LiveTa API 本机配对助手 v1.6

使用已有Docker及TeslaMate的电脑：Windows双击Connector/setup-windows.cmd，Mac双击Connector/setup.command，浏览器会打开本机配对页面。
无需GPT，也不需要手动执行配对命令。需要Python3、Docker及Docker Compose；Windows缺少Python时可确认通过WinGet安装，Docker缺失时也可打开交互式安装；协议、UAC和重启由用户确认。共同入口setup/bootstrap.py自动识别系统；也可直接运行python3 setup/server.py。
这个版本是自托管安装包，不是已签名/公证的桌面安装程序，也不是公开镜像发布。

已有API
页面检测livelight-connector。已经安装时不覆盖、不升级、不改现有手机服务器。
Tailscale：自动发现本机指向8795的Serve入口；也可填写已有.ts.net HTTPS地址。检查成功后点生成二维码。未安装时可准备独立Tailscale容器、打开自己的登录页面、完成HTTPS配置。已有主机Tailscale时不重复安装；关闭状态需用户自己打开。
CF：使用自己账户中的域名、命名Tunnel和Access应用。页面提供操作说明及官方控制台入口。保护整个主机名，Service Auth仅允许自己的Service Token；不使用Bypass或Everyone。填写专用Tunnel令牌与Access Client ID/Secret，保存后启动独立Tunnel并检查。已有配置可隐藏保留，不回显秘密。
CF账户、域名和Access策略仍由用户自行在Cloudflare创建；配对助手不创建账户或购买套餐。

尚未安装API
打开页面后自动检测已有TeslaMate的Docker网络、数据库、MQTT认证与主题前缀。识别成功后点击“使用检测结果安装API”，无需手填连接配置；密码不发送到浏览器或二维码。安装前重新检测，写入仅本机用户可读的配置文件，并验证API、数据库只读与MQTT连接。多套实例需要选择容器名；特殊TLS、主机网络、检测不支持等情况明确停止，可展开手动配置。已有API或已有连接配置不覆盖。只安装API，不重建TeslaMate、数据库或MQTT。新客户主机及Windows实机验收仍待完成。
API和CF Tunnel始终是两个独立容器。当前仍共享API网络命名空间；API容器被重建后需重新绑定Tunnel，固定独立网络优化尚未交付。

二维码
在电脑页面点“生成配对二维码”，手机LiveTa扫码、核对地址、选择车辆。
二维码只显示在本机页面，不发邮箱、不上传图库；API配对码10分钟内有效且只能使用一次。新码替换尚未使用的旧码，不影响已配对手机。
CF二维码要求App122及以上，并包含Access凭据；Access有独立有效期，不会随10分钟配对码自动失效。二维码不要截图、分享或上传。到期清除内存中的二维码内容，页面识别已使用或过期状态。配置保存到runtime私密文件；runtime不能打进分发包。

安全与费用
本机页面只监听127.0.0.1随机端口，使用随机会话路径、Host校验及同源/CSRF校验。不要把这个页面放进Tunnel或向公网映射，不挂载Docker socket给API。操作调用固定Docker命令，不执行网页传入的Shell命令。
页面运行在拥有Docker权限的电脑用户下；页面底部“停止本机助手”只关闭本机页面服务，不停止API或Tunnel；也可关闭启动器窗口停止它。重新双击会复用已运行的页面或重新启动。
Tunnel本身不按车况请求计费；Access按用户自己的套餐，域名另计；照片Worker/R2/D1单独计费。配对助手不购买或升级套餐。实际账单以Cloudflare为准。

已有HTTPS／仅本地模式：页面第三个选项可跳过TS和CF，不会创建或停止任何连接容器。填写自建反向代理的HTTPS源地址、选择是否只在本地使用，验证服务与证书后生成不含Access凭据的v1二维码。API配对鉴权仍保留。本地使用不是HTTP例外，也不自动配置可信证书、路由器或远程入口；离开可达网络会无法连接。App已支持普通HTTPS二维码，无需更新手机。该模式尚无独立真实HTTPS站点的端到端验收，地址验证和二维码生成使用隔离测试覆盖。

Windows兼容状态：新增双击入口、自动依赖检测和交互式安装引导。密钥文件不依赖chmod600，而使用当前用户/SYSTEM的NTFS ACL；失败不写入密钥。分发包请完整解压到本地NTFS目录。Windows分支与ACL有模拟测试，但没有Windows真机、WSL2重启或NTFS实际权限验收；不宣称Windows正式发行版。

默认引导：Tailscale标记推荐并默认选中，优先复用已有主机TS；没有TS地址时展开首次配置步骤。已有HTTPS放第二，CF标记高级放第三。CF Tunnel仍按需由用户选择后启动，安装API不自动启动CF；不更改已配对手机的服务地址。
