AgentDB Windows 双击运行包
适用于 Windows x64，无需安装 Go 或 Node.js。网页界面已嵌入 agentdb.exe。
顶部版本入口及 agentdb.exe --version --json 显示当前版本、Git 提交与构建时间。Kubernetes 出口内置 port-forward，无需安装 kubectl；目标服务可配置 kubeconfig 路径、context、命名空间与 Pod/Service/Deployment，详见 Kubernetes。
启动
「代理」菜单独立维护通用出口；目标服务通过下拉框选择代理或直接连接。多个目标可复用同一代理。代理被引用时禁止删除，修改前先停止所有关联网关；旧目标的内联出口自动迁移为独立加密配置。
- 完整解压 ZIP，双击
agentdb.exe。 - 浏览器自动打开；开发阶段默认免登录，直接进入控制台。
- 先添加目标服务，再创建网关并选择关联目标；多个网关可复用一个目标。以后双击即用。右上角支持浅色、深色、海蓝和跟随系统主题。
默认管理地址为 http://127.0.0.1:8080。保持程序窗口运行，按 Ctrl+C 停止服务；关闭窗口也会结束进程。不要重复启动多个窗口。端口被占用或初始化失败时，窗口显示错误并等待 Enter，不会闪退。浏览器未自动打开时，可复制窗口中的管理页面地址；开启认证后的首次设置须使用包含一次性 token 的完整地址。
管理员登录（可选）
默认 AGENTDB_AUTH_ENABLED=false，仅允许本机管理，无需创建管理员。要启用登录，在 PowerShell 设置 $env:AGENTDB_AUTH_ENABLED = 'true' 后运行 .\agentdb.exe；首次会打开管理员设置页面，已有账号则直接登录。开启认证后密码仍使用 bcrypt 保存。
数据和备份
本地数据固定保存在 %APPDATA%\AgentDB，不依赖解压目录或启动时的工作目录。更新前停止服务并备份整个目录。0.2.0 自动将旧代理记录拆成目标与网关引用，保留凭据、SSH 指纹和启用状态；迁移后不要使用旧版程序直接打开新数据库。
agentdb.sqlite：可选管理员 bcrypt 密码、独立加密的目标/网关配置。audit/YYYY-MM-DD.sqlite：按 UTC 日期分库的命令审计与连接事件，升级时自动迁移旧日志。master-key.dpapi：Windows DPAPI 加密的主密钥，绑定当前 Windows 用户。tls/：自动生成的本机数据库网关证书和私钥。desktop.lock：运行锁文件，进程退出自动释放，不需要删除。
停止服务后备份整个数据目录。不要单独删除密钥；密钥丢失后原代理配置无法解密。DPAPI 文件不能直接迁移给另一 Windows 用户或另一台电脑。跨机器部署请使用服务器模式，自行保管并备份主密钥。
管理员登录密码不可查看，通过在解压目录运行 .\agentdb.exe reset-password 交互重置（先停止服务）。目标服务、网关、SOCKS5 密码可分别查看；开启认证时需要再次输入管理员密码，开发模式直接查看。
数据库 TLS
双击模式自动生成有效期一年的本机自签名证书，覆盖 localhost、127.0.0.1 和 ::1。MySQL/MongoDB 客户端使用 %APPDATA%\AgentDB\tls\cert.pem 作为 CA；SSH 使用自身主机密钥。
证书到期前，停止服务并备份、移走 tls 目录，下次启动会生成新证书，需要更新客户端 CA。局域网访问代理时，应配置覆盖实际网关域名的受信任证书，通过 AGENTDB_TLS_CERT 和 AGENTDB_TLS_KEY 指定。
高级配置
设置 AGENTDB_MASTER_KEY 后使用手动密钥模式，不自动生成密钥、不自动打开浏览器，启用 AGENTDB_AUTH_ENABLED=true 时首次启动需提供 AGENTDB_ADMIN_USER / AGENTDB_ADMIN_PASSWORD。agentdb.exe generate-key 可生成主密钥，必须安全保存并在每次启动复用。
程序不自动读取 .env；.env.example 是环境变量参考。本地模式可设置 AGENTDB_DATA 指定数据库路径，密钥与 TLS 目录跟随该数据库目录；AGENTDB_HTTP_ADDR 必须使用回环 IP，默认 127.0.0.1:8080；AGENTDB_NO_BROWSER=1 禁止自动打开浏览器。
使用说明
- 六类目标服务支持直连、SOCKS5 或 SSH 转发出口；网关引用目标，MySQL、MongoDB 网关默认读写，可选只读。
- SSH 保存配置后需探测主机指纹，通过可信渠道核对并确认后才能启动。
- 修改目标前先停止所有引用网关；被引用的目标不能删除。修改网关前先停止该网关，停止会断开已有客户端。
- 管理服务默认仅本机访问。远程管理必须设置
AGENTDB_AUTH_ENABLED=true，并配置 HTTPS 反向代理。
包内 devcert.exe 为独立开发证书工具（有效期 14 天），双击模式无需手动运行它。SHA256SUMS.txt 校验包内文件，发行包旁 .zip.sha256 校验整个压缩包。
真实 MySQL/MongoDB 多版本和 OpenSSH 的 Docker 兼容矩阵仍待实际环境验证，详见 docs/testing.md。
压缩与命令记录
在目标配置中可为 MySQL/MongoDB 开启 zlib 压缩，目标不支持时不压缩，连接测试显示实际算法；SSH 暂不支持压缩。
「命令审计」查看 SQL、MongoDB、SSH exec/交互输入及 SFTP 操作，支持按网关、协议筛选，内容加密保存 7 天。每条最多 16 KiB，超出标记截断。放行不表示目标执行成功；交互输入不等同远端实际执行命令，可能含程序输入。预编译 SQL 的参数值、MongoDB 批量文档序列正文、SFTP 文件内容及认证握手不记录。