综合评估
Intranet 是一个基于 Python3 的轻量级本地 HTTP 文件服务器，定位为开发工具与内网服务解决方案。其核心优势在于零配置依赖——无需安装 Apache、Nginx 等传统 Web 服务器，也不需 root 权限即可运行，显著降低了本地开发与测试的门槛。
核心用法
启动后默认监听 127.0.0.1:8080，从 {workspace}/intranet/www/ 目录提供静态文件服务。支持通过 config.json 挂载插件目录到 URL 前缀，并可选择性启用 CGI 执行 index.py 脚本。主要命令包括 start/stop/status 三件套，支持自定义端口、主机绑定及 Token 认证。
显著优点
1. 即开即用：单文件启动，Python3 唯一依赖，适合快速原型验证
2. 安全分层设计：CGI 默认关闭、路径强制校验、Token + Host 双因素认证可选
3. 插件隔离机制：通过 SHA-256 哈希锁定可执行的 index.py，防止恶意替换
4. 工作区自包含：所有状态文件（配置、PID、运行时数据）均限制在单一目录内，无系统污染
潜在局限
- 性能瓶颈：纯 Python 实现，无异步 I/O，高并发场景不适用
- CGI 风险敞口：一旦启用，任何具备执行权限的
index.py均可运行，虽有哈希校验但仍属攻击面 - 非生产级：明确面向本地/开发环境，缺乏 HTTPS、日志轮转、负载均衡等企业级特性
- Token 传播依赖 Cookie：浏览器端通过 URL 参数传递 Token 后落 Cookie，存在 XSS 场景下的泄露风险
适合人群
- 前端开发者：快速验证静态页面构建产物
- Python 全栈开发者：轻量测试 CGI/FastCGI 替代方案
- 内网工具搭建者：临时文件共享、团队文档站点
- 教育与原型场景：教学演示 HTTP 协议、插件化架构设计
常规风险
| 风险类别 | 描述 | 缓解措施 |
|---------|------|---------|
| CGI 代码执行 | 恶意 `index.py` 可导致 RCE | 保持 CGI 关闭；启用时严格校验 SHA-256 |
| 路径遍历 | 历史漏洞高发区 | 代码已做 resolved path containment 校验 |
| 会话劫持 | Token 通过 URL 或 Cookie 传输 | 仅在内网使用；启用 `allowed_hosts` 限制 |
| 信息泄露 | `.py` 文件被意外读取 | 所有非 `index.py` 的 `.py` 文件返回 403 |
总体建议：作为开发工具值得信赖，但切勿直接暴露于公网。若必须开放 LAN 访问，务必组合使用 --token、--host 限制及 allowed_hosts 白名单。