Model Checker Local Proxy

一个适合在 Windows 上直接双击启动的模型接口检测工具。它通过本地 localhost 代理转发 /models 请求，解决浏览器直接访问第三方模型接口时常见的 CORS 限制问题。

项目定位

• 面向需要快速排查模型接口可用性的开发者
• 优先支持 Windows + PowerShell 场景
• 不依赖 Node.js 包管理器，不需要额外安装前端依赖
• 适合作为轻量开源工具或内部排查小工具

功能特性

• 浏览器界面检测 /models 响应
• 本地代理转发远端请求，绕开前端跨域限制
• 展示模型列表、原始响应和远端请求地址
• 一键复制模型名和原始 JSON
• 单文件前端 + 单脚本代理，便于分发和审查

快速开始

运行环境

• Windows 10 / 11
• PowerShell 5.1 或 PowerShell 7
• 可访问目标模型接口的网络环境

启动方式

1. 双击 start.bat
2. 浏览器会自动打开本地页面，例如 http://127.0.0.1:9527/
3. 填写 API Base URL
4. 按需填写 API Key
5. 点击“开始检测”

关闭 PowerShell 窗口即可停止本地代理。

目录结构

• index.html：前端页面
• server.ps1：本地代理与静态页面服务
• start.bat：一键启动入口
• SECURITY.md：安全边界与披露说明

API Key 安全说明

当前版本对 API Key 的处理边界是明确的：

• 不会写入 localStorage：前端仅持久化 base 和 timeout，不会持久化 API Key
• 不会由本工具写入磁盘：当前实现没有把 API Key 输出到日志、配置文件或缓存文件
• 仅在当前页面会话中短暂存在：点击检测时，Key 会随本次请求提交给本地代理；页面初始化、点击“清空结果”、关闭页面时会清空输入框
• 本地代理仅监听回环地址：代理绑定在 127.0.0.1，不会对局域网暴露服务
• 代理只做转发：代理把 Key 放到远端请求头里，但不做持久化存储

这不等于“绝对安全”

以下风险仍然存在，这一点在开源 README 里应该明确说清楚：

• 恶意浏览器扩展、剪贴板工具或本机木马仍可能读取页面输入内容
• 任何拥有你当前账号权限的本地恶意程序，都可能在你运行期间尝试访问本地服务
• 如果你手动修改代码把监听地址改成非回环地址，安全边界会明显变差

如果你要处理高敏感 Key，建议：

• 使用干净的浏览器配置文件
• 尽量减少浏览器扩展
• 使用权限隔离较好的测试环境
• 不要在共享机器上运行

已知限制

• 当前主要面向 Windows
• 当前没有自动更新、签名安装包和跨平台启动脚本
• 当前没有测试框架，主要依赖脚本解析和本地联调验证