远程 CLI
在自己的机器上安装单文件 CLI（纯 Python 标准库，不用 pip），装完把本节点加进去登录即可管理。
若提示找不到 xmagic 命令，把 ~/.local/bin 加入 PATH 后重试。
代理用户
每个用户有一套 Trojan / HTTP 凭证与独立的 Shadowsocks 密码，可选登记 SSH 公钥。VLESS 默认关闭（在「设置」里开启后凭 UUID 接入），公网 SOCKS5 默认关闭，SSH 默认关闭（靠部署环境变量 XMAGIC_ENABLE_SSH=1 开启）。
上级节点
级联上级按用户分组选择，池策略在「设置」里调整。带 * 的凭据字段在编辑时留空表示不改动。
目标路由
按域名 / 关键词 / 正则 / IP 把流量导向某个上级分组、直连或拦截；可限定只对某个用户生效。
每次修改都会自动重新渲染配置，并按需只重启受影响的进程生效。渲染结果见「概览」页状态。
设置
渲染级配置保存在数据库里，优先于部署时的环境变量；保存后自动重新渲染生效。
会话有效期默认 168 小时（1 周），范围 1–2160，只影响新签发会话。
WS 路径 / 策略 / 默认方法：留空保存 = 回退到部署时 .env 的值；输入框灰字是当前生效值。
直连内网地址默认关闭：经 VLESS / Trojan / Shadowsocks 进来的流量直连时不能访问本机与内网地址
（Xray 的防 SSRF 默认规则）；节点需要访问自家局域网服务时再打开。
组内互访默认开启：同一分组的成员可用 ssh -R 把自己机器上的服务暴露到网关回环的
专属端口段（每人 16 个端口，见用户列表），同组成员经代理拨 127.0.0.1:端口 即可
互访，如同在同一局域网；不想互访的分组填到上面即关闭该组互访。非同组成员拨回环一律拦截。
默认不加密的协议不开：VLESS 入站默认关闭（协议自身不加密，需要时勾选上面的开关开启）；
公网 SOCKS5 默认关闭（明文且不能借道 HTTPS，靠部署环境变量 XMAGIC_ENABLE_SOCKS5=1 开启）。
SSH 支持：读取中。
SSH 关闭时 sshd 与隧道进程不启动，SSH 公钥、SSH 上级与组内互访都不可用，控制台不能开启它。
Trojan（设计上强制 TLS）、Shadowsocks（自带加密）、HTTP 代理（借道外层 HTTPS）不受影响。
REALITY 入站默认开启且与 VLESS 开关独立：客户端以 VLESS + REALITY（flow xtls-rprx-vision、
fingerprint chrome）直连公网口，参数取上面的 dest / serverNames / shortIds 与公钥加上用户自己的 UUID；
轮换密钥后旧公钥立即失效，客户端需同步更新。REALITY 需要裸 TCP 直达公网口，
经 TLS 终结型边缘（如平台的 HTTPS 域名）无法透传。
更换后，其它所有管理员会话立即失效，本页面会切到新签发的会话。
数据库
数据库配置本身保存在节点本地，业务数据在当前启用的库里；切到还没有表的库时自动建表。列表中 DSN 的密码已打码。
数据迁移
迁移会把全部业务表（用户 / 上级 / 路由 / 设置 / 管理员凭证 / 会话）复制到目标库；切换后立即重新渲染生效。
管理员会话
同一管理员可以有多个会话（不同浏览器、不同机器的 CLI）。「当前」是本页面正在用的会话；撤销它会立即退出本页面。