功能能力网关层统一落地安全策略与首页安全策略一致：各项策略彼此独立，可按需启用、自由组合。策略在入口生效，内网服务无需改造登录与防护逻辑。独立启用 · 自由组合 · 入口生效首页 / 功能能力来源与路径先决定谁能进来、能进哪几条接口。IP 黑白名单只让可信地址触达入口办公网、CI、合作方进白名单，其余默认拒绝。规则跟隧道走，改完即时生效，不必在每个应用里各写一套来源判断。适用 管理后台、Webhook、CI 回调查看能力路由 Path 白名单基于 Path 维度的访问控制，公网暴露面最小化只开放必须对外的 Path，其余在网关拒绝。管理页、调试口、metrics 继续留在内网，不必整站上公网。适用 LLM API、支付回调、Partner 接口查看能力地址围栏基于地理位置的访问控制，不合规地区在入口拦截按国家 / 地区限制访问来源，不合规流量在入口拦截，规避扫描攻击。适用 仅国内后台、预发演示、远程登录查看能力入口身份从口令门禁到企业 IM 登录，都在网关完成。BasicAuth 认证网关附加用户鉴权认证，应用零改造在网关侧完成账号口令鉴权校验，避免应用与接口越权访问，内网应用零改造。适用 演示、预发、老系统查看能力OIDC / IAM Gateway对接企业 OIDC 用户身份信息源，先认证再转发，应用零直暴对接企微、飞书、钉钉 OIDC，先身份认证再转发内网，应用与数据安全驻留内网，安全合规，应用公网不可见。适用 内网后台、工作台直达查看能力观测访问轨迹可交接，排障与审计有依据。访问日志排障看谁被拒，审计看谁进来过访问日志、流量统计与异常追溯统一收口。排障时看谁被拒，审计时看谁进来过。适用 策略验证、安全事件、合规抽检查看能力在真实隧道上试一条策略下载客户端创建入口，再在控制台按需挂上名单、身份或日志。下载客户端查看定价
