---
url: /doc/control/security.md
---
# 安全与常见问题

> 前半页讲安全与数据，后半页是排错。

## 安全边界在哪里

```
控制台（界面） → 服务端（判定权限） → 设备（最终决定，可以拒绝）
```

官方云由我们托管，所以请把它当成一个**可能被攻破的组件**——它不开源的那部分（运营配置与密钥）你也无法自行核实。真正能保护你的是下面这些你能看得见、摸得着的地方：

* **界面上看不到按钮 ≠ 安全边界**：角色判定在服务端执行；
* **服务端也不能强迫设备**：它只能拒绝下发；
* **最终决定权在设备**：那台机器的开关关着，谁下发都不执行。

官方为集控声明了四条设计前提：**权力在设备手上、下发内容需签名校验、动作命令必须可过期、可断连可审计**。因为这四条依赖服务端实现，你无法自行核实——所以实际使用中，请以**设备上的行为、组内角色和审计记录**为准。

## 学生名单与个人信息

* 名单**不是**持续上传的：只有具备**管理员及以上**角色的人主动点「读取设备名单」时，设备才会把名单回传；
* 读取默认**不含已停用的人员**；
* 抽取结果回执只带学号与姓名；**远程播报的正文不会写进日志**；
* 审计记录里**没有姓名、密码或令牌**，只有"谁、在哪台设备、做了什么、结果如何"；
* 建议：**显示名与节点 ID 不要写学生姓名或其他隐私**（审计会保留 30 天）；导出的名单与审计 CSV 请按学校的个人信息管理要求存放和销毁。

## 你能做的自我保护

| 想做的事 | 怎么做 |
|---|---|
| **立刻收回远控权** | 到那台设备上关掉「允许被远程控制」（断网也生效） |
| **不让某个账号再进来** | 在组成员列表里**移除该成员**（移除设备只是删登记，不是拉黑） |
| **撤销某台设备的登录态** | 在设备上退出思拓创联账号，或在官网退出登录 |
| **换人管理这个组** | 由创建者发起**转让**，双方确认后生效 |
| **查清「谁动过什么」** | 组的**审计日志**（管理员及以上可见，可导出，见[控制台](/doc/control/console)） |
| **让两批人互相看不见** | 分成两个组：不属于某个组时看不到它的任何内容 |

## 常见问题

### 多台教室机必须用同一个账号登录吗？

**不需要。** 每台机器可以各用各的思拓创联账号，只要那个账号**是这个组的成员**（自己建的组，或用邀请码加入的组），填上组 ID、打开开关，它就会作为节点接进来。如果某台机器连不上，先确认它上面登录的账号在不在这个组里。

### 控制台里看不到教室机

按顺序检查：设备**是否登录了账号**、**组 ID 是否填对**、「允许被远程控制」**是否打开**、**登录的账号是否在该组里**。设备上的连接状态会直接告诉你卡在哪一步。

### 设备显示「已停止重试」

说明遇到了重试也解决不了的问题，旁边的说明会写明是"没登录""组 ID 没填""不是该组成员""该组下没有这个节点"还是"凭据被拒"。按提示修正后点**立即重连**。

### 设备一会在线一会离线

设备靠一条长连接和定时心跳维持在线状态，网络抖动时会短暂离线，恢复后**自动重连**，不用人工干预。

### 点了「立即抽取」，设备没反应

看命令回执：**排队中**说明设备离线（它上线后会补投，**过期则作废**）；**命令已过期**说明路上耽搁太久，重新下发即可；**被拒绝**时会写明原因（开关关着、被锁定、正在抽取、需要本机验证、上课时间等）。

### 「禁止抽取」在设备离线时还算数吗？

算数。它是设置好的状态，设备上线自动生效。但注意两点：被锁定的机器**本机也抽不了**；如果那台机器**关掉了自己的开关**，之前下发的锁定不再约束它。

### 关掉设备上的开关之后，还想再被管理怎么办？

到那台机器上重新打开「允许被远程控制」即可，连接会恢复，之前下发的锁定也会重新生效。控制台没有任何办法替你打开这个开关。

### 为什么我改不了设置、也读不了名单？

**改设置、读名单、下发名单**需要管理员及以上；**读取设置**、锁定抽取、发起抽取等需要操作者及以上。另外改设置前必须先「从设备读取」，安全、桌面集成、更新等类别永远不能远程改。

### 设备离线时下发的命令，能取消吗？

**还在排队、没投递**的命令可以撤销（点两次「撤销」），设备上线后不会执行；**已经投递到设备**的就撤不回来了，只能等它执行完。撤销会记进审计。

### 播报没有声音

常见原因：那台机器**关闭了语音总开关**（界面会给出打开语音的入口）、这次的播报音量被设成了 0（静音），或设备正在抽取而拒绝了命令。

### 提示「命令太频繁」

设备对连续下发有频率限制，稍等片刻再试，不要反复猛点。

### 邀请码过期或已被使用

邀请码**一次有效、创建后 72 小时过期**，让邀请人在**邀请**页签重新生成一个即可；已作废的邀请码不影响已经加入的成员。

### 一个账号最多能建几个组？

默认 **100 个**（界面会显示进度），到上限可以**转让**或**解散**不再需要的组。

### 怎么把某人彻底移出集控？

在组的**成员**列表里**移除该成员**，他立刻失去这个组的全部权限。注意：**移除设备不是拉黑**——只要那位成员还在组里，机器重新连上来就会再次出现。

### 一台设备能同时属于两个组吗？

不能。设备上只有一个「所属组 ID」，改掉它就等于改到另一个组。

### 怎么交接或重建一个组？

日常交接用**转让创建者**（双方确认后生效）。解散组是**不可恢复**的：组内所有权限、设备登记、命令记录与设置都会被删除，重建的是另一个组（组 ID 不同），设备要重新填组 ID——所以不要用它当"清理"手段。

### 能自己部署服务端吗？审计记录保留多久？

**可以自己部署**：服务端与 Web 控制台源码已经公开，把服务端装到你自己的服务器上即可，但**现在还只适合试跑**——自建登录（本地账号 / 飞书 / 钉钉）还在开发，现在的代码里没有任何身份源，部署出来的实例登不进去，详见[自部署](/doc/control/self-host)。审计日志**只保留 30 天**，更早的记录会自动清理；需要长期留档请定期从控制台导出。