需对Qoder文件实施双重加密：一、启用HTTPS（TLS 1.3）与本地代理加密网关；二、用AES-256-GCM加密脚本并嵌入解密器；三、配置Ed25519 SSH密钥认证；四、高敏场景启用OnionShare洋葱分发；五、通过诊断工具验证加密状态与权限隔离。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用QoderWork或Qoder-Free分发脚本类文件时，发现传输过程未加密、存在被中间节点截获或ISP识别限速的风险，则需对传输通道与文件内容实施双重加密保护。以下是保障Qoder文件加密传输的具体操作步骤：
一、启用端侧本地加密通道
QoderWork默认采用本地执行架构，所有文件处理均不上传云端，但若通过HTTP/FTP等非加密协议分发脚本，仍可能暴露路径、参数及元数据。启用本地加密通道可确保脚本在分发前即被封装于安全信道中，防止网络层嗅探。
1、打开QoderWork桌面客户端，点击左上角【设置】→【安全中心】。
2、在“传输安全”区域，将“脚本分发协议”下拉选项由“HTTP（明文）”更改为HTTPS（强制TLS 1.3）。
3、勾选“启用本地代理加密网关”，该选项将启动内置轻量级TLS代理，为所有出站脚本请求自动注入证书绑定与SNI混淆。
4、点击【应用】保存，系统将自动生成并部署本地CA证书至可信根存储区。
二、对脚本文件本身进行AES-256加密封装
仅加密传输通道不足以防范接收端环境不可信或存储介质泄露风险。对脚本文件实施强加密封装，可确保即使文件被离线获取，也无法直接执行或反编译。
1、在QoderWork主界面，右键待分发的脚本文件，选择【高级打包】→【加密打包】。
2、在弹出窗口中，选择加密算法为AES-256-GCM，模式为“密钥派生+一次性随机盐值”。
3、输入至少16位含大小写字母、数字及符号的主密码，并确认；该密码不会以明文形式存储或传输。
4、勾选“嵌入运行时解密器”，使生成的.packed文件可在目标设备上通过QoderRuntime自动解密并加载执行，无需手动输入密码。
5、点击【生成加密包】，输出文件后缀为.qoderpack，原始脚本内容已不可见。
三、配置基于SSH密钥的身份认证分发链路
当脚本需推送至远程服务器或开发终端时，传统密码认证易遭暴力破解或会话劫持。使用Ed25519 SSH密钥对建立认证链路，可彻底消除凭证明文传输，同时实现分发行为的强身份绑定与审计溯源。
1、在QoderWork【安全中心】→【密钥管理】中，点击【新建密钥对】，算法类型选择Ed25519，注释填写目标主机标识（如“qoder-prod-server”）。
代码编辑 CLI 工具集合：Cursor CLI（agent）和 Qoder CLI（qodercli），用于代码修改、重构、Code Review 及自动化代码任务。
2、设置密钥保护口令（passphrase），长度不少于12位，且必须包含大小写字母、数字与特殊字符。
3、点击【导出公钥】，将生成的id_ed25519.pub内容复制到目标服务器的~/.ssh/authorized_keys中，并执行chmod 600 ~/.ssh/authorized_keys。
4、返回QoderWork，在【任务分发】→【远程推送】配置中，选择该密钥对作为认证方式，并禁用“密码回退”选项。
四、启用OnionShare匿名分发通道（离线/高敏场景）
对于禁止IP暴露、需规避网络审查或面向匿名协作方的脚本分发，可借助OnionShare构建临时Tor洋葱服务，实现零日志、无中心化、端到端加密的离线分发。
1、确保系统已安装OnionShare CLI或桌面版（v2.10+），并在QoderWork【安全中心】→【扩展通道】中启用OnionShare集成开关。
2、选中待分发的.qoderpack文件，点击【分发】→【OnionShare临时站点】。
3、设置访问密码（可选），启用“一次有效链接”模式，生成唯一.onion地址（如abcd1234567890efgh.onion）。
4、该地址仅在QoderWork内显示120秒，超时自动销毁服务；接收方须使用Tor Browser访问，下载后文件仍保持AES-256加密状态。
五、验证加密状态与权限隔离
完成上述任一配置后，必须实时验证加密是否生效、权限是否严格收敛，避免因配置残留或权限宽泛导致防护失效。
1、在QoderWork【安全中心】→【诊断工具】中，点击【扫描当前分发任务】。
2、查看结果列表中每项任务的“传输协议”列是否显示HTTPS/TLS 1.3、“文件状态”列是否为AES-256-GCM加密、“认证方式”列是否为Ed25519密钥或OnionShare.onion。
3、检查“权限范围”列，确认无“读取全部本地文件”“执行任意Shell命令”等过度授权标记。
4、点击对应任务右侧的【模拟拦截测试】，系统将启动本地DPI检测模块，反馈是否存在明文特征泄漏。
