Nginx、負載均衡或者複雜防火牆。不過，亦唔應承諾完全冇額外時延。

先留意目前程式嘅安全缺口

• 現時啟動入口預設監聽所有網絡介面，唔係只監聽本機。見 main.go。喺可信 VPS 上，建議令網關明確綁定本機回環地址，唔好直接暴露到公網。
• 主路由未接入呼叫方鑑權，而且註冊咗模型目錄、統計，以及兩組聊天路徑。見 internal/api/chat.go。唔可以因為客戶端填咗密鑰，就當入口已經受保護。
• 專案有舊版鑑權中間件，但係面向 Gin；目前啟動鏈用標準 HTTP 路由，而已檢視嘅主路由冇調用呢個中間件。見 middlewares/auth.go、main.go。單靠設定舊版鑑權環境變數，唔足以證明現時入口安全。
• 現有准入設定明確係本地試驗用途，並要求每個客戶端限額為零，唔可以當作已備妥嘅生產環境多用戶限流。見 internal/chatadmission/config.go、internal/chatadmission/config.go。

1. 不可信開發環境：遠程呼叫，唔好喺嗰度部署網關

建議鏈路：不可信開發 VPS → HTTPS 受限開發入口〔可信業務後端〕→ 私有連線 → 網關〔可信 VPS〕。

• 原始碼、建置流程、網關運行實例同上游憑證全部留喺可信環境。不可信 VPS 只配置呼叫地址同開發專用憑證。
• 開發入口可以保留現有客戶端需要嘅聊天協議，但只開放必要嘅方法、路徑同模型；唔提供統計、管理、任意轉發或者帳戶能力。
• 每個開發環境用獨立憑證，設定短有效期、可撤銷，並限制模型白名單、請求大小、並發數同累計預算。開發憑證同正式業務憑證要完全分開。
• 憑證驗證同預算扣減必須喺可信後端執行，唔好依賴不可信環境入面嘅設定或者檢查程式。

**安全邊界要講清楚：**如果主機管理員唔可信，就要當該環境入面嘅憑證、請求同回應都有機會被讀取或者篡改。短期憑證唔會令洩漏變得不可能，只可以限制損失；普通容器、派發二進制檔或者程式混淆，都唔可以當成能夠瞞過主機管理員嘅保密措施。

所以，目標唔係「令不可信 VPS 持有一把偷唔走嘅主密鑰」，而係「主密鑰永遠唔進入嗰個環境；即使開發權限外洩，都可以撤銷，而且損失有上限」。真正敏感嘅開發內容仍然應該留喺可信環境。

唔建議由不可信 VPS 用 SSH 隧道直連目前未有鑑權嘅網關：一旦隧道身份被盜，原有嘅限制可能就會被繞過。若必須用隧道，只准連到受限開發入口，唔好連到原始網關或者其他私網服務。

2. 小程式公開試用：開放業務功能，唔好開放通用網關

建議鏈路：微信小程式 → 現有可信業務後端〔登入、額度、Agent〕→ 私有連線 → 網關 → 上游模型。

• 沿用業務登入狀態。微信官方流程係由客戶端取得臨時登入憑證，再由服務端換取用戶標識並建立自訂登入狀態；會話密鑰唔應該下發到客戶端。9
• 小程式只提交職位描述、職位要求同必要嘅個人經歷，唔持有網關主密鑰，亦唔直接選擇任意模型、系統提示或者工具。
• 喺現有後端增加「個人亮點優化」業務入口，由後端固定模型候選、提示模板、可用搜尋能力同輸出格式。唔好只係透傳一個冇限制嘅聊天代理。
• 用後端驗證過嘅登入狀態識別用戶，唔好信任請求正文自行填寫嘅用戶標識。按用戶分開管理任務、上下文同額度，避免歷史資料串用。
• 設定每位用戶嘅額度、每項任務可調用模型同工具嘅次數、輸入輸出上限，以及全站試用總預算同緊急停用開關。免費試用都要有預算上限。
• 多步 Agent 由後端執行，而且每一步都扣同一項任務預算。取消、逾時同重試都要受預算限制，避免探索循環無限增加呼叫。
• 如果現有後端有多個工作進程，額度預留同結算應使用現有資料庫嘅交易能力統一處理；唔好由每個進程各自計算總預算。

小程式可以繼續使用現有 HTTPS 業務域名。微信一般要求預先設定小程式可連線嘅伺服器域名，因此毋須另外向小程式暴露網關域名。7

3. 私有連線與時延：先沿用現有 SSH 隧道

• 如果後端同網關喺同一部可信主機，優先用本機連線。
• 如果分別喺兩部可信主機，第一階段沿用現有常駐 SSH 隧道，由可信業務後端連到網關；唔好每個請求都重新建立隧道。
• SSH 使用專用、只容許端口轉發嘅身份，並限制可連接嘅目標端口。網關綁定本機地址；隧道斷開就拒絕呼叫，唔好退回無保護嘅公網入口。
• 空白呼叫密鑰只適用於已受控嘅內部連線，而且要確認同一主機上其他進程都屬於信任範圍。任何面向不可信環境嘅入口，都必須真正驗證獨立憑證。
• 只有實測證明現有隧道成為瓶頸，先考慮喺兩部可信主機之間改用 WireGuard。WireGuard 支援基於對端密鑰嘅認證同加密，但唔代表你嘅實際連線一定會更快。1216

呢個方案唔新增第三方中轉，亦唔要求再部署一層反向代理。業務後端應盡量重用連線、及時轉發串流輸出，並將小程式斷線傳遞到執行中嘅任務。

目前未有足夠證據估算實際會增加幾多時延。應分開量度後端到網關嘅網絡時間、首段輸出時間同整項任務完成時間，再比較中位數同較高分位數；中國內地連到網關及上游嘅實際線路亦要另外驗證。

另外，「快速模型」唔可以只睇個名。現有候選測試要求預設仍保持深度模式、高推理同詳細輸出，亦明確表示測試唔能夠證明實際上游可用或者延遲表現。見 internal/upstream/studioglobal/registry_fast_models_test.go、internal/upstream/studioglobal/registry_fast_models_test.go。建議為亮點優化另外設計同實測輕量業務預設，唔好直接改動現有開發預設。

4. 最小落地次序與驗收

1. 收緊網關監聽範圍，確認公網同不可信開發環境都無法繞過後端直連網關。
2. 喺可信後端建立兩種權限範圍：受限開發呼叫，以及公開試用業務呼叫；兩者分開管理憑證同預算。
3. 實作有上限嘅 Agent、額度預留、取消傳遞同串流輸出；同時保留全站預算上限。
4. 驗收：冇憑證或者已撤銷憑證會被拒絕；開發權限無法存取管理路徑；用量耗盡即停止；不同用戶嘅上下文互相隔離；多步呼叫同重試都唔會超出任務預算。
5. 先小規模試用並量度時延，再決定要唔要更換私有傳輸方式或者拆分實例。

非目標與正式開放前要確認嘅事項

• 本次建議唔代表已實施、部署或測試，亦冇寫入 ADR 或計劃檔案；以上只係架構建議，唔代表安全部署已獲驗證。
• 第一階段唔建設負載均衡、服務網格或者長期 Agent 平台；單一實例嘅故障風險同容量上限係明確接受嘅取捨。
• 上游係咪容許向公眾提供試用、個人經歷資料實際會流向邊度，以及相關合規要求，目前證據不足，正式開放前要先確認。建議只提交必要、並盡量去識別化嘅資料，亦唔好記錄完整履歷正文或者憑證。

**總結：**原始碼同主憑證留喺可信環境；開發端只取得受限權限；小程式只取得業務能力；內部連線沿用受控私有通道。先做好鑑權、預算同任務邊界，唔使急住增加基礎設施層數。