Feem WebShare PIN 码与安全 — 怎么用、怎么改、注意什么

PIN 码是 WebShare 的第一道防线

Feem 的 WebShare 不设账号体系、不登录、不扫码——PIN 码是它唯一的鉴权手段。这个设计的好处是简单，代价是需要你自己理解它的安全边界。

PIN 码是怎么生成的

当你在 Feem 里开启 WebShare 时：

1. Feem 在设备本地启动一个 HTTPS Web 服务器
2. 自动生成一个 4~6 位随机数字 PIN 码
3. 在 Feem 界面上同时显示：本地 HTTPS 地址、PIN 码、二维码（部分平台）
4. 设置 PIN 码有效期（通常 30 分钟，或直到你手动关闭 WebShare）

PIN 码只会显示在 Feem App 界面上，不会发送到任何 Feem 服务器，也不会记录在任何日志里。

PIN 码可以自定义吗

免费版：只能用自动生成的随机 PIN 码。

Pro 版：可以在设置里自定义 PIN 码（改成你好记的数字，比如"1234"），也可以设置更长的 PIN 码（最多支持到 16 位）。自定义密码在每次开启 WebShare 时都会生效，不需要每次重新设置。

建议：自定义 PIN 码只在信任度高的场景下用（比如家里、熟悉的办公室）。在公共场景还是用自动生成的随机 PIN 码更安全——随机码更难被猜到。

自签名 HTTPS 证书是什么意思

Feem WebShare 使用 自签名 TLS 证书。浏览器访问时会弹出安全警告，大致内容是"该网站的连接不安全"或"证书未经验证"。

这个警告容易让人担心，但实际上需要理解：

自签名证书的加密能力没有任何问题

TLS 加密的强度取决于密钥长度和加密算法，和证书是不是 CA 签发的完全无关。自签名证书一样使用 AES-256 加密，和银行网站用的加密强度一样。

警告的意义是"身份验证缺失"

公共网站用 CA 签发的证书，目的是让你确认"这个网站确实是你想访问的那个网站"——比如你访问 bank.com，CA 证书证明"这真的是银行的网站，不是钓鱼网站"。

Feem WebShare 不需要这层验证，因为：

• 你自己创建了这个 WebShare 页面
• 你自己告诉接收方这个 HTTPS 地址和 PIN 码
• 接收方是在同一个 Wi-Fi 下用这个地址访问的

唯一的安全边界是：如果你创建的 HTTPS 地址和 PIN 码被别人看到了，他就能连上。这是操作层面的问题，不是技术层面的漏洞。

公共场景下的安全建议

在展会、会议室、咖啡厅等公共场合使用 WebShare 时，遵循以下几点：

1. 不要长时间开启 WebShare

用完即关。传输完成后立刻在 Feem 里关闭 WebShare 功能，让本地服务器下线。哪怕 PIN 码还没过期，服务器关了谁也连不上。

2. 不要让陌生人看到你的屏幕

PIN 码显示在 Feem 界面上，周围路过的人一抬头就能看到。在公共场合可以用身体遮挡，或者背对墙壁/背对门口。

3. 用完重启 Feem 更保险

关闭 WebShare 后如果还担心，可以完全退出 Feem 再重新打开。这样之前的 WebShare 会话会被彻底清除，下次开启时会生成新的 PIN 码。

4. 敏感文件尽量不用 WebShare

涉密文件、私人照片、商业合同等高度敏感的内容，优先用 Feem App 直连而不是 WebShare。虽然 WebShare 的加密是有效的，但 PIN 码是单因子鉴权，总比 Feem App 的全链路 TLS + 设备发现要弱一点。

5. 传完立即删除本地文件

WebShare 的文件是从发送方设备本地读取的，WebShare 关闭后文件仍然在发送方设备上。传完后如果是敏感文件，记得及时清理。

WebShare 能被别人扫出来吗

正常情况下不会。原因是：

1. WebShare 的服务器是临时启动的，只在你开启的那几分钟存在
2. 它监听的是本地 IP 的特定端口（通常是 45000），不在公网上暴露
3. 即使有人在同一局域网里扫描端口，他还需要知道 PIN 码才能进入

但有一种风险场景需要注意：公共 Wi-Fi 下的中间人攻击。如果公共 Wi-Fi 本身是恶意的（比如有人搭了一个同名热点钓鱼），你的 HTTPS 地址和 PIN 码理论上可能被窃取。不过这个风险和你在公共 Wi-Fi 上做任何事（包括用微信、刷网页）都是一样的，不是 WebShare 独有的问题。

Pro 版的额外安全功能

升级到 Feem Pro 后，WebShare 还有以下增强项：

如果你的工作需要频繁在公共场合用 WebShare，Pro 版的这些安全增强是值得的。