标签：API 网关

灰产工具的安全审计，与一个 connection refused 的真身：qoder2api-hub 从扫描到 Docker 漂移

扫描 shuishuipingan/qoder2api-hub——纯 Python 标准库、零第三方依赖、官方离线测试 44 套件 1497 项断言全绿。逐项看过代码：无硬编码密钥、无 eval/exec、网络出口全是 qoder 官方域名、面板密码 PBKDF2 十二万轮、默认只绑 127.0.0.1。安全面干净，但合规面是灰的——用个人账号额度对外提供 API 服务。安装时撞上 Hyper-V 端口排除段 8731-8830，随后从原生版迁到 Docker 版；而 new-api 拉不到模型的真凶不是网关而是容器里的 127.0.0.1 指向自己。上游还在同日连发三个版本修复官方新上的排队信封。