连接与安全
Terma 可以操作终端、SFTP、隧道、密钥和备份，因此安全边界高于普通只读管理页面。
凭据与主机信任
- SSH 密码、私钥路径、访问 Token 和数据库备份都属于敏感数据。
- 首次连接会确认 SHA-256 主机指纹；主机密钥变化时会显示风险警告。
- 已信任的主机密钥可以在“设置 > 安全”中查看或删除。
- 启用配置加密后，敏感字段只有在解锁后才能编辑、保存、恢复或导出。
Web 暴露
服务默认只监听 127.0.0.1。局域网访问时必须设置 Web 密码；远程访问建议使用 Tailscale、ZeroTier 或 WireGuard 等私有网络。
使用 Nginx、Caddy 或宝塔反向代理时：
- 上游指向
127.0.0.1:8088。 - 在 Terma 中填写可信代理 IP（同机通常为
127.0.0.1）。 - 填写浏览器实际访问的精确 Host，并继续启用 Terma Web 密码或 Token。
如果转发服务提供外部 HTTPS、内部使用 HTTP，又无法配置代理来源 IP，可以关闭“设置 → 安全 → 校验 HTTPS/HTTP 来源协议”，飞牛应用设置也提供同一选项。默认开启；关闭只忽略协议差异，域名、端口和密码校验继续生效。这个选择不会信任 X-Forwarded-For / X-Forwarded-Proto 或授予本机桌面权限，仅用于你控制的转发入口。
协议不一致导致的登录失败会显示中英文说明和处理入口，密码尚未校验。先用局域网等可用地址登录修改，或通过 NAS 应用设置修改；恢复默认网络设置会重新开启协议校验。关闭校验时，Cookie 自动模式仍对通过验证的 HTTPS 登录使用 Secure。
不要把 Terma 直接暴露到公网，也不要提交 data/、.ssh/、日志或数据库备份。