安全相关
字数
603 字
阅读时间
3 分钟
WebUI 安全与一些冷知识
WebUI 的安全性设计较为完善，具体特性如下：
- 鉴权过程全程使用 SHA256 加盐处理，有效避免密钥泄露风险
- 对来源 IP 实施限速控制，防止暴力破解
- 基于时间的 HMAC 密钥动态生成机制，确保鉴权在重启后立即失效
- 可通过将端口设置为 0 完全关闭网页面板，关闭后可安全删除
./static/静态资源 - 终端控制功能可通过删除
./pty/目录完全禁用 - 支持 SSL 加密，只需在
./config/目录添加cert.pem与key.pem文件并重启即可生效
WARNING
NapCat WebUI 默认使用弱密码（密钥为 napcat），如果部署在公网环境中，请立即修改密码或关闭 WebUI。
OneBot 接口安全
服务端工作模式：NapCat 作为服务端，鉴权由 NapCat 负责提供来源验证。
客户端工作模式：NapCat 作为客户端，鉴权由外部服务端负责提供来源验证。
重要提示：如果采用服务端工作模式且未配置鉴权，将应用暴露在公网环境中会带来严重安全风险。
QQ 账号安全性
- 避免在同一 IP/设备上同时登录 Bot 账号与常用账号，以防常用账号受到异常影响
- 频繁掉线问题可通过更换账号或设备来有效改善
- 遇到社交风控时，解除限制后重新运行即可，此类限制通常不会频繁触发
- 如无法更换账号或设备，可尝试在配置中将
o3Hook设置为 0 以关闭包拦截 - 网络环境复杂导致登录困难时，可联系云服务商更换 IP 或重新拨号，或通过设置环境变量
NAPCAT_PROXY_ADDRESS = 127.0.0.1与NAPCAT_PROXY_PORT = 80配置 SOCKS5 代理
NapCat 卸载与残留风险
- Windows 环境：只需删除 NapCat 目录即可完全卸载，不会产生残留文件，且不影响 QQ 的更新或卸载
- Linux 环境：Docker 方案不会对设备造成残留问题；直接本机安装的情况下，重装 QQ 即可完成卸载
