# 外部电脑配置

在知识库服务的公网 HTTPS 域名和内容来源验收后安装。服务域名、Token 由管理员分别提供；本包不含正文和凭据。

```bash
hermes skills inspect https://<实际域名>/skills/knowledge-base-remote/SKILL.md
hermes skills install https://<实际域名>/skills/knowledge-base-remote/SKILL.md
```

上述为外部电脑的 Hermes CLI 命令，不用于更改 NAS 上的活动 Hermes。官方安装器会检查安全扫描结果；被拦截时停下核对，不使用 `--force` 绕过。安装文件名和引用目录应保持原样。

用 `read_file` 查看本包的配置示例，用 `write_file` 在技能目录创建 `client-config.json`，填入 `https://<实际域名>`，不要加 `/api` 或下载路径，也不要写 Token。

Python 命令可为 Windows 的 `py -3`，或 Linux/macOS 的 `python3`。把 `<skill-dir>` 替换为实际加载位置；本包不假定固定用户目录。

凭据由管理员安全交付后，放进一个仅当前用户可读的文件。客户端只读取 `--token-file` 明确指定的这个文件，不读取任何环境变量或系统其他凭据，然后使用：

```python
terminal(command='python "<skill-dir>/scripts/kb_client.py" --token-file "<private-token-file>" doctor', timeout=25)
```

不要把令牌值放进命令文本、聊天、URL 或 shell 历史；不要将私有 token 文件放进 skill 分发目录或版本库。客户端不会自动从 `.env` 或环境变量载入凭据；必须明确传入 token 文件路径。配置文件只放地址与超时。

验收顺序：doctor → manifest → 优先阅读入口文档 → search → 带 version 的 read → 引用 path/行/version。doctor 退出码 0=就绪，3=已认证但无正文/未配置，1=配置、认证或网络等错误。来源不可用时也应停止查询并联系管理员。

本机隔离验证可在明确的 `http://127.0.0.1:<port>` 配置下加 `--allow-local-http`，此开关不允许 HTTP 外网地址。外网使用 HTTPS 并核验证书，不能关闭 TLS 验证。

更新包之前保留本地配置与 token 文件；重新安装可能替换技能目录。撤销访问由管理员禁用该设备 reader 并重启接口服务完成。客户端卸载不删除 NAS 正文。