掘金· 挖坑的张师傅·· 9 天前精选AI 评分78
开源云端 Agent 项目用 Proxy 把凭证留在控制面、不进沙箱
Agent 基建系列（二）：基于 Proxy 的凭证不入沙箱和网络管控方案
AI 导读
开源云端托管 Agent 项目 superduck 介绍了一套基于 Proxy 的凭证隔离方案，把上游 Token 留在控制面，只在 Gateway 转发前注入，沙箱内只持有平台 Session 身份。
借鉴点
能拿走一套凭证不入沙箱的出口代理方案，含 LLM/MCP 专用入口、HTTPS_PROXY 加 MITM 动态签发证书、合并 CA bundle 与各语言代理配置，可落到本地模型部署和软件工厂；代价是只支持 CONNECT 443 与 HTTP/1.1，gRPC、mTLS、证书固定场景不兼容。
来源：掘金 · juejin.cn