安全与权限
Honk 的配置里有节点密码、订阅地址和面板凭据。默认只在本机与 LAN 内使用，别把管理入口开到公网。
暴露面
| 入口 | 默认 | 说明 |
|---|---|---|
| LuCI 管理 | 由 uhttpd 提供 | 跟着 LuCI 的登录与 ACL 走 |
| 原生 API（Doona） | 192.168.x.x:9527 | 只绑 LAN 地址，带口令认证 |
| Clash API | 关闭，端口 9090 | 启用时必须设密钥，给 Zashboard 等面板用 |
| 配置终端（PTY） | 18793 | 按 honk.main.bind 绑 LAN / 全部 / 回环；口令 pty_token 为空时拒绝一切连接 |
LuCI 走未加密 HTTP 时，浏览器到路由器之间的登录信息和 API 流量没有传输加密。要把面板暴露到外网，必须套 HTTPS 反向代理，并给 Clash API 设强口令。
凭据在哪
/etc/config/honk—— UCI 配置，含 Clash API 密钥、PTY 口令/etc/honk/config.dae—— 节点链接与订阅地址，权限 0600/etc/honk/system.dae—— 面板托管的配置段，权限 0600
备份时留意：这几份文件里就是明文凭据。要发给别人排查问题，先脱敏。
只允许 LAN 访问
默认的 bind=lan 会把 PTY 和原生 API 绑在 LAN 地址上，WAN 侧访问不到。确实需要外网访问时：
- 用反向代理 + HTTPS，不要把端口直接映射出去
- 给 Clash API 换掉默认密钥，并限制来源地址
bind不要改成all，除非你已经用防火墙限定来源
删除数据
apk del luci-app-honk honk
rm -rf /etc/honk /etc/config/honk卸载脚本不会自动删 /etc/honk/，避免误删配置。确认不再使用后再手动清理。