系统与登录配置

集中查看系统设置与认证配置。每一项修改的生效范围、秘密处理和失败行为见对应章节。

系统与产品设置

产品设置

可配置项以当前页面为准，例如产品显示名称、系统默认语言等非敏感设置。保存成功后，后续请求读取共享最新版本，不要求重启服务。

变更会记录永久审计，包括操作者、设置 key、修改前后值和请求元数据。

只读部署项

数据库、Redis、MinIO、Docling、runner 的其他运行参数、文件限制、JWT/HMAC/加密主密钥、Token 期限和保留期只能由 .env 或部署侧受控配置管理。

系统设置页可以只读显示是否已配置和脱敏状态，但不会展示：

• 连接串和内部完整地址。
• 密钥、Token、密码。
• 加密主密钥或派生值。

模型渠道是明确例外，在模型设置页由管理员管理。

任务并发

“任务并发”标签页允许管理员覆盖两个部署默认值：

• 系统同时运行任务数上限：限制所有用户合计的运行中任务数。
• 单用户任务进程数上限：限制每个用户 worker 可同时加载的 Codex app-server 进程数。

任一输入框留空时，该项继续使用部署环境中的默认值。保存后，新任务启动时会读取最新设置，不需要重启服务。调低上限不会中断正在运行的任务；系统会暂停新的任务或进程准入，直到当前用量低于新上限。

系统更新

“系统更新”是独立管理员页面，用于检查 GitHub 正式发布并展示安全升级流程。网页不会静默升级；完整准备、主机命令和升级后验证见检查并升级 LinkSense。

计划维护

在“系统维护”标签页填写维护原因、开始时间和结束时间，然后开启计划维护。只有当前时间进入设定窗口后，维护状态才会生效；到达结束时间后系统会自动恢复。

维护结束后，系统会自动关闭计划维护，并清空维护原因、开始时间、结束时间和维护时长，无需再次保存。即使没有管理员打开设置页，也会自动处理；已打开的设置页会在数秒内同步。服务停止期间已结束的维护，会在服务恢复时自动清理。

维护期间：

• 普通用户进入受保护页面时会看到维护原因和预计维护时间，无法继续调用业务接口。
• 管理员仍可正常登录和进入系统，以便检查状态、调整维护计划或提前关闭维护。
• 维护生效后，已登录的管理员进入除登录页和维护设置页以外的页面时，会看到“已开启系统维护”弹窗。点击“不再显示”后，当前账号在当前浏览器内，本轮维护期间不再弹出提醒，切换页面、刷新或重新打开浏览器均有效，同一浏览器的其他标签页也会同步。修改维护说明或延长本轮维护不会再次提醒；维护结束后重新开启时会再次显示。其他账号或其他设备不受影响。点击“维护设置”可直接进入配置页面，该页面不弹出维护提醒，刷新或重复进入也不会弹出；右上角关闭按钮和 Esc 仅关闭当前页面的提醒，进入其他页面时仍会显示。维护结束或关闭后弹窗自动消失，登录页和维护设置页不显示该提示。 管理员页面右下角也会持续显示“已开启系统维护”，点击可进入维护设置；关闭弹窗或选择“不再显示”不会隐藏该标识，维护结束后标识自动消失。
• 登录、系统初始化、健康检查及当前用户识别接口保持可用，确保管理员能够进入系统。

建议预留准确的结束时间，并在保存前再次核对当前设备时区。

保存冲突与失败

设置采用版本控制。两个管理员同时修改时，旧版本提交会被拒绝，避免静默覆盖。刷新页面读取最新值，再重新确认修改。

尝试修改不允许的部署项会返回“系统设置无效或不允许在此修改”。不要通过浏览器请求绕过页面限制，服务端仍会拒绝。

变更建议

• 在业务低峰修改影响全体用户的名称或默认语言。
• 修改后用普通用户账号检查实际界面。
• 对认证相关配置使用独立的认证设置流程。

认证邮件与登录方式设置

配置来源模式

认证邮件、企业统一登录（OIDC）和 Teams 内登录支持：

• 继承部署环境：使用当前环境变量。
• 由系统设置管理：使用页面保存的加密配置。
• 禁用：明确停用，不回退到环境变量。

从“系统管理”切换到其他模式或停用已配置能力时需要二次确认。

认证邮件

配置 SMTP 主机、端口、STARTTLS 或 TLS 直连、发件人、可选用户名和密码。用户名留空表示不使用 SMTP 密码认证。

该能力用于首次设密和密码重置邮件。保存后在系统健康页检查实际连接状态。

开放注册

在“登录方式 → 第三方账号登录”中开启“允许用户自行注册”后，登录页会显示注册入口。自主注册用户与管理员创建或导入的成员共用额度管理中的成员周额度标准。

关闭开放注册会同时阻止新的申请，并使已经发出但尚未使用的激活链接停止生效。直接由管理员创建的账号、既有已激活账号和其他已配置登录方式不因此删除。

企业账号登录

让成员使用组织统一管理的账号登录。新账号需要管理员启用，不受开放注册开关控制。

企业统一登录（OIDC）

填写 HTTPS Issuer URL、client id 和 client secret。回调地址由 LinkSense 公网基址固定生成，只读展示，需要同步配置到身份提供方。

保存新 revision 后，旧配置发起但尚未完成的回调会被拒绝，用户需要重新登录。首次 SSO 用户会按邮箱创建待启用账号，管理员启用后才能重新登录。

企业统一登录（SAML 2.0）

先为站点配置 HTTPS，再填写身份平台提供的 Entity ID、登录地址和 PEM 签名证书。将页面上的本系统 Entity ID 和 ACS 回调地址登记到身份平台，或保存并启用后下载 XML 接入配置导入。

身份平台必须对登录断言签名，并发送由组织管理的准确邮箱。邮箱属性名称应与平台发送的名称完全一致；使用 NameID 作为邮箱时填写 NameID。姓名属性可留空。已有账号按邮箱匹配，保留角色；新账号需管理员启用，禁用账号不能登录。

如身份平台要求签名登录请求，开启“签名登录请求”，填写本系统的 RSA 签名证书和配套私钥。保存的私钥不会回显，更新其他字段时留空保留；关闭请求签名并保存会移除这组证书与私钥。身份平台证书到期后需更新证书才能继续登录。

成员从 LinkSense 登录页点击“使用 SAML 企业账号登录”。每次登录须在五分钟内完成，修改配置后应重新发起登录。当前支持由 LinkSense 发起登录，不支持从身份平台门户直接发起、加密断言或跨应用单点退出；退出 LinkSense 不会退出身份平台。

Teams 内登录

填写 Microsoft Entra tenant id 和 client id。LinkSense 页面不会替代 Entra 应用注册、Application ID URI、Teams manifest 或管理员同意。

第三方账号登录

配置 Google、Apple、Microsoft 个人账号、Facebook 和 GitHub 登录。Microsoft 工作或学校账号请在企业账号登录中配置 Microsoft Entra ID。

GitHub：在开发者设置的 OAuth Apps 中创建应用，将配置弹窗显示的回调地址填入 Authorization callback URL，再将 Client ID 和 Client Secret 填入 LinkSense 并启用。使用不同回调地址的测试、生产环境应分别创建应用。登录仅申请读取邮箱的权限，不访问代码仓库；GitHub 无法提供已验证邮箱时，首次注册需在 LinkSense 完成邮箱验证。

开放注册后，新用户在邮箱验证通过后可使用账号，无需管理员启用。已有账号需要先登录，再到“设置 → 安全 → 已关联的第三方账号”中关联；同邮箱账号不会自动合并。关闭开放注册不影响已关联账号登录。

密钥处理

页面只返回“已配置”状态，不回显 SMTP 密码或 OIDC secret。处于系统管理模式时，更新非密钥字段可留空保留秘密；从其他模式切换到系统管理时必须重新输入所需秘密。

配置损坏、密钥不匹配或无法解密时会失败关闭，不会回退到未确认旧值。