公网部署必开认证：基础认证与接口令牌两道闸
它的 Web 界面能创建任务、能读取存储目录里的任务信息——这意味着把服务暴露到公网等于把「在你的磁盘上写文件」的权限交给有界面访问权的人。官方文档的措辞很直接：公网部署务必启用身份认证，否则有安全风险。
第一道闸：基础认证（界面访问）
给 Web 界面上用户名密码，三选一配置：
- 命令行：
-u 用户名 -p 密码； - config.json：
username/password字段； - Docker：
GOPEED_USERNAME/GOPEED_PASSWORD环境变量。
未认证状态在 0.0.0.0 上监听的服务，任何人扫到端口即可创建任务——这是最危险的形态。
第二道闸：API 令牌（接口调用）
API 令牌用于 REST API 调用鉴权（见开启 HTTP API），与基础认证是独立的两个配置。对外提供自动化调用时启用令牌；-T 参数说明它需与基础认证配合使用。
第三道闸：下载目录白名单
即便认证被突破，whiteDownloadDirs 也能把任务可写的路径限制在白名单目录内，配置方法见Web 版配置全解。
部署形态收敛建议
- 只在内网/NAS 用：基础认证开不开都行，但至少别用默认弱密码。
- 要公网访问：基础认证 + 强密码 + API 令牌三件全开；有条件再套一层反向代理与 HTTPS，或用内网穿透方案收敛暴露面。
- 移动端远程推送：见扩展连接远程服务器，扩展侧同样要填令牌。
相关阅读
- 部署命令回顾：Docker 一行命令部署。