连接鉴权机制——设备码、密码、账号三层保护

三层鉴权体系

BilldDesk 采用了分层递进的连接鉴权机制：

第一层：设备码

设备码是被控设备的唯一标识符。主控端必须先知道被控端的设备码才能发起远程连接请求。这是「找到目标设备」的前提。

第二层：连接密码

知道设备码还不够，主控端还必须输入被控端的连接密码。连接密码是被控端每次启动 BilldDesk 时随机生成的一串数字，具有时效性——下次启动会自动刷新。

设备码 + 连接密码的组合才能构成有效的远程连接凭证。只有设备码但没有密码（或密码错误）的主控端无法发起连接。

第三层（可选）：同账号限制

如果被控端开启了「仅允许同账号远程」，则只有登录了同一个 BilldDesk 账号的主控设备才能发起远程。即使知道了设备码和密码，没登录同账号也不行。

被控端确认机制

默认情况下，即使主控端提供了正确的设备码和密码，被控端仍会弹出确认窗口要求手动点击「同意」才建立连接。这是最后一道人为确认环节。

跳过确认的场景

• 被控端开启了「无人值守」模式（Pro 版）
• 主控端和被控端登录了同一个账号

以上两种情况可以跳过被控端确认，直接建立连接。

自定义鉴权接口

对于有复杂安全需求的企业，BilldDesk 支持通过自定义接口（WebSocket / REST API）实现自定义鉴权逻辑。

典型的自定义鉴权场景：

• 把远程连接的验证接入企业内部的权限管理系统
• 只有特定部门或角色的员工才能发起远程
• 远程操作需要记录审计日志
• 在远程前弹出二次验证（如短信验证码）

鉴权安全最佳实践

基础安全

• 不要把设备码和密码同时发给陌生人
• 每次远程结束后建议刷新连接密码（重启 BilldDesk 即可自动刷新）
• 使用自定义设备码时不要用过于简单的命名

进阶安全

• 开启「仅允许同账号远程」
• 开启「本机被控结束后锁屏」
• 如果不需要被控功能，关闭被控开关

企业级安全

• 使用自定义鉴权接口接入企业权限系统
• 私有化部署，数据不出内网
• 定期审计远程连接日志（后台管理功能）