跨产品概念连接方式

连接方式

App 到 CLI 的连接路径决定“如何到达目标 CLI”以及如何验证设备身份，不改变命令最终由目标 CLI 执行这一事实。连接成功也不代表工作区、模型共享或 Agent 执行权限已经授予。

选择路径

路径	适用场景	需要账户	关键条件
本机直连	桌面 App 控制当前电脑	否	Local API 服务和设备密钥
局域网或自定义直连	同一可信网络或可达地址	否	地址、端口、设备密钥和网络策略
账户中继	手机、异地网络、没有可用的直连地址	是	双端登录、设备在线和信任关系

桌面端控制同一台电脑时优先使用本机直连；需要同网段访问时再启用局域网直连；手机、异地网络或无法暴露地址时使用账户中继。任何路径都要求目标 CLI 服务已安装并正在运行。

连接路径只解决可达性和设备身份验证。工作区授权、Remote Share、Agent 权限和审批策略仍由各自的设置单独控制。

同一设备的路径合并

一台 CLI 设备可以同时拥有多条路径。App 连接后读取稳定设备 ID，将相同 ID 的本机、局域网和账户路径合并为一台设备。无法验证设备 ID 的地址不会静默合并。

安全设置在什么时候生效

本机直连：默认只监听当前电脑

桌面 App 控制同一台电脑时，CLI 默认使用 127.0.0.1。这个地址只接受当前电脑发出的连接；它不是“免认证”，Local API 仍要求设备密钥。通常不需要修改这项设置。

局域网直连：需要在 CLI 上主动打开

当 App 运行在另一台电脑或手机上、并且两台设备位于同一可信网络时，才需要局域网直连。在目标 CLI 所在电脑的终端执行：

originrouter local config set --bind 0.0.0.0 --allow-lan on
originrouter service restart
originrouter local config show

allow-lan on 是 CLI 的配置值，不是 App 中的开关。执行 local config show 时会看到 allowLan: on；App 端只需要填写目标设备的地址、端口并完成设备密钥验证。0.0.0.0 允许服务监听网卡，但没有设备密钥的客户端仍不能访问。只在可信网络中使用，停止局域网访问时执行 originrouter local config set --allow-lan off。

账户中继：不需要暴露端口

手机、异地网络或无法提供直连地址时，使用账户中继。App 和 CLI 登录同一账户、目标设备在线并完成信任后，中继服务负责认证和投递密文；它不会因此获得目标工作区或命令执行权限。

连接成功后仍需单独授权

工作区授权：在目标 CLI 上执行 originrouter remote workspace authorize <path>。
Remote Share：在 App 的“模型服务控制”中，为模型打开“允许远程”；需要启动或检查共享时使用 originrouter remote share start/status。
审批策略：在 App 的审批策略中选择，或在 CLI 启动 Agent 时指定审批模式。