[verified] refactor: harden operations and redesign device console

README.md

@@ -63,6 +63,10 @@ npm start
 - `auth.mode`：`none` 表示无密码；`password` 表示由本地聚合服务代登录。
 - `auth.password`：可选。本地保存后可自动刷新会话；不要提交真实密码。
 
+### 为什么只接受 IP 地址？
+
+聚合服务会代理设备管理 API。为避免 DNS 重绑定将已校验主机名切换到本机或元数据地址，设备 URL 必须使用明确的 IPv4/IPv6 字面地址；局域网 IP（如 `192.168.x.x`）可正常使用。
+
 ## 常用命令
 
 ```bash
@@ -89,7 +93,7 @@ npm audit --omit=dev --audit-level=high
 git diff --check
 ```
 
-第一阶段只提供架构端口和基础安全不变量。控制面完整鉴权、CSRF、完整 SSRF（DNS 解析/重绑定与私网 CIDR policy）、审计/权限，以及前端 CRUD 可达性和整体 UI 重构留到第二阶段。默认监听 `127.0.0.1`；显式配置 `0.0.0.0` 会保持，但这会暴露当前尚未鉴权的控制面。
+第二阶段安全加固后，服务仅允许监听 loopback；显式配置 `0.0.0.0`、LAN 地址或非 loopback 主机将拒绝启动。实例目标必须为允许的 IP 字面地址，拒绝凭据、loopback、unspecified、link-local、metadata、multicast 及主机名，以避免 DNS 重绑定。生产代理使用精确路径/方法白名单，写操作要求短期一次性确认令牌。
 
 ## 注意