h2-stack

三条约束，决定了其余的一切

零依赖

只用语言标准库和系统框架，密码学、协议栈自己实现。每个依赖都是一条供应链攻击面。

零信任

客户端不持有任何可复制的凭据。密钥生成在硬件里，每个请求单独授权，吊销即时生效。

公网零状态

公网节点只转发，不跑业务、不连数据库；被攻破也没有东西可偷。

依赖例外，逐项论证： x/cryptoACME 证书 mongo-driver仅 h2_mongo 内部 asmJVM 探针 SwiftTerm · CitadeliTools 终端

公网只转发，内网做业务

一个 :443 进来；公网只转发，TLS 在内网终结。

不可信侧

只开放 :443
被攻破也拿不到数据和凭据
中继不解密、不持密钥

受信侧

唯一 HTTP 入口，路由默认仅内网
数据库无公网路径，按库和集合授权
终端上报走独立加密链路

设备密钥是唯一凭据

不认 API key 和口令，只认设备硬件密钥，每个请求重新授权。

硬件生成密钥不可导出

生物认证Touch ID 或 PIN

逐请求授权批准、吊销即时生效

按服务开通每台设备单独授权

访问服务全程无需口令

没有可偷的秘密

磁盘上没有 token 或私钥文件，拷走整个目录也连不上。

吊销中途生效

吊销后下一个请求即被拒，长连接也一样。

接入只要一次批准

首次运行自动登记，在控制面核对指纹后批准。

每一次模型调用都过策略管线

内嵌于 h2_gateway；OpenAI / Anthropic 原样直通，请求与响应双向执行策略。

身份API key 或设备身份

IP 白名单IP / CIDR

敏感词命中即拦截

PII 脱敏请求与响应双向

System 注入强制前置指令

上游模型同协议直通

工具调用审计危险调用阻断

用量按 key / 设备记账

流式中途阻断

流式响应逐事件检查，违规即截断。

工具发现

自动记录出现过的工具，作为审计规则的依据。

无凭据接入

零信任设备无需 key，用量记在设备名下。

异常行为监控与审计

全平台终端，监控每个程序的行为，异常即告警，全程可追溯。

异常行为监控

进程、网络、文件、持久化，偏离基线即告警到控制台和手机。

审计可追溯

每个程序的行为都有记录，告警可回溯到具体事件。

全平台

Linux、Windows、macOS 统一管理。

每个组件，一个二进制

组件	层	做什么	语言
h2_tunnel	传输	全局透明代理、反向转发、分流与中继	Go
h2_gateway	应用网关	统一入口：证书、零信任、LLM 网关、设备消息、收信推送	Go
h2_ztna	零信任	硬件设备身份 + 命令行 LLM 客户端	Go
h2_agent原型	终端安全	全平台异常行为监控与审计	Rust · Go
h2_mongo	数据	MongoDB 唯一访问通道，按库授权	Go
h2_ops	控制面	主机、部署、告警、身份审批	Go · JS
iTools	移动端	消息、隧道、SSH、内容过滤	Swift

同样零依赖的开发工具：h2_proxy 拦截代理 · h2_zsh 单文件 Zsh 配置 · h2_extension Chrome 扩展

零依赖，零信任。一套只用标准库写成的基础设施。