企业官网建设流程全解析

04-三层兜底：只读模式空闲断连与断线释放按键

作者：黒漂技术佬｜系列：ALSPD-DESK 键鼠注入与保命措施（四）

上一篇讲的急停热键，是「出事了能立刻停车」的硬刹车。但最好的保命，是让它根本没机会出事。所以除了急停，项目还布了三道「平时就兜着」的兜底：只读模式、空闲自动断连、断线释放按键。

这三道的设计哲学其实就一句话：默认不伤人。开发机就是被控机，任何一次不该发生的注入，代价都是「夺走自己的键鼠」。所以能不注入就别注入，非注入不可时也要有自动收手的余地。

一、只读模式：根本不创建注入器

这是第一道、也是最重要的一道兜底层。它的实现有一个反直觉但非常干净的点——

allow_input = false时，压根不创建注入器对象。

不是「创建了注入器、收到事件时拦截掉」，而是「连注入器这个对象都不 new」。项目源码的_setup_injection()开头就是一句：

def_setup_injection(self,cap):a=self.cfg.agentifnota.allow_input:return# 只读模式：什么都不做，注入器就是 None# ... 后面才是创建 InputInjector、注册急停热键

为什么这个差别重要？因为如果「创建了但拦截」，意味着注入器、热键、各种状态都还存在，任何一处逻辑漏判都可能让注入溜过去。而「不创建」是物理层面的隔离：没有注入器，就不可能有任何 SendInput 被调用。代码的判定也顺势变得极简——readonly = self._injector is None，注入器没建起来就一律当只读。

只读时键鼠事件明确记数并丢弃

那 Viewer 一端在只读模式下发来的键鼠事件去哪了？它们被明确记数并丢弃，绝不静默注入。源码在接收循环里：

ifmtype==protocol.MSG_INPUT:ifnotself.cfg.agent.allow_inputorself._injectorisNone:# 【保命措施】只读模式：明确记数并丢弃，绝不静默注入self.stats["input_ignored"]+=1ifself.stats["input_ignored"]%50==1:self.log("[只读] 已忽略 %d 个键鼠事件（allow_input=false）"%self.stats["input_ignored"])continue

注意关键词「绝不静默」。它每忽略 50 个事件就打一行日志，让你看得见「哦，确实有键鼠事件进来，但它们被我丢掉了」。如果改成完全不打日志的静默丢弃，你就无从确认只读是否真的生效，反而更危险。

默认配置里agent.allow_input就是false（只读）。首次使用请务必保持它 false，先确认画面链路稳定、并亲自验证过急停热键之后，再考虑开启注入。

合规提醒：如果你要在公司电脑上部署或使用本类远控工具，请先确认是否符合贵司的 IT 与安全政策，并且仅限在本人拥有或已获明确授权的设备上操作。未经授权在公司设备上安装远控工具可能违反规定。

二、空闲自动断连：Viewer 崩了也不挂着会话

第二道兜底解决的是「半死不活」的状态。设想：Viewer 那边程序崩了、网络断了、或者你忘了关，但 Agent 这边还执着地保持着会话、甚至可能还「按着」某个键。这种悬空会话既浪费资源，又可能让注入状态卡住。

项目源码用「空闲计时」来破局：记录最后一次收到 Viewer 活动的时间，一旦超过阈值（默认 60 秒）没有任何操作，就断开会话并松开按键：

limit=self.cfg.agent.idle_disconnect_secondswhileTrue:awaitasyncio.sleep(0.5)ifself._panic.is_set():# ... 急停优先idle=time.time()-self._last_viewer_activityifidle>=limit:self.log("[保命] 空闲 %.0f 秒（上限 %s），自动断开并松开按键"%(idle,limit))ifself._injectorisnotNone:self._injector.release_all()awaitsess.close()return

阈值由idle_disconnect_seconds控制，默认60。这个设计的出发点很实在：远程桌面的典型场景是人坐那儿操作；如果 60 秒都没任何键鼠/心跳活动，大概率是 Viewer 已经不在了，这时候把会话断开、把所有按键松开，是最安全的归宿——既不白占链路，也避免「卡住的按键」遗留。

三、watchdog：0.5 秒小步进轮询，为什么是它？

上面那段空闲断连逻辑，藏在一个叫watchdog（看门狗）的协程里，它循环用的是await asyncio.sleep(0.5)——每 0.5 秒才检查一次。为什么是 0.5 秒，而不是 0.1 秒或 5 秒？

这背后是两个相互拉扯的需求，必须取一个平衡点：

• 急停必须立刻生效：热键按下后，_panic事件被置位，watchdog 要在下一轮就发现并断开，不能让你按了急停还得干等好几秒才有反应；
• 空闲断连要及时触发：又不能拖太久，否则空闲超时了还在苟着。

0.5 秒这个步长，刚好两头都照顾到：急停按下后最多半秒就被响应，体感是「一按就停」；空闲到点的判定延迟也最多半秒，足够及时。如果步长拉长到 5 秒，急停的体感就会明显变钝；如果缩短到 0.1 秒，对一条本就不忙的看门狗来说只是徒增无谓的轮询。0.5 秒是工程上「够快又不过度」的甜点。

四、断线释放按键 release_all：任何断线路径都要调

第三道兜底，是最容易被忽略、但一旦漏掉后果很诡异的一种 bug——卡住的按键。

想象注入过程正进行到一半：你按下了左 Ctrl，或者鼠标左键还按在半路上，这时网络突然断了。如果 Agent 不做任何处理就结束会话，那个「按下」状态会永远留在被控机系统里——左 Ctrl 一直被认为按住着，你在本机敲什么都可能变成「Ctrl+xxx」的快捷键组合，乱套了。

所以项目源码准备了release_all()：补发「三个鼠标键的抬起」，外加一段常见修饰键扫描码的抬起。它长这样（节选自注入器）：

defrelease_all(self)->None:ifself.dry_run:self.calls.append(("release_all",))returninputs=[]for_down,upinBUTTON_FLAGS.values():inputs.append(self._mouse_input(up))# 三个鼠标键统统抬起# 常见修饰键 + 主要按键，统统补一个抬起，覆盖左右 Ctrl、左右 Shift 等forscin(0x1D,0x2A,0x36,0x38,0x1D|0x100,0x38|0x100):ext=bool(sc&0x100)inputs.append(self._key_input(sc&0xFF,False,ext))ifinputs:self._send(*inputs)self.log("[注入] 已松开所有按键（防止远端卡键）")

几个要点：

• BUTTON_FLAGS的三个鼠标键（左/右/中）的「抬起」事件全发一遍，确保鼠标键不卡住；
• 修饰键扫描码0x1D（左 Ctrl）、0x2A（左 Shift）、0x36（右 Shift）、0x38（左 Alt），以及它们带0x100标记的扩展版本（对应右 Ctrl、右 Alt 等），统统补一个抬起——这样左右 Ctrl、左右 Shift、左右 Alt 无论哪个被按住都能释放；
• 这串按键补发，正是急停三连里「松开所有按键」调用的同一个方法。

任何断线路径都要调

设计说明里有一句很硬的话：任何断线路径都调release_all()。这不是夸张。看源码的会话收尾：

finally:# ... 取消任务、停采集线程self._teardown_injection()# 内部就会调 release_all()self._teardown_clipboard()awaitsess.close()self._log_stats()

_teardown_injection()里会先release_all()再卸掉急停热键；空闲自动断连那条路径也显式调了release_all()；急停回调里同样调了。无论是「正常断开」「空闲超时」「急停」，只要会话要结束，按键一定有释放的机会。漏掉任何一条断线分支，都可能留下卡键——所以这条规矩必须被所有路径遵守。

五、三层叠加，织成一张安全网

把这三层放在一起看，逻辑就很清晰了：

它们和急停热键（上篇）一起，构成「默认不伤人」的纵深防御：能不注入就不注入；注入时若你离手超 60 秒自动松手；无论怎么断线都把按键释放干净；真失控了还有那颗随时能按的刹车。

六、小结

本篇的三层兜底，是比急停更日常的保护：

• 只读模式靠「allow_input=false时根本不创建注入器」实现物理隔离，事件明确记数并丢弃、绝不静默；
• 默认allow_input=false，首次使用请保持只读，验证急停好使后再开注入；
• 空闲自动断连默认 60 秒无操作即断开并松键，避免 Viewer 崩了还挂着会话；
• watchdog 用 0.5 秒小步进，既保证急停立刻生效、又能及时触发空闲断连；
• 断线释放按键release_all补发三鼠标键抬起 + 常见修饰键（含扩展版本）抬起；
• 任何断线路径都必须调release_all，这是铁律，漏一条就可能卡键。

急停是硬刹车，这三层是平时的安全带。但还有一类更微妙的情况：你本人就在被控机前动鼠标，远程那端也在注入——两边抢同一个光标。这不能靠急停（那是为了失控准备的），而要靠「本机活动检测」来温和礼让，我们另篇再细说。

七、四道机制如何协作

把急停（上篇）和本篇三层合起来看，它们各自守一段：

它们层层递进：能不注入就不注入；注入时若你本人也在动就礼让；你离手久了自动松手；真失控了还有随时能按的刹车。这套组合，就是「默认不伤人」的具体落地。