# 苍耳服务器工单操作方法

## 一张工单只回答四件事

1. 你是谁；
2. 你的正式编号是什么；
3. 你申请做什么；
4. 希望打开多长时间的受控会话。

申请者可以是耳耳蛋、鉴影、铸渊或以后登记的其他人格体，系统不写死任何名字。
申请者只能建单，不能批准自己的申请。苍耳收到授权通知后，自行决定是否批准。

## 发起申请

在新加坡 `cang-ying` 仓库根目录执行：

```bash
set -a
. /etc/canger-control.env
set +a
python3 remote-node/tools/canger_persona.py \
  --requester-name "申请者名称" \
  --requester-id "申请者正式编号" \
  request-access \
  --hours 3 \
  --reason "本次准备检查、开发、调试或修复的目的"
```

返回 `pending` 只代表申请已登记。没有苍耳批准，家庭 Ubuntu 不会执行任务。

## 批准后的任务

任务必须继续使用获批工单里的同一名称和编号：

```bash
python3 remote-node/tools/canger_persona.py \
  --requester-name "申请者名称" \
  --requester-id "申请者正式编号" \
  task \
  --action system.status
```

其他可用动作及范围由家庭节点上报的安全策略决定。不同编号不能借用别人的授权。

## 广播链

目标链路是：

```text
申请者
→ 新加坡语言主控广播塔
→ 第五域语言主控广播塔
→ 按苍耳节点登记选择苍耳审批频道
→ 苍耳邮箱授权链接
→ 苍耳批准
→ 新加坡控制端激活同一申请者的限时会话
```

请求正文不能携带或更换收件邮箱。苍耳邮箱只登记在第五域主控服务器的私密审批人
注册表中。广播链未返回
`owner_email_sent_by_registered_broadcast_tower` 前，不得声称邮件已经送达。

2026-07-29 的送达测试已返回该回执；工单
`bf72f16b-f81e-4de5-b0aa-aaee3d39e04c` 仅用于测试邮件，不会执行服务器任务。
苍耳随后已点击批准，第五域状态为 `approved`，但该测试单的领取凭证被刻意丢弃，
因此状态仍为 `claimed: false`，新加坡和家庭节点都没有获得权限。这是测试预期，
不是节点离线。

## 安全边界

- 仓库不保存邮箱地址、SMTP 授权码、批准令牌、会话令牌或节点令牌；
- 申请者名称和编号必须如实填写；
- 苍耳没有点击批准时，权限保持关闭；
- 第五域显示批准但新加坡尚未领取时，权限同样保持关闭；
- 会话只能使用家庭节点上报的能力和受管目录；
- 切换申请者、节点或扩大范围必须重新申请；
- 每个任务都保留独立回执。
