Gods Eye View 安全模型实战解读密钥治理、服务端代理加固与本地优先防护【免费下载链接】gods-eye-viewA spy satellite simulator in your browser, except the data is real. Live open source spatial intelligence on a photorealistic 3D globe.项目地址: https://gitcode.com/GitHub_Trending/go/gods-eye-view导读Gods Eye View 是一个面向公开数据的本地优先local-firstWeb 客户端浏览器内运行着实时空间情报可视化由于它需要代理 OpenAI、Google、OpenSky、AISStream 等多个带密钥的第三方服务密钥如何存放、代理如何防滥用、服务器暴露到网络时意味着什么构成了这套项目最核心的安全命题。SECURITY.md 从密钥治理、代理加固、网络暴露威胁模型三个层面完整定义了安全边界。本文以该文档为主线结合仓库源码逐一拆解读完你将掌握这套项目的密钥分发原则、防 SSRF/防开放代理的具体实现以及自托管时必须理解的成本暴露与限流手段。安全定位先行Gods Eye View 是面向探索、演示与学习的本地优先客户端不是加固后的生产服务。文档与本文的所有建议都在如何安全地跑起来与如何负责任地上报问题这个前提下展开。一、安全模型总览公开数据、本地优先Gods Eye View 展示的所有数据均来自公开源项目本身不做情报采集与存储。正因为是公开数据安全工作的重心不在于保护秘密数据而在于三件事密钥治理——带密钥的 API 凭据绝不进入浏览器全部停留在服务端中间件代理加固——server/providers/下的一票数据代理不能让浏览器把服务器变成开放中继open relay暴露边界——默认只绑定 localhost任何形式的网络暴露都是显式选择并伴随清晰警告。这三层正是本文三个核心章节也与 DATA_SOURCES.md 中罗列的数据源清单相互印证。二、漏洞上报与负责任披露文档明确要求一切可利用exploitable的安全问题都走私有渠道不要开公开 issue。上报途径有两种使用 GitHub 仓库 Security 标签页下的 Report a vulnerability私有漏洞报告入口通过维护者在 GitHub 主页上的联系方式直接联系。上报时请附带复现步骤repro steps与影响范围impact。维护方收到后会确认、调查并在修复上线后按你的意愿致谢credit。三、密钥处理模型黄金法则与服务端 Broker3.1 黄金法则带密钥的 API Key 只待在服务端文档给出的唯一黄金法则是secret-bearing API keys stay on the server side。开发/预览服务器中间件位于server/providers/代理每一个需要私有凭据的请求浏览器永远不会拿到真实密钥。各密钥的归属与浏览器使用方式如下表原文完整继承Key存放位置浏览器如何使用OPENAI_API_KEY仅服务端浏览器从/api/realtime/token获取短期有效的临时ephemeralRealtime 会话令牌真实密钥永不下发AISSTREAM_API_KEY仅服务端服务端持有 AISStream WebSocket浏览器轮询同源/api/ais-live缓存OpenSky OAuthOPENSKY_CLIENT_ID/SECRET仅服务端服务端在/api/opensky之后完成令牌签发与刷新GOOGLE_MAPS_SERVER_API_KEY可选issue #33仅服务端服务端调用 Places/api/google/nearby-places、/api/google/text-search与 Street View 回退未设置时回退到GOOGLE_MAPS_API_KEY从源码看OpenAI 临时令牌端点的实现进一步印证了真实密钥不下发在 server/providers/openai/realtime.js 中OPENAI_API_KEY只用于向https://api.openai.com/v1/realtime/client_secrets发起 POST携带Authorization: Bearer apiKey换取客户端会话密钥后透传给浏览器响应头设置Cache-Control: no-store密钥本身从未出现在响应体之外。3.2 两个刻意留在客户端的密钥——限制它们而非隐藏这两把密钥被设计为直接在浏览器中使用类似 Mapbox public token通过 Vite 的define注入客户端 bundle因此必然会在浏览器 DevTools 中可见。正确姿势是限定范围scope与限制restrict而不是试图隐藏Google Maps API key——负责加载 Photorealistic 3D Tiles并驱动 GEV 的地点搜索。必须在 Google Cloud Console 中做限制HTTP referrer 限制 按所需 Google API 做 API 限制。一把未加限制的密钥暴露在公网部署中可能被滥用并记到你的账单上。Cesium ion tokenCESIUM_ION_TOKEN可选——用于 ion 托管的 Google Photorealistic 3D Tiles、Bing 世界影像与世界地形——作为Cesium.Ion.defaultAccessToken在客户端使用。任何托管部署都应使用带URL 限制的公开assets:readtoken。Community 计划有资格与用量限制公开 token 不是秘密但仍会消耗账户配额。关键约束在构建配置里被显式写死build/vite.js的define块是客户端注入的唯一出入口只有这两把 key 会被注入其余一切密钥都留在服务端// build/vite.js节选 define: { import.meta.env.GOOGLE_MAPS_API_KEY: JSON.stringify(googleApiKey), import.meta.env.CESIUM_ION_TOKEN: JSON.stringify(cesiumToken), },该文件还顺手加固了承载 Provider Settings 页面的响应头X-Frame-Options: DENY与 CSPframe-ancestors none防点击劫持并通过server.fs.deny拒绝 Vite 直接托管.env、*.crt/pem、.git与ENVIRONMENT文件。3.3 Places 与 Street View 为何不需要出现在浏览器名单上#33文档特别解释了 issue #33 的取舍Places 与 Street View 完全走上表服务端代理使用GOOGLE_MAPS_SERVER_API_KEY设置时。把服务端密钥与浏览器暴露密钥拆分能让每一把 key 的 Google Cloud 限制与它实际干的活精确匹配浏览器 keyreferrer 限制到客户端加载的那几个 API服务端 keyIP 限制因为密钥从不离开服务器所以没有 referrer 可配范围仅限 Places API Street View Static API。这样就不必为一把 key 干两件事而被迫过度授权或让其中一项任务因权限不足而损坏。当然不拆分、继续共用一把GOOGLE_MAPS_API_KEY也可以——只是它必须覆盖两侧用到的全部 API。3.4 密钥的落地方式.env、Keychain、Pinokio 的 ENVIRONMENT绝不提交真实密钥.env已被 gitignore仓库只跟踪含占位符名称的 .env.example。终端开发macOS 上scripts/dev-fresh.sh可从**钥匙串Keychain**读取密钥普通 Vite 则使用环境变量或本地.envPinokio 启动器使用其被忽略的应用级ENVIRONMENT文件。Pinokio 启动器可选值存放在被忽略的本地pinokio/ENVIRONMENT文件中且 Vite 显式 deny 该文件名见上文fs.deny中的**/ENVIRONMENT。增删改这些值请通过应用内POWER UP → Provider Settings面板完成服务端在写入前会限制文件内容保存后重启本地应用。注意不要通过 Pinokio 8.0.40 的原生 Configure 表单提交凭据——该版本对这一嵌套启动器布局会写错文件并把提交的值记入日志。该忽略文件只是本地明文不是加密存储通过./scripts/dev-fresh.sh启动时macOS Keychain 仍是更强的本地方案。3.5 本地如何配置分离的 Google 密钥终端开发使用仓库根目录一个被忽略的.env同时承载GOOGLE_MAPS_API_KEY浏览器与GOOGLE_MAPS_SERVER_API_KEY服务端被跟踪的.env.example只记录两个变量名、不含任何凭据Vite 只注入浏览器 key——共用环境文件不会暴露服务端 keyProvider Settings 面板只把浏览器 key 展示为 Google Maps可选的服务端 key 需手动写入环境文件Pinokio 使用其忽略的pinokio/ENVIRONMENT应用内值与空值优先于继承的全局值服务端 key 缺席时保留对浏览器 key 的回退兼容既有单 key 配置与上表 #33 的行为一致。四、服务端代理加固让服务器成不了开放中继server/providers/下的数据代理在编写时就遵循一个原则浏览器不能把服务器变成任意 URL 的抓取器。以下是文档列出的全部防线含源码印证4.1 禁止任意 URL 抓取SSRF 缓解CCTV 帧代理只抓取服务端注册的摄像机/帧 URL客户端无法传入上游 URL 让服务器代抓。其余代理也只访问固定的上游主机。从源码看server/providers/cctv/media.js 中的fetchWithinHost把重定向限制为最多 2 跳且必须保持原 originscheme、host、port 全等防止上游把请求引到任意域名、其他端口或明文降级fetchTxdotSnapshot更是把目标钉死在https://its.txdot.gov/its/DistrictIts/GetCctvSnapshotByIcdId并拒绝重定向。4.2 电台不是音频中继/api/radio/stations是加固最重的一条代理server/providers/radio/transport.js 给出了实现细节只允许连allowlist 中的 Radio Browser HTTPS 主机与路径*.api.radio-browser.info镜像拒绝重定向拒绝任何解析出回环/私网/链路本地/元数据/非公网 A 或 AAAA 记录的 hostnameisPublicRadioAddress对 IPv4 与 IPv6 分别做 CIDR 级校验见该文件第 13-66 行TLS 连接固定到已校验的地址fetchPinnedRadioResponse通过自定义lookup回调强制解析到预先验证过的地址防 DNS 重绑定只返回归一化的公网 HTTPS 流 URL/api/radio/click/:uuid应用同一目标策略且只接受当前**有界目录bounded catalog**中的站台 ID。音频本身的播放路径是浏览器在显式播放动作后直连广播商广播商看到的是监听者的 IPGEV 从不代理、缓存、录制或再分发音频。4.3 不逐字透传客户端头部CCTV 媒体路由是唯一转发请求头Range用于视频拖动的路由。文档明确其处理契约server/providers/cctv/media.js 的代码印证了这一点Range会被解析并规范化后才转发只允许一个bytes区间显式跨度、开放式与后缀式三种合法形态都被限制在与声明响应体相同的 64 MiB 上限内CCTV_MEDIA_MAX_BODY_BYTES多区间、畸形、反向及非bytes值一律丢弃请求不带Range继续符合 RFC 7233 §3.1对声明无长度的响应直播流媒体、或上游忽略Range的 chunked body没有上限——所以限制请求本身就限制了索取浏览器不再等待的上游请求会被取消而不是放任运行watchDownstreamClose在下游连接提前关闭时 abort 上游请求见该文件第 201-216 行proxyMediaResponse也会在res关闭时释放未结束的直播流。4.4 Transit 只抓注册 feed/api/transit/vehicles/id用 id 去 src/data/transitFeeds.js 解析浏览器永不提供 URL已注册但被禁用的 feed 根本解析不到。具体防线src/sources/transitService.js重定向被手动逐跳跟随每一跳在请求前都用该 feed 自己的 https origin 校验偏离 origin 或降级的跳转直接拒绝而非联系响应体上限 8 MBTRANSIT_PROXY_MAX_BODY_BYTESprotobuf 在服务端在实体数与字符串长度上限约束下解码差分differentialfeed 被拒绝快照在内存中存活 15 秒无磁盘缓存Cache-Control层面的位置数据几分钟就过期每个 feed 有准入限流器admission limiter 失败退避阶梯cooldown ladder连续失败把下次尝试推后至 5 分钟一次成功即复位约束本进程对任一运营商的请求强度。4.5 其余通用防线响应体大小上限与超时所有代理响应均有 cap 与 timeoutCCTV 帧、媒体、Transit、TxDOT 快照等均可见*_TIMEOUT_MS/*_MAX_BODY_BYTES常量。错误信息清洗内部错误细节不回显给客户端客户端只收到 sanitized 错误。OAuth 刷新合并 仅缓存成功响应OpenSky并发刷新被 coalesce失败的响应不被缓存。脱敏的调试日志语音调试日志写入.gev-logs/已 gitignore落盘前剥离 API key、bearer token、客户端密钥与图片 data URLserver/providers/openai/debug-log.js 中记录路径为.gev-logs/realtime-conversations.jsonl。五、网络暴露运维者的威胁模型开发服务器本质是一个key broker上表每一把服务端密钥对任何能向它发送 HTTP 请求的人都是可花费spendable的。因此默认值全部向不暴露倾斜5.1 默认仅本机./scripts/dev-fresh.sh以及 build/vite.js 的 Vite 配置本身默认绑定localhost只有本机能访问服务器allowedHosts保持受限[localhost, 127.0.0.1, .local]这同时钝化了 DNS-rebinding 攻击——只有HOST0.0.0.0或::时才放开为true。启动脚本 scripts/dev-fresh.sh 的注释与默认值即是文档该条的直接落点。5.2 LAN 暴露是显式 opt-inHOST0.0.0.0 ./scripts/dev-fresh.sh启动器会打印醒目警告与你的 LAN URL。选这个选项意味着该网络上的每台设备在服务器运行的整个期间都可以驱动代理并花掉你的 OpenAI / Google / OpenSky / AISStream / TomTom / FIRMS 配额。只在信任的网络里这样做。5.3 应用层限流opt-inGEV_RATELIMIT_OPENAI_PER_MIN与GEV_RATELIMIT_GOOGLE_PER_MIN按客户端 IP、按分钟限制成本型端点超限请求收到清洗过的429。实现上server/providers/common/rate-limit.js 的makeOptInRateLimiter只在设置正整数时才启用未设置/0/非数字 不限流运行期 no-op窗口固定 60 秒全局上限取 per-IP 上限的 20 倍防止单主机饿死他人。限流键clientKey只用真实 socket 对端地址不信任 X-Forwarded-For客户端可控轮换伪造值会刷新配额并撑大限流表。文档明确它们是per-IP、进程本地、内存中的守卫——重启即清零不是账单上限。5.4 提供商侧预算才是真正的兜底要硬性的花费保护请在花钱的地方配限额OpenAI 平台用量限制、Google Cloud 预算告警 各 API 配额以及其他任何带 key 提供商的等价控制。.env.example 中对应变量的注释也给出了具体入口如 Google Cloud Console → Billing → Budgets alerts以及 APIs Services → Quotas。5.5 Pinokio 的 LAN 与 Cloudflare 分享被拒绝文档说明当前受支持的 Pinokio 版本会在应用注册 Open URL 时重新读取分享状态并在自己的通知与终端流中记录成功的隧道登录 passcode。因此预检preflight之前启动器会把应用级分享控件重写为禁用值清除子进程中的 Pinokio 全局 passcode把平台分享触发器固定为禁用哨兵sentinel。任何陈旧或请求中的分享值都被丢弃而非采纳GEV 只以 loopback 启动。需要远程访问时请自行使用经过评审的认证代理并让提供商侧配额充当花费兜底。六、适用范围与预期Scope ExpectationsVite 服务器是开发/预览服务器一旦暴露到 localhost 之外必须放在自己的认证/代理之后并重新审视绑定见上文威胁模型。展示的所有数据均来自公开源请参阅 DATA_SOURCES.md遵守各提供商的服务条款与速率限制。语音 Agent 会把 feed 来源的文本地名、呼号作为场景上下文它被指示只能通过固定的应用控制工具集合行动不得执行数据中出现的任意指令。但仍应把模型输出视为不可信并保持工具面tool surface最小化——对应实现可见 server/providers/openai/realtime.js 中的GEV_REALTIME_TOOLS与会话tool_choice: auto配置。七、负责任使用这个界面呈现的是本就公开的信号。使用时请尊重隐私遵守数据提供商的条款并且不要把基于公开数据的推断包装成权威情报。安全模型的目的不是把工具锁死而是让每个人在清楚成本与边界的前提下安全、负责地把这套公开数据可视化跑起来。延伸阅读密钥环境变量的完整清单与逐项注释见 .env.exampleOpenSky 认证模式的细节见 docs/opensky-auth.md数据源清单见 DATA_SOURCES.md。【免费下载链接】gods-eye-viewA spy satellite simulator in your browser, except the data is real. Live open source spatial intelligence on a photorealistic 3D globe.项目地址: https://gitcode.com/GitHub_Trending/go/gods-eye-view创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
Gods Eye View 安全模型实战解读密钥治理、服务端代理加固与本地优先防护【免费下载链接】gods-eye-viewA spy satellite simulator in your browser, except the data is real. Live open source spatial intelligence on a photorealistic 3D globe.项目地址: https://gitcode.com/GitHub_Trending/go/gods-eye-view导读Gods Eye View 是一个面向公开数据的本地优先local-firstWeb 客户端浏览器内运行着实时空间情报可视化由于它需要代理 OpenAI、Google、OpenSky、AISStream 等多个带密钥的第三方服务密钥如何存放、代理如何防滥用、服务器暴露到网络时意味着什么构成了这套项目最核心的安全命题。SECURITY.md 从密钥治理、代理加固、网络暴露威胁模型三个层面完整定义了安全边界。本文以该文档为主线结合仓库源码逐一拆解读完你将掌握这套项目的密钥分发原则、防 SSRF/防开放代理的具体实现以及自托管时必须理解的成本暴露与限流手段。安全定位先行Gods Eye View 是面向探索、演示与学习的本地优先客户端不是加固后的生产服务。文档与本文的所有建议都在如何安全地跑起来与如何负责任地上报问题这个前提下展开。一、安全模型总览公开数据、本地优先Gods Eye View 展示的所有数据均来自公开源项目本身不做情报采集与存储。正因为是公开数据安全工作的重心不在于保护秘密数据而在于三件事密钥治理——带密钥的 API 凭据绝不进入浏览器全部停留在服务端中间件代理加固——server/providers/下的一票数据代理不能让浏览器把服务器变成开放中继open relay暴露边界——默认只绑定 localhost任何形式的网络暴露都是显式选择并伴随清晰警告。这三层正是本文三个核心章节也与 DATA_SOURCES.md 中罗列的数据源清单相互印证。二、漏洞上报与负责任披露文档明确要求一切可利用exploitable的安全问题都走私有渠道不要开公开 issue。上报途径有两种使用 GitHub 仓库 Security 标签页下的 Report a vulnerability私有漏洞报告入口通过维护者在 GitHub 主页上的联系方式直接联系。上报时请附带复现步骤repro steps与影响范围impact。维护方收到后会确认、调查并在修复上线后按你的意愿致谢credit。三、密钥处理模型黄金法则与服务端 Broker3.1 黄金法则带密钥的 API Key 只待在服务端文档给出的唯一黄金法则是secret-bearing API keys stay on the server side。开发/预览服务器中间件位于server/providers/代理每一个需要私有凭据的请求浏览器永远不会拿到真实密钥。各密钥的归属与浏览器使用方式如下表原文完整继承Key存放位置浏览器如何使用OPENAI_API_KEY仅服务端浏览器从/api/realtime/token获取短期有效的临时ephemeralRealtime 会话令牌真实密钥永不下发AISSTREAM_API_KEY仅服务端服务端持有 AISStream WebSocket浏览器轮询同源/api/ais-live缓存OpenSky OAuthOPENSKY_CLIENT_ID/SECRET仅服务端服务端在/api/opensky之后完成令牌签发与刷新GOOGLE_MAPS_SERVER_API_KEY可选issue #33仅服务端服务端调用 Places/api/google/nearby-places、/api/google/text-search与 Street View 回退未设置时回退到GOOGLE_MAPS_API_KEY从源码看OpenAI 临时令牌端点的实现进一步印证了真实密钥不下发在 server/providers/openai/realtime.js 中OPENAI_API_KEY只用于向https://api.openai.com/v1/realtime/client_secrets发起 POST携带Authorization: Bearer apiKey换取客户端会话密钥后透传给浏览器响应头设置Cache-Control: no-store密钥本身从未出现在响应体之外。3.2 两个刻意留在客户端的密钥——限制它们而非隐藏这两把密钥被设计为直接在浏览器中使用类似 Mapbox public token通过 Vite 的define注入客户端 bundle因此必然会在浏览器 DevTools 中可见。正确姿势是限定范围scope与限制restrict而不是试图隐藏Google Maps API key——负责加载 Photorealistic 3D Tiles并驱动 GEV 的地点搜索。必须在 Google Cloud Console 中做限制HTTP referrer 限制 按所需 Google API 做 API 限制。一把未加限制的密钥暴露在公网部署中可能被滥用并记到你的账单上。Cesium ion tokenCESIUM_ION_TOKEN可选——用于 ion 托管的 Google Photorealistic 3D Tiles、Bing 世界影像与世界地形——作为Cesium.Ion.defaultAccessToken在客户端使用。任何托管部署都应使用带URL 限制的公开assets:readtoken。Community 计划有资格与用量限制公开 token 不是秘密但仍会消耗账户配额。关键约束在构建配置里被显式写死build/vite.js的define块是客户端注入的唯一出入口只有这两把 key 会被注入其余一切密钥都留在服务端// build/vite.js节选 define: { import.meta.env.GOOGLE_MAPS_API_KEY: JSON.stringify(googleApiKey), import.meta.env.CESIUM_ION_TOKEN: JSON.stringify(cesiumToken), },该文件还顺手加固了承载 Provider Settings 页面的响应头X-Frame-Options: DENY与 CSPframe-ancestors none防点击劫持并通过server.fs.deny拒绝 Vite 直接托管.env、*.crt/pem、.git与ENVIRONMENT文件。3.3 Places 与 Street View 为何不需要出现在浏览器名单上#33文档特别解释了 issue #33 的取舍Places 与 Street View 完全走上表服务端代理使用GOOGLE_MAPS_SERVER_API_KEY设置时。把服务端密钥与浏览器暴露密钥拆分能让每一把 key 的 Google Cloud 限制与它实际干的活精确匹配浏览器 keyreferrer 限制到客户端加载的那几个 API服务端 keyIP 限制因为密钥从不离开服务器所以没有 referrer 可配范围仅限 Places API Street View Static API。这样就不必为一把 key 干两件事而被迫过度授权或让其中一项任务因权限不足而损坏。当然不拆分、继续共用一把GOOGLE_MAPS_API_KEY也可以——只是它必须覆盖两侧用到的全部 API。3.4 密钥的落地方式.env、Keychain、Pinokio 的 ENVIRONMENT绝不提交真实密钥.env已被 gitignore仓库只跟踪含占位符名称的 .env.example。终端开发macOS 上scripts/dev-fresh.sh可从**钥匙串Keychain**读取密钥普通 Vite 则使用环境变量或本地.envPinokio 启动器使用其被忽略的应用级ENVIRONMENT文件。Pinokio 启动器可选值存放在被忽略的本地pinokio/ENVIRONMENT文件中且 Vite 显式 deny 该文件名见上文fs.deny中的**/ENVIRONMENT。增删改这些值请通过应用内POWER UP → Provider Settings面板完成服务端在写入前会限制文件内容保存后重启本地应用。注意不要通过 Pinokio 8.0.40 的原生 Configure 表单提交凭据——该版本对这一嵌套启动器布局会写错文件并把提交的值记入日志。该忽略文件只是本地明文不是加密存储通过./scripts/dev-fresh.sh启动时macOS Keychain 仍是更强的本地方案。3.5 本地如何配置分离的 Google 密钥终端开发使用仓库根目录一个被忽略的.env同时承载GOOGLE_MAPS_API_KEY浏览器与GOOGLE_MAPS_SERVER_API_KEY服务端被跟踪的.env.example只记录两个变量名、不含任何凭据Vite 只注入浏览器 key——共用环境文件不会暴露服务端 keyProvider Settings 面板只把浏览器 key 展示为 Google Maps可选的服务端 key 需手动写入环境文件Pinokio 使用其忽略的pinokio/ENVIRONMENT应用内值与空值优先于继承的全局值服务端 key 缺席时保留对浏览器 key 的回退兼容既有单 key 配置与上表 #33 的行为一致。四、服务端代理加固让服务器成不了开放中继server/providers/下的数据代理在编写时就遵循一个原则浏览器不能把服务器变成任意 URL 的抓取器。以下是文档列出的全部防线含源码印证4.1 禁止任意 URL 抓取SSRF 缓解CCTV 帧代理只抓取服务端注册的摄像机/帧 URL客户端无法传入上游 URL 让服务器代抓。其余代理也只访问固定的上游主机。从源码看server/providers/cctv/media.js 中的fetchWithinHost把重定向限制为最多 2 跳且必须保持原 originscheme、host、port 全等防止上游把请求引到任意域名、其他端口或明文降级fetchTxdotSnapshot更是把目标钉死在https://its.txdot.gov/its/DistrictIts/GetCctvSnapshotByIcdId并拒绝重定向。4.2 电台不是音频中继/api/radio/stations是加固最重的一条代理server/providers/radio/transport.js 给出了实现细节只允许连allowlist 中的 Radio Browser HTTPS 主机与路径*.api.radio-browser.info镜像拒绝重定向拒绝任何解析出回环/私网/链路本地/元数据/非公网 A 或 AAAA 记录的 hostnameisPublicRadioAddress对 IPv4 与 IPv6 分别做 CIDR 级校验见该文件第 13-66 行TLS 连接固定到已校验的地址fetchPinnedRadioResponse通过自定义lookup回调强制解析到预先验证过的地址防 DNS 重绑定只返回归一化的公网 HTTPS 流 URL/api/radio/click/:uuid应用同一目标策略且只接受当前**有界目录bounded catalog**中的站台 ID。音频本身的播放路径是浏览器在显式播放动作后直连广播商广播商看到的是监听者的 IPGEV 从不代理、缓存、录制或再分发音频。4.3 不逐字透传客户端头部CCTV 媒体路由是唯一转发请求头Range用于视频拖动的路由。文档明确其处理契约server/providers/cctv/media.js 的代码印证了这一点Range会被解析并规范化后才转发只允许一个bytes区间显式跨度、开放式与后缀式三种合法形态都被限制在与声明响应体相同的 64 MiB 上限内CCTV_MEDIA_MAX_BODY_BYTES多区间、畸形、反向及非bytes值一律丢弃请求不带Range继续符合 RFC 7233 §3.1对声明无长度的响应直播流媒体、或上游忽略Range的 chunked body没有上限——所以限制请求本身就限制了索取浏览器不再等待的上游请求会被取消而不是放任运行watchDownstreamClose在下游连接提前关闭时 abort 上游请求见该文件第 201-216 行proxyMediaResponse也会在res关闭时释放未结束的直播流。4.4 Transit 只抓注册 feed/api/transit/vehicles/id用 id 去 src/data/transitFeeds.js 解析浏览器永不提供 URL已注册但被禁用的 feed 根本解析不到。具体防线src/sources/transitService.js重定向被手动逐跳跟随每一跳在请求前都用该 feed 自己的 https origin 校验偏离 origin 或降级的跳转直接拒绝而非联系响应体上限 8 MBTRANSIT_PROXY_MAX_BODY_BYTESprotobuf 在服务端在实体数与字符串长度上限约束下解码差分differentialfeed 被拒绝快照在内存中存活 15 秒无磁盘缓存Cache-Control层面的位置数据几分钟就过期每个 feed 有准入限流器admission limiter 失败退避阶梯cooldown ladder连续失败把下次尝试推后至 5 分钟一次成功即复位约束本进程对任一运营商的请求强度。4.5 其余通用防线响应体大小上限与超时所有代理响应均有 cap 与 timeoutCCTV 帧、媒体、Transit、TxDOT 快照等均可见*_TIMEOUT_MS/*_MAX_BODY_BYTES常量。错误信息清洗内部错误细节不回显给客户端客户端只收到 sanitized 错误。OAuth 刷新合并 仅缓存成功响应OpenSky并发刷新被 coalesce失败的响应不被缓存。脱敏的调试日志语音调试日志写入.gev-logs/已 gitignore落盘前剥离 API key、bearer token、客户端密钥与图片 data URLserver/providers/openai/debug-log.js 中记录路径为.gev-logs/realtime-conversations.jsonl。五、网络暴露运维者的威胁模型开发服务器本质是一个key broker上表每一把服务端密钥对任何能向它发送 HTTP 请求的人都是可花费spendable的。因此默认值全部向不暴露倾斜5.1 默认仅本机./scripts/dev-fresh.sh以及 build/vite.js 的 Vite 配置本身默认绑定localhost只有本机能访问服务器allowedHosts保持受限[localhost, 127.0.0.1, .local]这同时钝化了 DNS-rebinding 攻击——只有HOST0.0.0.0或::时才放开为true。启动脚本 scripts/dev-fresh.sh 的注释与默认值即是文档该条的直接落点。5.2 LAN 暴露是显式 opt-inHOST0.0.0.0 ./scripts/dev-fresh.sh启动器会打印醒目警告与你的 LAN URL。选这个选项意味着该网络上的每台设备在服务器运行的整个期间都可以驱动代理并花掉你的 OpenAI / Google / OpenSky / AISStream / TomTom / FIRMS 配额。只在信任的网络里这样做。5.3 应用层限流opt-inGEV_RATELIMIT_OPENAI_PER_MIN与GEV_RATELIMIT_GOOGLE_PER_MIN按客户端 IP、按分钟限制成本型端点超限请求收到清洗过的429。实现上server/providers/common/rate-limit.js 的makeOptInRateLimiter只在设置正整数时才启用未设置/0/非数字 不限流运行期 no-op窗口固定 60 秒全局上限取 per-IP 上限的 20 倍防止单主机饿死他人。限流键clientKey只用真实 socket 对端地址不信任 X-Forwarded-For客户端可控轮换伪造值会刷新配额并撑大限流表。文档明确它们是per-IP、进程本地、内存中的守卫——重启即清零不是账单上限。5.4 提供商侧预算才是真正的兜底要硬性的花费保护请在花钱的地方配限额OpenAI 平台用量限制、Google Cloud 预算告警 各 API 配额以及其他任何带 key 提供商的等价控制。.env.example 中对应变量的注释也给出了具体入口如 Google Cloud Console → Billing → Budgets alerts以及 APIs Services → Quotas。5.5 Pinokio 的 LAN 与 Cloudflare 分享被拒绝文档说明当前受支持的 Pinokio 版本会在应用注册 Open URL 时重新读取分享状态并在自己的通知与终端流中记录成功的隧道登录 passcode。因此预检preflight之前启动器会把应用级分享控件重写为禁用值清除子进程中的 Pinokio 全局 passcode把平台分享触发器固定为禁用哨兵sentinel。任何陈旧或请求中的分享值都被丢弃而非采纳GEV 只以 loopback 启动。需要远程访问时请自行使用经过评审的认证代理并让提供商侧配额充当花费兜底。六、适用范围与预期Scope ExpectationsVite 服务器是开发/预览服务器一旦暴露到 localhost 之外必须放在自己的认证/代理之后并重新审视绑定见上文威胁模型。展示的所有数据均来自公开源请参阅 DATA_SOURCES.md遵守各提供商的服务条款与速率限制。语音 Agent 会把 feed 来源的文本地名、呼号作为场景上下文它被指示只能通过固定的应用控制工具集合行动不得执行数据中出现的任意指令。但仍应把模型输出视为不可信并保持工具面tool surface最小化——对应实现可见 server/providers/openai/realtime.js 中的GEV_REALTIME_TOOLS与会话tool_choice: auto配置。七、负责任使用这个界面呈现的是本就公开的信号。使用时请尊重隐私遵守数据提供商的条款并且不要把基于公开数据的推断包装成权威情报。安全模型的目的不是把工具锁死而是让每个人在清楚成本与边界的前提下安全、负责地把这套公开数据可视化跑起来。延伸阅读密钥环境变量的完整清单与逐项注释见 .env.exampleOpenSky 认证模式的细节见 docs/opensky-auth.md数据源清单见 DATA_SOURCES.md。【免费下载链接】gods-eye-viewA spy satellite simulator in your browser, except the data is real. Live open source spatial intelligence on a photorealistic 3D globe.项目地址: https://gitcode.com/GitHub_Trending/go/gods-eye-view创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
