安全与隔离

• Bridge 与 Supervisor 之间使用本机权限保护的 IPC。
• 每个 Swell 使用独立短期凭证或随机 token。
• IPC 文件权限仅允许对应服务账户访问。
• 远程控制命令需要认证和授权。
• 不在日志中输出 token、密码或账户凭证。
• Backend 配置与游戏账户凭证分离。
• 插件/Bridge 进程采用最小权限运行。
• 容器资源限制是可选强化，不是安全边界的唯一来源。
• 对外暴露的 Controller API 必须有认证、授权、审计和速率限制。
• 远程取消 Swell、清理 Bot 等高风险动作必须记录操作者和原因。