# 设备管理、月额度与限速：验收约定

状态：2026-09-04 用户允许 TeamTunnel 切换中断；台北后台及受控网关已部署。管理、权威计量、额度与限速已实现；Windows 公网激活/转发/撤销对照及 Linux 隔离测试已通过。客户端本地统计仍不作为额度账本；长期负载、断电及备用机 TUN 恢复不在本次验收范围。见本次交付报告与 MANAGEMENT.md。

## 管理范围

- 设备继续通过一次性邀请码注册，由服务器返回授权节点。现有 UUID + Windows 用户保护凭据不是不可复制的硬件证明。
- 管理员可查看设备、改名、分配节点、禁用、恢复或删除设备，并查看历史/当月代理上传、下载与合计。
- 每个设备配置月度代理额度、上传速度上限、下载速度上限；额度耗尽时停止代理转发，管理员可增加额度或解除限制。
- 额度计入代理上传＋下载，不计直连；北京时间自然月切换。客户端直连统计不能作为可信服务端账本。
- 删除先撤销各节点的实际转发权限和已有连接，再移出有效设备列表；保留必要用量/操作记录。不得仅删除控制数据库行就显示“已删除”。

## 上线前必须证明

1. 未激活客户端没有访问权限；每位同事独立注册码，不能因安装同一 ZIP 自动共享授权。
2. 禁用 A 后，A 的旧连接结束，新连接也被拒绝；B 的长连接与速度不受影响。节点执行失败时明确显示未生效，不能只看数据库写入成功。
3. 服务器基于认证用户计算累计，包含短连接和已结束连接；节点重启、重复上报、断采与跨月有明确处理，不能把缺测记成零。
4. A 的所有并发连接共同受上/下行速率约束；不能通过多开连接绕过。额度和限速均由节点执行，修改客户端或删除本地流量文件不能解除。
5. 管理员增加额度/恢复后能够继续连接。跨节点共用额度时也不能各自重复获得完整额度；误差、突发容量和离线策略需明确记录并测试。
6. 管理入口需要独立管理员认证、操作审计及最小权限，不能复用普通设备 token；节点统计/控制接口不得裸露公网。

## 当前数据面约束与发布门槛

旧 sing-box Trojan 是启动时静态载入密码，旧 control_admin.py 的 revoke 不执行完整数据面撤销。台北现已替换为独立受控 TCP 网关，使用动态策略快照、目标设备连接关闭、中央预算与共享限速；不要再用旧静态用户同步脚本覆盖新网关。

本轮先完成数据面实现与隔离两设备测试后才执行切换。后台不使用客户端无鉴权 V2Ray 统计作为账本，也不靠轮询活跃连接计费；逐次转发必须经过预留预算和实际写入计数。

本轮只切换台北 teamtunnel-catalog 与 teamtunnel-tunnel 两个服务。Tailscale PID 与启动时间未变；日本未修改，未给新同事增加日本权限。部署脚本保留受保护备份，但公网提交后不得自动恢复旧数据库丢弃新写入。
