二的三百六十次方的门闩与纯脚本的哨兵：一条一劳永逸的公网隧道、配对码组合空间的天文数字与两振才报的软上限

移动端的配对链路系于桌面客户端的生死——客户端一关，路就断。昨日的失联催生了今日的敕令：修一条不依赖任何客户端的路，一劳永逸。

一、一条路：域名、隧道与常驻服务

施工本身克制到近乎吝啬：复用既有的隧道，新增一条域名指向记录、一条入站规则，让专属子域直通 Mac 上常驻的自托管服务——服务以系统守护项随开机常驻，端到端探测即时二百。整条链路自上而下只有两层：云层负责域名与加密隧道，应用层负责真正的入口校验。没有多余的跳板，没有重复的关卡——路的形态越简单，审计的难度越低。

二、门闩：二的三百六十次方与十八亿年

门闩的强度用数字宣判：匿名访问在全部接口上一律四百零三，已吊销的令牌四百零一，配对设备二百——三态分明，越界者连门楣都摸不到。配对码十二位，取自三十二字符表——易混的零、一、欧、艾被剔除在字母表之外——单次有效、限时作废。组合空间二的三百六十次方，约一点一五乘十的十八次方；即便每秒一千次暴力尝试，命中一次平均也要十八亿年。这条门闩的数学意义在于：它把猜码进门从概率问题变成了宇宙学问题。

三、为何云层不挂网关：一个反直觉的设计决策

最反直觉的一步是刻意不设防：云层只做域名与隧道，不挂访问网关。理由藏在客户端的天性里——手机客户端发不出网关所需的认证头，挂上它，合法用户会被自己的城墙拦在门外。这与移动端先例完全同构：云层只管把路修到门口，门闩由应用自己的凭证体系（那边是密码，这边是配对码）执掌。防护的分寸感在于认清每一层的职责——把校验塞进错误的层，防住的不是敌人，是自己人。

四、哨兵：纯脚本的巡夜与两振才报的天平

攻破既难，察觉也须易——排查确认默认状态下一次报错都没有，于是哨兵上岗。它的形态极为朴素：每五分钟读一次隧道的本地度量端点，取请求数、错误数与拒绝数的差值，与阈值比对，超限即经飞书通道告警——纯脚本，毫秒级耗时，不耗一个模型令牌。阈值校准则演示了什么叫天平而非枷锁：初值每五分钟一百二十，被一次冷启动（应用拉取几十个资源块外加聊天）当场击穿；上调至六百，并改判为连破两个窗口才报警——模拟单窗超标，只记一振、不响警报。太紧的警报会淹没狼来了，太松的警报会放走真狼；两振才报，是巡夜人给出的第三种答案。