配对与 LAN 访问码

MiBeeReach 的安全语义一句话：必须配对——无凭据的连接直接拒绝； 凭访问码（LAN key）完成配对的连接免提示直接可用；会话级权限 （控制 / 剪贴板 / 文件）分别授权，另有只读模式。

LAN 访问码（LAN key）

被控端首次启动自动生成并持久化一把 64 位 hex 访问码，此后所有连接 都必须携带它（挑战-应答认证，传输经 QUIC + TLS 加密）。主控端三处可携带：

• 控制台快速连接框的「LAN 访问码」输入位（本机记忆，下次自动带出）；
• 局域网发现的设备卡连接（控制台会记住上次成功使用的 key）；
• CLI --lan-key 参数。

被控端管理命令：

reach desktop lan-key                 # 查看当前 key（无则生成）
reach desktop host --bind 0.0.0.0:7777 --lan-key 00112233...ff   # 显式指定启动
reach desktop host --bind 0.0.0.0:7777 --lan-open               # 开放模式

模式	行为
默认（持久化 key）	首次启动生成；持有同一把 key 的主控端即可连接
显式 --lan-key	本次运行用指定 key（覆盖持久化值）
--lan-open	开放模式：任何局域网机器可连（只建议可信内网使用）

key 轮换：在被控端重新 lan-key 生成/指定新值后，旧 key 立即失效—— 需要同时更新所有主控端保存的访问码。

认证门与回落

LAN 认证门的拒绝是连接期失败（不是网络失败）：主控端拿到该错误时， 若同一连接还配置了其它可达路径会按序回落（0.1.0 局域网版内为纯局域网路径）。 终端与隧道行为一致。

会话级权限

会话权限按能力独立授权：控制（键鼠注入）、剪贴板、文件； 另有只读模式整体禁输入。主控端发起连接的入口与参数决定授权面， 被控端按策略执行。

传输安全

局域网传输为 QUIC（TLS 1.3 内嵌），握手即含访问码挑战-应答——明文不落线。 剪贴板 / 文件 / 音频 / 视频全部跑在同一条加密通道的多路复用流上。