服务器配置

对应配置文件的 server 项。

键	类型	默认值	说明
bind_host	string	"0.0.0.0"	监听地址。0.0.0.0 表示所有网卡；只允许本机访问（配合反向代理）时用 127.0.0.1。
bind_port	uint16	5233	监听端口，有效范围 1～65535。不要填 0（会由系统随机分配端口）。
allow_origins	[]string	["*"]	CORS 允许的来源。
allow_methods	[]string	["*"]	CORS 允许的方法。
allow_headers	[]string	["*"]	CORS 允许的请求头。
jwt_secret	string	随机 32 位十六进制	签发登录令牌（HS256）的密钥，同时用于派生文件下载链接的签名密钥。
token_expires_in	int	7	登录令牌有效期，单位天。填 0 会导致令牌签发后立即过期。

补充说明：

• jwt_secret 一旦修改，所有已登录用户会被强制下线，且此前签发的文件下载链接全部失效。

tls

键	类型	默认值	说明
enabled	bool	false	是否启用 HTTPS。
cert_file	string	""	证书文件路径（PEM，含完整证书链）。enabled=true 时必填。
key_file	string	""	私钥文件路径（PEM）。enabled=true 时必填。

建议： 已有 Nginx / Caddy / Traefik 等反向代理时不要开启，由代理层终止 TLS 更灵活。

ip_extractor

键	类型	默认值	说明
mode	string	"direct"	IP 提取模式：direct / xff / real_ip / legacy。
trusted_proxies	[]string	[]	可信代理的 CIDR 列表，仅在 xff / real_ip 模式下生效。

四种模式：

mode	行为	适用场景
direct	直接使用 TCP 连接的源地址，忽略任何请求头。	服务直接对外暴露，前面没有代理（默认值）。
xff	解析 X-Forwarded-For，从右往左跳过可信地址，取第一个不可信地址。	前置 Nginx / Caddy / Cloudflare 等代理，推荐。
real_ip	使用 X-Real-IP 请求头，但该值本身必须落在可信网段内才被采纳，否则回退到直连地址。	一般不用。
legacy	信任客户端自带的 X-Forwarded-For / X-Real-IP，不做任何来源校验。	不推荐。启动时会打印不安全警告。