本地 API 回环地址安全机制

为什么需要这个

AlgerMusicPlayer 的本地化服务架构中，本地音乐扫描和元数据解析通过一个本地 HTTP API 接口供应用调用。如果这个 API 监听在 0.0.0.0（所有网卡）或具体局域网 IP 上：

• 局域网内其他设备可以访问
• 理论上可以被远程触发扫描、读取文件信息
• 虽然文件不会被上传，但属于不必要的安全暴露

v5.1.0 的修复

v5.1.0 安全更新中明确：

本地音乐 API 仅监听回环地址，防止外部访问

回环地址指 127.0.0.1（IPv4）和 ::1（IPv6）——只有本机应用可以访问，外部网络完全无法触及。

对用户的影响

• 正常使用不受影响：本地音乐的扫描、播放、元数据读取全部正常
• 远程控制不受影响：远程控制播放用的是另一个 WebSocket 通道，和本地音乐 API 无关
• 无需额外配置：这是默认行为，不需要手动设置防火墙

安全加固的其他措施

v5.1.0 还有一条相关安全更新：

LX Music 脚本执行隔离到 Worker 沙箱

LX Music 是一个音乐增强脚本引擎，现在被隔离到独立 Worker 线程中运行，即使脚本本身有问题也不会影响主进程稳定性。

这意味着什么

AlgerMusicPlayer 在架构上越来越注重安全：

• 本地化服务默认不暴露
• 第三方脚本沙箱隔离
• 登录凭证走官方 API，不存密码

对于需要把 AlgerMusicPlayer 长期开机运行的用户（比如桌面常驻、远程控制场景），这些安全加固让你不需要额外担心外部攻击。