访问码
访问码让控制端只需在连接框输入一串短码即可连上一台在线被控端，无需知道对方地址。它有两种，且同一个输入框都收，由服务端自动识别输入的是哪一种：
- 设备码：每台在线被控端都会显示的长期码，随时用它重新连接该被控端。
- 协助码：带有效期的短期访问码，按远程协助需要临时签发；有效期内可再次兑换以支持重连，每次兑换都会单独审计。协助码由 Manager 签发；纯信令服务器只负责转发连接，不提供协助码。
兑换码
在连接框输入访问码并提交后（POST /api/desk/redeem-code），服务端会找到目标被控端并建立权限受限会话。通过开源信令服务器兑换访问码时，会话始终受到权限限制；只有使用账号凭据直接登录的设备所有者才能获得完整控制权限。
每次兑换都会应用设备所有者为该访问码设置的权限上限。会话期间的每个控制请求都会受到该上限约束。
单个访问码的权限上限
设备所有者可以为每个设备码设置权限上限，限制通过该码建立的会话可以执行哪些操作。每项权限有三种状态：
- 允许：放行（仍受被控端自身全局访问设置约束）。
- 询问：动作发起的那一刻弹框询问被控端本地用户。
- 拒绝：直接拒绝操作。
可以直接套用三种预设：仅查看（除屏幕查看和诊断信息采集外，其余能力全部拒绝）、协助（开放常用协助能力）和完全访问（全部允许）。也可以逐项设置远程控制、剪贴板、隐私屏、白板、终端、文件浏览、文件删除和文件传输权限。
文件删除是独立的破坏性能力。列目录和查看元数据需要文件浏览；删除条目必须同时具备文件浏览与文件删除。文件传输保持独立，只控制上传和下载。
未配置权限上限时，所有操作默认都要询问被控端用户，绝不会自动获得完整权限。
最终生效权限如何裁定
访问码的权限只是上限。每项操作最终采用以下三项限制中最严格的结果：
- 访问码权限上限——设备所有者为该码设置的范围；
- 被控端的全局访问设置——
config.toml的[security]；以及 - 被控端的现场审批——如果前两项合并后仍需询问，系统会弹窗请被控端本地用户决定。通过设备码或协助码建立的会话中，这次选择只对当前请求有效，不会写入全局访问设置，也不能放宽设备所有者设置的权限上限。所有者自己的会话仍可使用常规的“记住选择”功能。
因此，任一项为“拒绝”时操作都会被拒绝；任一项未配置时都会询问本地用户；只有访问码上限和全局设置都明确允许时，操作才会直接放行。权限由被控端强制执行，控制端显示的权限提示不能替代这一安全边界。
参见
- 被控端全局访问设置：config.toml →
[security]。 - 受限会话在信令层的视角：信令鉴权。