06-演练模式与开发纪律：在被控机上开发远控的安全做法

作者：黒漂技术佬｜系列：ALSPD-DESK 键鼠注入与保命措施（六）

前面五篇把注入基础和四层保命措施都讲完了。最后这一篇，我想聊点更根本的东西——开发纪律。

这个项目有个很特殊、甚至有点黑色幽默的处境：开发机就是被控机。你要在自己这台正在写代码的电脑上，运行一个「会夺取键鼠」的 Agent。换句话说，你亲手写的 bug，有可能立刻夺走你自己的鼠标键盘。这不是脑筋急转弯，是每天都会面对的真实两难。

那怎么办？难道要专门找第二台机器才能开发？项目用一套「演练模式 + 分阶段纪律」把风险压到了最低。这篇就讲这套做法——它不仅是技术，更是一种工程责任感。

一、真实的两难：测试注入 = 拿自己的键鼠冒险

先把这个两难的画面立起来。远控的核心就是「注入键鼠」。要验证注入逻辑写对了，最自然的做法是：跑起来，在 Viewer 那端动鼠标，看本机光标有没有跟着动。

但问题就在这「看本机光标跟着动」上——一旦注入逻辑有 bug（比如坐标换算写反了、标志位漏了、点击前忘了先移动），本机光标就会乱飞、键盘就会乱敲，而你正坐在这台机器前，眼睁睁看着自己被接管，还没法正常用键鼠去关掉它（急停热键能救场，但最好别走到那一步）。

所以一个朴素的结论：不能在开发期就把真注入跑在开发机上。得有个办法，让整条链路「真刀真枪地跑起来，但就是不去碰真实键鼠」。这正是演练模式的由来。

二、dry_run：只记录，不执行

项目源码里注入器有个dry_run开关。当它为True时，所有「发送」动作都只是把输入结构记进一个列表，完全不调用 SendInput：

def_send(self,*inputs)->bool:"""调用 SendInput。返回是否全部成功。"""ifself.dry_run:self.calls.append(inputs)# 只记下来，绝不真的操作键鼠returnTrueifnotIS_WIN:returnFalsearr=(INPUT*len(inputs))(*inputs)sent=user32.SendInput(len(inputs),arr,ctypes.sizeof(INPUT))...

release_all()同样遵守这个开关：dry-run 下只往calls里记一条("release_all",)，不去补发任何抬起事件。

这意味着：在演练模式下，Viewer 端的鼠标移动、点击、滚轮、键盘，会一路穿过协议、穿过会话编排、穿过注入器的全部换算逻辑，最终到达_send——然后被「记一笔」而不是「发出去」。本机键鼠毫无反应，但你能在日志/计数器里看到「这次移动换算成了什么 INPUT 结构、点击前有没有先移动、滚轮算了几格」，从而确认整条链路是对的。

这就是「演练」二字的意思：动作全做，效果全免。

举个具体例子。在演练模式下，你在 Viewer 里做了一次「移动到归一化 (0.5, 0.5) → 左键按下 → 左键抬起」，注入器calls列表里大致会记成这样（省略结构细节）：

[ MOVE 到绝对坐标(...), # 点击前先移动 LEFTDOWN, # 左键按下 LEFTUP ] # 左键抬起

你看得到：移动确实排在按下之前（印证了「点击前先移动」），坐标换算也被真实执行了，只是没有SendInput被调用。测试就是这个列表断言「结构对不对」——比如断言「按下事件前必有一个移动事件」「滚轮事件的 count 在 1~10 之间」「扩展键带了 EXTENDEDKEY 标志」。这些断言全部不需要真实键鼠参与，安全且可重复。

三、所有单元测试都跑在 dry-run 下

这个原则非常硬：自动化测试全程不碰真实键鼠。项目源码注释里写得很直白——因为开发机就是被控机，测试里真注入的话，一旦有 bug 就会夺走开发者自己的键鼠。

所以无论是「注入准确性」（移动/点击/滚轮/按键 → 正确的 INPUT 结构）、还是「保命措施」（急停三连、空闲断连、release_all、活动检测），全部在 dry-run 下验证——只检查calls列表里记录的结构是否符合预期，而不是真的去动光标。

实测覆盖也很说明问题（引用项目实测数据）：注入链路 + 保命措施（dry-run）25/25全过；注入参数换算与保命措施（dry-run）46/46全过；多显示器坐标还原（含边界与拒绝逻辑）26/26全过。这些全都是在「只记录不执行」的前提下拿到的，安全且可离线复现。

四、环境变量临时开启：不改动配置也能演练

演练模式除了写死在配置里（input_dry_run = true），还支持用环境变量临时开启：

dry=bool(a.input_dry_runoros.environ.get("ALSPD_INPUT_DRY_RUN")=="1")

这个设计很贴心：你不想为了临时验证改配置文件，直接在启动前设个环境变量即可（比如ALSPD_INPUT_DRY_RUN=1）。验证完关掉终端、重开，配置还是原来的样子。对于「想快速做一次无害验证」的场景，少改文件、少留痕迹，心理负担更小。

五、测试与验证的分层：从「零风险」到「真实注入」

项目把验证严格分成几层，每一层都比上一层更「真」，但风险也更高，必须下层通过才进上层。这套分层是开发纪律的核心：

第 0 层：自动化 dry-run（25/25 + 46/46）

纯单元测试，在演练模式下跑。这一层永远安全，是每次改代码后最先跑的回归。它验证的是「逻辑对不对」，不涉及任何真实键鼠。借项目实测数据感受一下覆盖广度：

这些测试全在「只记录不执行」的前提下拿到，安全、可离线复现。它们覆盖了坐标换算、扩展键标志、抬起标志、边界钳制、未知按键拒绝、扫描码 0 拒绝、急停三连、空闲断连、release_all、活动检测触发/恢复/开关等几乎全部注入相关逻辑。只有当这一层全绿，才值得往上一层走。

第 1 层：演练模式看计数在涨

真实启动 Agent + Viewer，但开input_dry_run。在 Viewer 里乱动鼠标、点击、滚动、打字——本机键鼠应当毫无反应，但 Agent 的状态日志里「移动 N / 点击 N / 滚轮 N / 按键 N」的数字在涨。这就证明：事件从 Viewer 一路正确走到了注入器，只是被「只记录不执行」挡在了最后一关。

第 2 层：真实但无害可逆的动作

确认急停好使之后，第一次真实注入只做一件无害且可逆的事：把光标移到某个位置，再移回来。不动复杂的、不可逆的操作。先确认「点哪到哪、位移正确」，再扩大范围。

第 3 层：逐步真实注入

再试单击空白区域（看是否点中）、开记事本敲字母（看字符对不对）、长网页里滚滚轮。每一步都观察本机反应是否符合预期。

第 4 层：确认急停好使之后才做真实注入

注意顺序——急停验证必须排在真实注入之前。你不能在还没确认「刹车好使」的情况下就去真踩油门。项目给的手动验证清单，正是先「启动就按一次急停确认进程退出」，再做真实注入。这一条顺序不可颠倒。

六、分阶段实施纪律：Phase 1 先纯只读，Phase 2 才开注入

放大到整个项目推进节奏，也是「先不伤人、再伤人」的递进：

• Phase 1 只做纯只读画面：中继 + Agent 上传画面 + Viewer 显示 + 加密。这一阶段allow_input永远是 false，连注入器都不创建，绝对不可能碰键鼠。先把采集、传输、加密、显示这条链路跑稳。
• Phase 2 才开输入注入 + 保命措施：链路稳了，再上注入，同时急停、只读、空闲断连、活动检测、release_all 一起就位。

这个顺序原则很关键：如果一开始就想着「顺便把注入也写上」，很容易在链路还没验证时就引入键鼠风险。先证明「看得见但动不了」是稳的，再谈「动得了且安全」。

七、注入目标限定的建议

首次实测真实注入时，还有一个实用建议：注入目标先限定。比如先只在专门的空白窗口、或某个无害的应用里测试，而不是全屏乱点、去碰任务栏/开始菜单/浏览器地址栏这些「点错一下后果明显」的地方。等位移、点击、键盘、滚轮都验证对了，再放开到日常操作。

举个具体的收敛顺序：先在记事本里验证「移动到位、点一下能聚焦、敲字母出字符、滚轮能滚」；确认无误后，再去做浏览器里的操作；最后才去碰系统级 UI。每一步都把「后果可逆、影响范围小」放在前面。配合前几篇讲的保命措施，即便真有点偏差，你还有急停、有活动检测、有只读开关随时收手，风险是层层兜底的。

这背后是一种心态：把「第一次真注入」当成一次实验，而不是日常使用。实验就得在可控、可回退的小范围里做，而不是一上来就全盘放开。

八、权限与合规提醒（务必读）

最后，再怎么有保命措施，也抵不过「用错了地方」。这里必须严肃提醒：

• 仅限本人拥有、或已获得明确授权的设备上使用。未经授权在公司设备上安装远控工具，可能违反公司规定，甚至涉及法律风险。
• 如果要在公司电脑上部署或使用，请先确认是否符合贵司的IT 与安全政策。很多公司对远控类工具有明确的管控要求，擅自安装可能触发安全告警。
• 本项目按「现状」提供，未经安全审计。请务必设置足够强的password与relay_token，不要把这两类凭据写进会被共享的地方。

这些提醒不是客套。远程控制本质上是一把双刃剑，用它管理自己的设备是便利，越界用到别人/公司的设备上就是麻烦。工程能力越大，越要守边界。

九、小结

本篇把「在被控机上开发远控」这个两难，用一套纪律化解：

• 真实两难：开发机就是被控机，注入 bug 会夺走自己的键鼠；
• 演练模式dry_run：只把输入结构记进列表、完全不调 SendInput，动作全做、效果全免；
• 所有单元测试都跑在 dry-run 下，绝不碰真实键鼠（实测 25/25 + 46/46）；
• 环境变量ALSPD_INPUT_DRY_RUN=1可临时开启，不改配置；
• 验证严格分层：自动化 dry-run → 演练看计数 → 无害可逆动作 → 真实注入（且急停验证必在真实注入之前）；
• 分阶段实施：Phase 1 先纯只读、确认链路稳，Phase 2 才开注入；
• 首次真实注入先限定目标，再逐步放开；
• 合规底线：仅限本人拥有或已授权设备，公司设备先确认 IT 与安全政策，设置强口令。

到此，「键鼠注入与保命措施」六篇全部写完。从注入基础、多显示器坐标还原，到急停热键、三层兜底、本机活动检测，再到本篇的演练模式与开发纪律——它们共同回答了一件事：怎么既把键鼠注入写对，又保证开发机就是被控机时绝不出事。把风险当一等公民来设计，而不是等出了事再补，这就是这个项目在工程责任感上最值得借鉴的一点。