使用后端端口（`:8000`），而不是 Next.js 仪表板端口（`:3000`）。自定义签名者必须哈希确切的 POST 字节：`json.dumps(payload, separators=(",", ":"), sort_keys=True)`。

### ⏱️ 时间机器 — 快照回放（v0.9.7 新增）

一种媒体式传输机制，用于整个遥测数据流。将实时地图视为可拖动、暂停和回放的录制内容。

* **实时 ↔ 快照切换** — 切换到快照模式会立即暂停全局轮询循环；切换回实时模式会使 ETag 失效并强制刷新快速和慢速两层，使仪表板无陈旧帧闪烁地追赶。
* **小时索引** — 每个捕获的快照按其小时桶索引，包含 `count`、`latest_id`、`latest_ts` 和完整的 `snapshot_ids` 列表。直接从时间线拖拽器跳转到任何捕获的时间戳。
* **帧插值** — 移动实体（飞机、船舶、卫星、军用航班）在回放期间在记录的帧之间平滑插值，使运动保持连续，即使快照稀疏。
* **可变回放速度** — 以可调速度逐帧、播放、快进和快退已保存的遥测数据。
* **配置文件感知** — 每个快照记录捕获时活动的隐私配置文件，因此回放忠实于该配置文件操作员所见。
* **操作员端而非服务器端** — 快照存储在本地后端；任何第三方都看不到回放时间线。

### 📦 API 密钥面板 — 路径优先、只读（v0.9.7 新增）

设置 → API 密钥现在是一个只读注册表。密钥值永远不会到达浏览器进程——即使是混淆前缀也不会。该面板显示：

* 后端 `.env` 文件的绝对路径，由 `Path(__file__).resolve()` 解析——适用于每个操作系统、每个驱动器、每个安装位置（Linux `/home/...`、macOS `/Users/...`、Windows 任意驱动器、Docker 容器、云虚拟机）。
* 路径本身的 `[exists]` / `[will be created on first save]` / `[NOT WRITABLE — edit by hand]` 指示符。
* `.env.example` 模板的路径，以便用户复制并填写自己的密钥。
* 每个密钥的二进制 `CONFIGURED` / `NOT CONFIGURED` 徽章，加上可复制粘贴的环境变量行（例如 `OPENSKY_CLIENT_ID=YOUR_VALUE`），用户可以手动放入文件中。

OpenSky API 凭据现在是一个**关键警告**环境要求：启动环境检查会标记缺少 OpenSky OAuth2 凭据并发出强烈警告，变更日志模态框直接链接到免费注册页面。如果没有它们，航班层将回退到仅 ADS-B 覆盖，在非洲、亚洲和拉丁美洲存在显著空白。

</details>

---

<details>
<summary>🏗️ 架构</summary>

ShadowBroker v0.9.7 由三个垂直堆叠的平面组成——**操作员 UI**、**后端服务平面**和**去中心化层（InfoNet）**——加上两个横切桥接（**时间机器**和**代理 AI 通道**，这是 OpenClaw 和任何其他兼容代理连接的协议）以及一个 **Privacy Core** Rust crate，它既支撑传统网格也支撑未来的屏蔽币/去中心化交易所工作。```
╔═════════════════════════════════════════════════════════════════════════════╗
║                       OPERATOR UI  (Next.js + MapLibre)                     ║
║                                                                             ║
║  ┌────────────────┐  ┌──────────┐  ┌────────────────┐  ┌────────────────┐   ║
║  │ MapLibre GL    │  │ NewsFeed │  │ Sovereign Shell│  │   Mesh Chat    │   ║
║  │  WebGL render  │  │  SIGINT  │  │  Petitions /   │  │  + Mesh Term.  │   ║
║  │  + clusters    │  │  GDELT   │  │  Upgrades /    │  │  (Infonet /    │   ║
║  │                │  │  Threat  │  │  Disputes /    │  │   Mesh /       │   ║
║  │                │  │          │  │  Gates /       │  │   Dead Drop)   │   ║
║  │                │  │          │  │  Bootstrap /   │  │                │   ║
║  │                │  │          │  │  Function Keys │  │                │   ║
║  └──────┬─────────┘  └────┬─────┘  └────────┬───────┘  └────────┬───────┘   ║
║         │                 │                 │                   │           ║
║  ┌──────┴─────────────────┴─────────────────┴───────────────────┴───────┐   ║
║  │  Time Machine ◀── snapshot playback ── snapshotMode toggle ──▶ Live │   ║
║  │  hourly index │ frame interpolation │ profile-aware │ per-tier ETag  │   ║
║  └──────────────────────────────────┬───────────────────────────────────┘   ║
║                                     │ REST  +  /api/[...path] proxy         ║
╠═════════════════════════════════════╪═══════════════════════════════════════╣
║                       BACKEND SERVICE PLANE  (FastAPI)                      ║
║                                     │                                       ║
║  ┌──────────────────────────────────┴────────────────────────────────────┐  ║
║  │              Data Fetcher  (APScheduler — fast / slow tiers)          │  ║
║  │                                                                       │  ║
║  │  ┌───────────┬───────────┬───────────┬───────────┬───────────┐        │  ║
║  │  │  OpenSky* │ adsb.lol  │ CelesTrak │   USGS    │   AIS WS  │        │  ║
║  │  │  Flights  │ Military  │   Sats    │  Quakes   │   Ships   │        │  ║
║  │  ├───────────┼───────────┼───────────┼───────────┼───────────┤        │  ║
║  │  │  Carrier  │   GDELT   │ CCTV (12) │ DeepState │   NASA    │        │  ║
║  │  │  Tracker  │ Conflict  │  Cameras  │ Frontline │   FIRMS   │        │  ║
║  │  ├───────────┼───────────┼───────────┼───────────┼───────────┤        │  ║
║  │  │   GPS     │  KiwiSDR  │  Shodan   │  Amtrak   │  SatNOGS  │        │  ║
║  │  │  Jamming  │   Radios  │  Devices  │ DigiTraf  │  TinyGS   │        │  ║
║  │  ├───────────┼───────────┼───────────┼───────────┼───────────┤        │  ║
║  │  │ Volcanoes │  Weather  │  Fishing  │ Mil Bases │   IODA    │        │  ║
║  │  │  Air Qual │  Alerts   │  Activity │ PwrPlants │  Outages  │        │  ║
║  │  ├───────────┼───────────┼───────────┼───────────┼───────────┤        │  ║
║  │  │ Sentinel  │   MODIS   │   VIIRS   │   Data    │ Meshtastic│        │  ║
║  │  │  Hub/STAC │   Terra   │ Nightlts  │  Centers  │   APRS    │        │  ║
║  │  ├───────────┴───────────┴───────────┴───────────┴───────────┤        │  ║
║  │  │  SAR (NEW v0.9.7)                                         │        │  ║
║  │  │   Mode A: ASF Search catalog (free, no account)           │        │  ║
║  │  │   Mode B: NASA OPERA / Copernicus EGMS / GFM / EMS /      │        │  ║
║  │  │           UNOSAT  ground-change anomalies (opt-in)        │        │  ║
║  │  └───────────────────────────────────────────────────────────┘        │  ║
║  │   * OpenSky: REQUIRED for global flight coverage                      │  ║
║  └───────────────────────────────────────────────────────────────────────┘  ║
║                                     │                                       ║
║  ┌──────────────────────────────────┴────────────────────────────────────┐  ║
║  │                   Snapshot Store  (Time Machine source)               │  ║
║  │   Hourly index  │  per-snapshot layer manifest  │  profile metadata   │  ║
║  └───────────────────────────────────────────────────────────────────────┘  ║
║                                                                             ║
║  ┌───────────────────────────────────────────────────────────────────────┐  ║
║  │   Agentic AI Channel  (HMAC-SHA256, tier-gated  —  OpenClaw + others) │  ║
║  │                                                                       │  ║
║  │   POST /api/ai/channel/command   →  one tool call                     │  ║
║  │   POST /api/ai/channel/batch     →  up to 20 concurrent tool calls    │  ║
║  │                                                                       │  ║
║  │   Tier:   restricted (read-only)   │   full (read + write + inject)   │  ║
║  │   Auth:   X-SB-Timestamp + X-SB-Nonce + X-SB-Signature                │  ║
║  │   Sig  =  HMAC-SHA256(secret, METHOD|path|ts|nonce|sha256(body))      │  ║
║  └───────────────────────────────────────────────────────────────────────┘  ║
╠═════════════════════════════════════════════════════════════════════════════╣
║                  DECENTRALIZED LAYER  (InfoNet Testnet — signed events)     ║
║                                                                             ║
║  ┌────────────────────────────┐    ┌──────────────────────────────────┐     ║
║  │    Mesh Hashchain          │    │   Sovereign Shell Governance     │     ║
║  │                            │    │                                  │     ║
║  │  Ed25519 signed events     │    │  Petitions  (DSL: UPDATE_PARAM,  │     ║
║  │  Public-key binding        │    │              ENABLE_FEATURE …)   │     ║
║  │  Replay / sequence guard   │    │  Upgrade-Hash voting (80% / 40%  │     ║
║  │  Two-tier finality         │    │             quorum / 67% Heavy)  │     ║
║  │   ├ Tier 1 (CRDT, fast)    │    │  Resolution & Dispute markets    │     ║
║  │   └ Tier 2 (epoch finality)│    │  Gate suspend / shutdown / appeal│     ║
║  │  Identity rotation         │    │  Bootstrap eligible-node-1-vote  │     ║
║  │  Constitutional invariants │    │   (Argon2id PoW, Heavy-Node only)│     ║
║  │  (MappingProxyType)        │    │  Function Keys (5 of 6 pieces)   │     ║
║  └─────────────┬──────────────┘    └─────────────┬────────────────────┘     ║
║                │                                 │                          ║
║                └──────────────┬──────────────────┘                          ║
║                               │                                             ║
║  ┌────────────────────────────┴──────────────────────────────────────┐      ║
║  │            Wormhole / InfoNet Relay  (transport layer)            │      ║
║  │   Gate personas │ canonical signing │ Dead Drop epoch mailboxes   │      ║
║  └───────────────────────────────────────────────────────────────────┘      ║
╠═════════════════════════════════════════════════════════════════════════════╣
║              PRIVACY CORE  (Rust crate — locked Protocol contracts)         ║
║                                                                             ║
║   privacy-core/  ─►  Argon2id │ Ed25519/X25519 │ AESGCM │ HKDF              ║
║                      Ring sigs* │ Stealth addrs* │ Pedersen* │ Bulletproofs*║
║                      Blind-sig issuance* (RSA / BBS+ / U-Prove / Idemix)    ║
║                                                                             ║
║   * = locked Protocol contract; cryptographic primitive lands Sprint 11+    ║
╚═════════════════════════════════════════════════════════════════════════════╝

   Distribution
   ────────────
     GitHub (primary):  ghcr.io/bigbodycobain/shadowbroker-{backend,frontend}
     GitLab (mirror):   registry.gitlab.com/bigbodycobain/shadowbroker/{backend,frontend}
     Multi-arch:        linux/amd64  +  linux/arm64  (Raspberry Pi 5 supported)
     Desktop:           Tauri shell  →  packaged backend-runtime  +  Next.js frontend

如果您处于 bash 兼容的 shell 环境中，附带的包装器可以自动检测 Docker 或 Podman：```bash
./compose.sh --engine podman pull
./compose.sh --engine podman up -d

> **工作原理：** 前端容器通过 Next.js 服务器将所有 `/api/*` 请求代理到 `BACKEND_URL`，使用 Docker 的内部网络。浏览器始终只与端口 3000 通信。后端的主机端口用于本地 API/调试访问，可以通过 `BACKEND_PORT=8001` 更改，而无需更改 `BACKEND_URL`。
>
> `BACKEND_URL` 是一个纯运行时环境变量（不是构建时的 `NEXT_PUBLIC_*`），因此您可以在 Portainer、Uncloud 或任何 compose 编辑器中更改它，而无需重建镜像。将其设置为从 Docker 网络内部可访问的后端地址（例如 `http://backend:8000`、`http://192.168.1.50:8000`）。

</details>

---

<details>
<summary>📦 快速启动（无需代码）</summary>

如果您只想运行仪表板而不处理终端命令：

1. 转到此仓库页面右侧的 **[Releases](https://raw.githubusercontent.com/bigbodycobain/releases)** 选项卡。
2. 从发布中下载最新的 `.zip` 文件。
3. 将文件夹解压到您的计算机。
4. **Windows：** 双击 `start.bat`。
   **Mac/Linux：** 打开终端，输入 `chmod +x start.sh`、`dos2unix start.sh`，然后运行 `./start.sh`。
5. 它将自动安装所有内容并启动仪表板！

本地启动器说明：

- `start.bat` / `start.sh` 在没有 Docker 的情况下运行应用程序——它们直接安装依赖项并启动两个服务器。
- 如果升级后 Wormhole 身份或 DM 联系端点失败，请查看 `docs/mesh/` 文件夹以进行故障排除。
- 对于 DM 根见证、透明度和操作员监控部署，请从 `docs/mesh/wormhole-dm-root-operations-runbook.md` 开始。
- 对于示例 DM 根操作桥接资产，另请参阅 `scripts/mesh/poll-dm-root-health-alerts.mjs`、`scripts/mesh/export-dm-root-health-prometheus.mjs`、`scripts/mesh/publish-external-root-witness-package.mjs`、`scripts/mesh/smoke-external-root-witness-flow.mjs`、`scripts/mesh/smoke-root-transparency-publication-flow.mjs`、`scripts/mesh/smoke-dm-root-deployment-flow.mjs`、`scripts/mesh/sync-dm-root-external-assurance.mjs` 和 `docs/mesh/examples/`。

</details>

---

<details>
<summary>💻 开发者设置</summary>

如果您想修改代码或从源代码运行：

#### 先决条件

* **Node.js** 18+ 和 **npm** — [nodejs.org](https://nodejs.org/)
* **Python** 3.10、3.11 或 3.12 与 `pip` — [python.org](https://www.python.org/downloads/)（安装时**勾选“添加到 PATH”**）
  * ⚠️ Python 3.13+ 可能与某些依赖项存在兼容性问题。**建议使用 3.11 或 3.12。**
* API 密钥：`aisstream.io`（必需），以及可选的 `opensky-network.org`（OAuth2）、`lta.gov.sg`

### 安装```bash
# Clone the repository
git clone https://github.com/BigBodyCobain/Shadowbroker.git
cd Shadowbroker

# Backend setup
cd backend
python -m venv venv
venv\Scripts\activate        # Windows
# source venv/bin/activate   # macOS/Linux
pip install .

# Optional helper scripts (creates venv + installs dev deps)
# Windows PowerShell
# .\backend\scripts\setup-venv.ps1
# macOS/Linux
# ./backend/scripts/setup-venv.sh

# Optional env check (prints warnings for missing keys)
# Windows PowerShell
# .\backend\scripts\check-env.ps1
# macOS/Linux
# ./backend/scripts/check-env.sh

# Create .env with your API keys
echo "AIS_API_KEY=your_aisstream_key" >> .env
echo "OPENSKY_CLIENT_ID=your_opensky_client_id" >> .env
echo "OPENSKY_CLIENT_SECRET=your_opensky_secret" >> .env

# Frontend setup
cd ../frontend
npm ci

* **Next.js** 前端位于 `http://localhost:3000`
* **FastAPI** 后端位于 `http://localhost:8000`

### Pre-commit（可选）

如果你使用 pre-commit，从仓库根目录安装一次钩子：```bash
pre-commit install

</details>

---

<details>
<summary>🔑 环境变量</summary>

### 后端 (`backend/.env`)```env
# Required for airplane telemetry (NEW in v0.9.7 — startup env check flags these as critical)
# Free registration: https://opensky-network.org/index.php?option=com_users&view=registration
OPENSKY_CLIENT_ID=your_opensky_client_id      # OAuth2 — global flight state vectors
OPENSKY_CLIENT_SECRET=your_opensky_secret     # OAuth2 — paired with Client ID above

# Optional (enhances data quality)
AIS_API_KEY=your_aisstream_key                # Maritime vessel tracking (aisstream.io) — ships layer empty without it
LTA_ACCOUNT_KEY=your_lta_key                  # Singapore CCTV cameras
SHODAN_API_KEY=your_shodan_key                # Shodan device search overlay
SH_CLIENT_ID=your_sentinel_hub_id             # Copernicus CDSE Sentinel Hub imagery
SH_CLIENT_SECRET=your_sentinel_hub_secret     # Paired with Sentinel Hub Client ID
MESH_SAR_EARTHDATA_USER=                      # NASA Earthdata user (SAR Mode B — OPERA products)
MESH_SAR_EARTHDATA_TOKEN=                     # NASA Earthdata token (paired with user above)
MESH_SAR_COPERNICUS_USER=                     # Copernicus Data Space user (SAR Mode B — EGMS / EMS)
MESH_SAR_COPERNICUS_TOKEN=                    # Copernicus token (paired with user above)
OPENCLAW_ACCESS_TIER=restricted               # OpenClaw agent tier: "restricted" (read-only) or "full"
# OPENCLAW_HMAC_SECRET=                         # Optional; UI Bootstrap persists to data/openclaw.env in Docker
GFW_API_TOKEN=your_gfw_token                  # Global Fishing Watch — fishing_activity layer (Settings → Maritime)
TELEGRAM_OSINT_ENABLED=true                   # Telegram OSINT layer (default on)
TELEGRAM_OSINT_CHANNELS=osintdefender,...     # Comma-separated public channel slugs (see .env.example)

# Private-lane privacy-core pinning (required when Arti or RNS is enabled)
PRIVACY_CORE_MIN_VERSION=0.1.0
PRIVACY_CORE_ALLOWED_SHA256=your_privacy_core_sha256
# Optional override if you load a non-default shared library path
PRIVACY_CORE_LIB=

#### 运行PowerShell有效负载

你可以运行Powerfun，这是一个PowerShell脚本，它是一个反向Shell，具有一些技巧，比如作为服务运行。

```print(bcolors.HEADER + "===============================\nPowerFun Reverse Shell & mkfifo listener Standalone script\n===============================" + bcolors.ENDC)```
print(bcolors.HEADER + "===============================\nPowerFun Reverse Shell & mkfifo 监听器 独立脚本\n===============================" + bcolors.ENDC)``````bash
sha256sum ./privacy-core/target/release/libprivacy_core.so