远程访问

将此电脑连接到账号，让其他电脑上的 Runner 访问它的聊天和任务。远程访问目前处于内测，仅向中国大陆受邀用户开放。登录托管服务需要通过邀请码创建的账号。会话采用端到端加密；服务只负责中继。

在 Runner Discord 或微信用户群申请邀请码。 设置 → 远程访问（Settings → Remote access） 与 设置 → 关于（Settings → About） 提供两个链接。微信链接打开 README 社区部分，显示当前群二维码。

仅本机使用

设置 → 通用 → 远程访问 → 仅本机使用（Settings → General → Remote access → Local only） 位于会话区域正上方，让 Runner 仅在此电脑运行。默认关闭，因此设置中可见账号和远程访问，页脚显示账号头像。此电脑登录后才显示电脑选择器；未登录时请使用账号、远程访问或头像菜单的登录操作。

开启仅本机使用会隐藏账号、远程访问、头像与电脑选择器，还原设置齿轮，并停止其他电脑访问。已登录时，Runner 先请求退出登录确认，成功退出后才启用；取消或失败则保持关闭。未登录但有待批准登录时，启用会取消该请求。身份、PIN 与配对保留。远程窗口返回本机，远程和账号菜单/对话框关闭，关注状态跟随连接会释放。关闭仅本机使用可恢复界面，不会自动登录。该选择会保存并应用到所有窗口。

已登录状态（包括 runner remote login 后）会覆盖仅本机使用，显示远程界面直到退出登录。退出或重置不会改变仅本机使用偏好。设置 → 远程访问没有另一个控制这些界面显示的开关。

从 Runner 登录

1. 关闭 设置 → 通用 → 仅本机使用（Settings → General → Local only） ，打开 设置 → 账号（Settings → Account） 选择 登录（Sign in） ，或在 设置 → 远程访问 的 通过 Runner 中继（Through Runner’s relay） 下选择 登录 Runner（Sign in to Runner） 。
2. Runner 显示短验证码、指纹和剩余时间，并在浏览器打开批准页。也可以复制链接，或在另一设备打开短链接并输入验证码。
3. 登录，核对网页与 Runner 的指纹相同，为此电脑命名并批准。
4. 账号页显示账号、服务、此电脑与指纹。如果从远程访问开始，批准完成后该面板显示中继页。

关闭仅本机使用时，侧边栏页脚的圆形头像在登录后显示账号首字母，否则显示人物图标。菜单打开账号、设置与 退出登录…（Sign out…） 。未登录时提供设置与 登录…（Sign in…） ，后者打开账号页，可从那里发起批准。已登录时，账号页显示状态卡和 在这台电脑上退出登录（Sign out on this computer） 。

若无法连接服务，Runner 最多尝试 30 秒，然后返回未登录并显示错误。检查服务地址与网络，再次选择 登录 。登录启动过程中， 取消（Cancel） 立即恢复按钮。可以在同一窗口或另一个 Runner 窗口重试；已放弃的尝试不会打开浏览器，也不会清除更新的注册请求。

通过 Runner 中继

关闭仅本机使用且未登录时，远程访问直接打开中继登录状态。本版本只有 Runner 中继这一种连接方式；Tailscale 另行规划。

中继页显示连接、 允许远程访问（Allow remote access） 、PIN 与已配对电脑。连接方式区域标明中继并链接到账号。 重置远程访问（Reset remote access） 生成新身份，解除所有电脑配对，清除 PIN 并退出登录。仅本机使用偏好不变。

从终端连接

在你自己的交互终端中运行，也支持 SSH：

runner remote login
runner remote status
runner remote status --json
runner remote logout

login 显示批准链接、验证码与指纹。请自行打开链接；它不会在此电脑自动打开浏览器。浏览器批准后，在终端确认账号。默认答案为 No。使用 runner remote login --server https://runner.example 选择其他服务。

注册要求输入与输出都连接到终端，且不允许在 Runner 智能体会话中进行。智能体可以读取状态、列出或撤销配对设备、断开电脑；不能通过 runner call 注册、设置或更改 PIN、解锁 PIN 输入或重置身份。账号确认时关闭 CLI 会拒绝此次认领。

从 CLI 访问另一台电脑

两台电脑登录同一账号。在要访问的电脑上允许远程访问并设置 PIN。在此电脑运行：

runner remote computers
runner remote computers --json
runner remote pair <computer-id>
runner remote overview <computer-id> --json
runner remote forget <computer-id>

computers 列出账号下包括本机在内的电脑及 ID、在线状态、最后在线时间，以及本机是否与其配对。使用列表中的 ID。pair 提示输入对方 PIN，不回显；要求你自己的交互终端，禁止在智能体会话中进行。配对失败只计一次，不会自动重试。overview 显示对方的项目、标签页、任务和会话。

每次配对保留独立私钥，并固定对方身份。较长的 Unicode 电脑名使用不超过 64 UTF-8 字节的缩短配对标签；完整账号名不变。后续连接使用该密钥。 忘记（Forget） 删除本机用于对方的密钥并关闭通道，不会撤销对方访问本机的权限。主机上的 撤销（Revoke） 移除入站配对。若连接报告本机未被识别，Runner 保留已保存配对密钥，因为中继可能伪造这种未经认证的拒绝。显式选择 忘记 并从 CLI 重新配对，或在应用提交 重新配对（Pair again） 之前，请核对主机指纹。身份不匹配会失败，不会静默重新配对。

关闭本机 允许远程访问 会停止入站访问，但本机仍可访问其他电脑。退出登录保留配对密钥， 重置远程访问 会删除它们。应用电脑选择器与这些 CLI 命令使用相同配对与终端连接。

在应用中配对并打开另一台电脑

两台电脑登录同一账号。在要访问的电脑上启用 允许远程访问 并设置 PIN。在本机的 设置 → 远程访问 中点击对方旁的 配对（Pair） ，或在侧边栏电脑选择器中选择对方。输入对方的六位数字 PIN。每次提交只尝试一次；Runner 从不自动重试 PIN。PIN 错误后可以重试。输入被锁定或未设置 PIN 时，先按对话框指引在对方电脑处理。重新配对前，请在对方设置中核对变化的指纹。如果对话框打开期间列表身份变化，Runner 会清空 PIN 并显示新指纹供你核对。

选择器列出本机与账号的其他电脑，包括离线和未配对电脑。远程行先显示在线或离线状态，可用时包含最后在线时间；未配对电脑附加 未配对（Not paired） ，例如 在线 · 未配对（Online · Not paired） 。远程行绿点表示那里的会话需要输入或批准，或任务有待回答问题。选择器按钮的圆点表示另一台已配对电脑需要你。圆点不带数量，仅未读输出不会点亮。登录且关闭仅本机使用时，Runner 跟随在线已配对电脑的关注状态，并由多个窗口共享连接。离线、未配对或已锁定电脑不建立关注连接。点击电脑切换当前窗口；按住 Shift 点击，或使用其窗口按钮，可另开窗口。选择本机返回本地标签页与窗格。本地任务保留布局和选择；返回时终端恢复，消息流补齐。每个窗口独立选择，重启后所有窗口均从本机打开。远程窗口活动时本地通知设置仍生效；点击本地聊天或任务通知会让一个窗口返回本机并打开对应内容。

未登录时没有电脑选择器：请使用 设置 → 账号（Settings → Account） 、 设置 → 远程访问（Settings → Remote access） ，或头像菜单的 登录…（Sign in…） 。未登录时，Runner 不会获取账号目录，也不会显示缓存的电脑或目录错误。登录后，Tab 和 Shift-Tab 可在选择器控件间移动；越过任一端会关闭选择器，在内部控件上按 Escape 也会关闭。

已登录时，如果无法刷新电脑列表，选择器会在可用行下方显示警告。请检查账号与连接，然后重新打开选择器重试。

在 设置 → 远程访问 的电脑标题旁使用 刷新（Refresh） 可重新加载列表或重试失败，无需离开页面。加载期间保留已有行，按钮禁用到请求完成；成功刷新会清除警告。

远程窗口只显示该电脑的项目、标签页、任务和终端。未命名标签页使用第一个非空窗格的会话标题；手动命名优先。空标签页显示与本机相同的开始界面，标题随对方更新。固定项、项目与最近使用保持相同侧边栏结构；项目和区域可折叠。主机与客户端都更新后，混合标签页/任务及固定顺序才一致。远程视图的滚动与折叠选择独立于本地侧边栏。行状态与本机相同，包括工作中、未读、需要批准或回答，以及错误。多个会话需要关注时使用本地相同优先级；已停止行变暗。待回答的任务问题保留需要回答标记。新建聊天使用主机智能体与角色、模型/推理强度/速度及当前 Claude 账号。角色与小队入口显示主机只读列表，可浏览导出设置和成员列表、搜索或翻页，并使用聊天或启动任务打开预选该条目的表单。刷新重新加载主机目录。远程窗口不能修改角色和小队；设置和已归档仅在本机可用。选择标签页或任务可打开终端；窗口第一次进入电脑时打开第一个可用标签页或任务。切走再返回时会重新打开上次的标签页或任务，拆分标签页保持同一焦点窗格，并保留该电脑的仅显示活动项选择、折叠项目、活动组和区域；若主机已关闭该项，则打开第一个可用项。任务使用相同工作区，包含消息流、成员终端标签页、会话栏、回答卡片和输入框。成员标签页可以像本机一样开关；排列属于当前窗口，成员列表属于主机。已附着在远程标签页或任务的 Shell 也可打开。

停止的聊天显示暂停卡片，提供恢复与归档；已退出 Shell 显示重启与关闭。打开停止的会话不会启动它。两台电脑均更新后，选择已停止聊天或任务成员也会确认其错误与未读标记。主机已确认的错误在远程侧边栏中保持确认，无需重启来清除。

基于角色的聊天保留 @handle，直到重命名会话或标签页。仅运行时聊天可以使用智能体对话标题。更新主机后标签才匹配；旧主机保留其现有标签。

使用相同聊天标题栏、拆分、窗格控制、终端抽屉和侧边栏菜单，启动、停止、恢复、分叉、重命名或归档聊天，并固定、移动与重排标签页和项目。持久更改在主机确认后显示，其桌面也能看到相同更改。分叉与加载任务历史等较慢操作不会阻塞窗口其他终端。分叉等待期间其他操作和任务历史仍可完成；请等新聊天打开后再操作它。主机不支持的操作隐藏控制；现有终端仍可用。

新建聊天和启动任务中的 工作目录 → 浏览（Working directory → Browse） 打开对方文件夹。选择项目或最近文件夹，或使用 浏览文件夹（Browse folders） 进入主目录、子文件夹和上一级。 使用文件夹（Use folder） 填入字段。Escape 或点击外部保留原值。可以输入主机路径，包括 Windows 驱动器或网络路径；无效路径保留文本并在下方显示错误。空字段使用主机默认值。 新建项目（New project） 使用相同文件夹菜单。列表失败提供 重试（Retry） 。启动任务提供主机已有且包含角色的小队；创建或编辑小队仍在主机进行。输入标题与可选目标，再启动任务。失败会保留字段以便重试；主机概览出现任务后打开它。

任务消息流先加载最近记录； 加载更早的消息（Load older messages） 读取历史。问题在卡片中回答，输入框可给全队或指定代号发消息。回答或发送失败会显示错误并保留选择或草稿；成功回复经主机消息流出现。停止、恢复和归档使用主机生命周期。停止任务不停止其抽屉 Shell。主机支持时才显示成员停止、恢复与重启；添加/移除角色、私有会话密钥和本地文件操作留在主机。重连刷新消息流并保留已加载旧条目，不会重复发送回答或消息。

打开终端会按窗格大小获取控制权。输入、粘贴文本、选择、复制和调整大小与本机一致。颜色来自主机终端配色，即主机智能体选择样式时使用的配色，因此深色主机终端在浅色窗口中仍保持深色；字体、字号与光标样式使用本机 设置 → 终端（Settings → Terminal） 。旧版本主机改用本机终端配色。Linux 使用 Ctrl+V 粘贴文本/PIN，Ctrl+C 复制终端选区；无选区时 Ctrl+C 中断终端。浏览器用于批准登录和管理账号；终端控制通过另一份 Runner 应用。主机桌面或另一客户端取得控制时，终端仍可见但禁止输入，上方提供 获取控制权（Take control） 。离开电脑会释放终端附着，主机保留最后尺寸。

侧边栏页脚显示该电脑的加密中继连接。重连期间输入会丢弃，从不重放。路由变化或队列已满导致排队输入丢弃时，远程窗口在受影响的可见终端显示错误。本地守护进程连接恢复后，终端加载新快照，不会再次获取控制权。无法重新附着时显示错误；重新选择标签页可重试。无法连接电脑时，选择 重新连接（Reconnect） 或 关闭标签页（Close Tab） 返回本机。访问未被识别时保留配对密钥；选择 重新配对（Pair again） 前先核对对方指纹。提交会显式忘记旧密钥，再尝试一次 PIN。 获取控制权 失败会在窗格中显示错误；再次点击可重试。选择当前已显示的电脑会保留现有终端，除非连接已失败。选择器 忘记（Forget） 删除本机出站密钥并显示本机已忘记；使用 PIN 配对后才能再次打开。 撤销（Revoke） 移除入站访问。两者都不停止远程智能体。

暂停、重试或退出登录

关闭 允许远程访问 可断开连接，同时将此电脑保留在账号下。网页面板显示它离线。重新打开会使用相同密钥和指纹连接。

账号页的 在这台电脑上退出登录 、头像菜单的 退出登录… 或 runner remote logout 会先删除本机注册凭据，再向服务请求移除一次。如果无法连接服务，Runner 会说明电脑仍以离线状态列出；请在网页面板移除。应用中退出前会请求确认。重启不会重连已退出的电脑。再次登录需要新验证码，但保留身份密钥与指纹、PIN 和配对设备。

若电脑已在网页面板移除或账号被停用，Runner 停止连接。即使旧注册仍存在，账号页也显示原因；远程访问返回中继登录。 重试（Try again） 使用现有凭据，管理员重新启用账号后可能成功。 重新登录（Sign in again） 清除旧注册并重新开始。其他停止原因会说明应重试、批准新验证码还是更新 Runner。

远程访问从不停止智能体或会话。关闭桌面应用后连接留在后台守护进程；停止守护进程才断开。发布构建在 macOS Keychain 或 Windows Credential Manager 保存密钥与凭据。Linux 发布构建使用 ${XDG_DATA_HOME:-~/.local/share}/com.wycstudios.runner 下权限为 0600 的明文文件；开发构建使用独立的 com.wycstudios.runner-dev 根目录。macOS 开发构建也使用开发数据目录下权限为 0600 的文件。它们保存主机身份/PIN、出站配对密钥与每个服务的凭据。请确保数据目录归当前用户所有且其他用户不可写。Linux GUI、CLI 与 systemd 用户服务必须使用相同 XDG_DATA_HOME，才能共享身份。Linux 不需要桌面密钥环；SSH 下请先显式启动用户服务，再在普通交互终端注册。已有 macOS 开发版 Keychain 密钥不会复制到文件；首次使用该存储时需重新登录并配对。

谁能访问此电脑

服务将连接路由到账号下的电脑。终端访问要求已配对，仅登录账号不够。请将已配对电脑视为可信：它们不仅可输入终端，也可操作聊天、任务、项目、角色和小队。新聊天使用主机当前 Claude 账号。设置、账号选择，以及恢复或删除已归档项仍在主机进行。

在 设置 → 远程访问 → 设置 PIN（Settings → Remote access → Set PIN） 设置 PIN，或在 Runner 智能体会话外的自有交互终端运行 runner remote pin。选择六位数字并再次输入，允许前导零。重复数字、升降序列或常见 PIN 会触发警告，说明可能在五次内猜中。 仍然使用（Use this PIN） 保留选择； 重新选择（Choose another） 清空输入。CLI 用中英双语警告，需单独输入 y 或 yes；只按 Enter 会取消且不改 PIN。CLI 隐藏两次输入；Runner 不会再次显示 PIN。 更改 PIN（Change PIN） 替换 PIN，不解除现有配对。更改 PIN、关闭允许远程访问、退出或重置会使正在进行的配对失效，包括等待保存信任的确认。

Runner 不把 PIN 发给服务。配对需要 PIN；仅账号凭据不能取得终端访问。PIN 交换阻止离线猜测，下述锁定限制在线猜测。另一份 Runner 输入一次 PIN 完成配对，后续使用自己的密钥。电脑区域列出账号所有电脑，本机在首位。各行显示在线、离线及最后在线时间，或已连接本机。访问列区分 可以打开这台电脑（Can open this computer） 、 ↗ 本机可访问（This computer can open it） 、 ⇄ 双向访问（Both ways） 和 未配对（Not paired） 。配对仅授予单向访问，双向需要从两台电脑分别配对。入站标签将配对设备名称与账号电脑名匹配，不会授予信任。没有匹配电脑、多个电脑共享配对标签或同名电脑存在多个密钥的设备，仍以独立行列在电脑下方。每个设备行显示配对指纹和名称，并有独立 撤销（Revoke） 。有歧义的标签不将入站访问归给任何电脑。行菜单 ⋯ → 撤销 或 runner remote revoke <fingerprint> 移除入站信任。终端可用 runner remote devices 或 runner remote devices --json 查看。CLI 还报告 Connected，表示该设备当前有认证通道；JSON 使用 connected。撤销会关闭该设备全部通道。

连续五次配对确认失败会锁定 PIN 输入。错误 PIN 和损坏的加密确认都计数，格式错误的帧不计。Runner 在设置中显示警告和 解锁（Unlock） ；解锁前新设备无法配对。已配对设备继续工作。更改 PIN 不会解锁，锁定在重启后仍保留。

另一台电脑配对后，Runner 显示 {computer} 已配对（{computer} paired） 系统通知。点击打开 设置 → 远程访问 。Linux 无法查询桌面通知投递，也会显示应用内提示。系统通知不可用或关闭时，应用内提示说明对方现在可访问本机，并提供 打开远程访问（Open Remote access） 。重连不重复通知。

怀疑本机身份密钥泄露时，选择 重置远程访问 ，或在自有交互终端运行 runner remote reset-identity。确认后会将电脑从账号断开，创建新密钥和指纹，清除 PIN 与全部配对设备，并解锁 PIN。仅本机使用关闭时返回中继登录；保存的仅本机使用偏好开启时，设置返回通用。再次登录需要新验证码。智能体与会话保持运行。

收回终端控制权

远程控制作用于整个标签页，包括拆分窗格与终端抽屉。获取一个终端的控制权会获取标签页中所有运行终端。主机在标签页中央显示一张 正由 {computer} 控制（Controlled from {computer}） 卡片和 收回（Take back） 按钮。远程电脑决定终端尺寸。被覆盖的窗格不发送自身尺寸或输入，包括键入、粘贴、文件拖放和输入法组合。任务输入框向被覆盖终端提交时，会保留草稿，直到收回终端。

选择 收回 或在卡片上按 Enter，将整个标签页交回此桌面，并让每个终端适合自己的窗格。各窗格保留独立大小。重启和新增窗格跟随标签页当前控制者；移动到另一个标签页后使用目标标签页控制者。同一电脑控制全部任务终端时，任务只显示一张卡片。

关闭一个远程窗格后，其余窗格仍由该电脑控制。离开标签页或断开连接后，每个终端保留最后尺寸。卡片变为 {computer} 已离开（{computer} has left） 并提供 继续在这里使用（Continue here） 。选择它或按 Enter，使终端适合本机并继续。未获取电脑名称时显示 另一台电脑已离开（Another computer has left） 。

多个桌面窗口都可显示卡片，你可从任一窗口收回控制。没有远程电脑使用终端时，本机输入与调整大小照常工作。上文 CLI 用于配对并读取另一台电脑概览；在桌面打开终端则使用电脑选择器。