预约演示

架构

会话与录制

每一次对共享账号的使用都是一个您可以查看并结束的会话。录制、水印和网关路由面向确实需要它们的账号，这三项在您开启之前都处于关闭状态。

本文描述截至 2026年10月3日 已实现的 LayerT。尚未实现的内容均已标注。

会话

当某人对共享账号的使用获得批准时（对于一键式账号则立即开始），会话即开始；当其退出登录、时间用尽或管理员结束会话时，会话即结束。

  • 控制台的会话页面列出每一个会话，正在进行的会话排在最前：谁、哪个账号、何时、多长时间，以及如何结束。
  • 只有在会话处于活动状态且结束时间尚未到达时，它才被视为正在进行。这一判断在读取列表时计算，因此延迟执行的后台任务不会让已结束的会话看起来仍在进行。
  • 所有者、IT 管理员、合规官、团队审批人和审计员可以看到所有会话。其他人只能看到自己的会话，以及自己负责的账号上的会话。

远程结束会话

  1. 控制台结束所有者或 IT 管理员结束一个正在进行的会话，并给出原因。
  2. LayerT 云端拒绝立即生效：该会话不再获得新的授权或延期；如果它有网关，该网关会拒绝新的连接。操作连同管理员和原因一起被记录。
  3. 浏览器感知会话进行期间，扩展程序每分钟与 LayerT 联系一次。
  4. 浏览器退出登录LayerT 清除该网站的 Cookie 和标签页的存储，并告知人员其会话已由管理员结束。
人员会被告知会话已由管理员结束，但不会被告知是谁或原因。
中间的那一分钟. 在浏览器与 LayerT 联系之前（最长约一分钟），供应商自己的会话 Cookie 在该浏览器中仍然有效。离线的浏览器会在再次运行时立即退出登录。

录制 默认关闭

录制适用于值得保留回放的账号：财务门户、社交媒体账号、外包人员的访问。在以下两个条件都满足之前，所有账号的录制都处于关闭状态：

  1. 所有者已书面声明：公司具有合法依据，已完成影响评估，并已征询员工代表的意见，或者无需这样做。该声明会被记录。撤回声明会关闭所有账号的录制。
  2. 所有者或 IT 管理员已为该账号开启录制。

录制什么，不录制什么

LayerT 使用开源录制工具 rrweb 捕获页面的回放：页面结构和文本、点击、滚动以及网络请求的时间。它是一段回放，而不是视频。

会被捕获从不捕获
所显示的页面：其结构、文本和样式，除非开启了文本遮盖。其中包括页面在内容被输入之后回显的内容人员输入的内容，在其输入位置：表单字段（输入框、文本区域和下拉选择框）和富文本编辑器始终被遮盖，不论该账号的文本遮盖设置如何
点击、滚动、鼠标移动密码、一次性验证码和登录字段，以及隐藏的表单字段，这些会被完全排除
勾选了哪些复选框、选择了哪个单选项，以及所选文件的名称所选文件的内容，以及在下拉列表中选了哪个选项
页面和请求的地址，以及每个请求的状态和时间请求和响应的正文或标头
该账号自己的网站其他标签页、其他网站、浏览器之外的任何内容、canvas 绘图、图片和字体
LayerT 自己的提示

在 LayerT 填写登录表单期间，录制也会暂停，因此填写过程本身从不出现在录制中。

人员输入的内容在输入位置被遮盖，即在表单字段和富文本编辑器中，每个账号都是如此。遮盖是指每个字符都变成一个星号，因此回放显示的是有人写了东西以及写在哪里，而不是写了什么。网站标记为可编辑的页面的任何部分，包括之后才变为可编辑的部分，以及 LayerT 所认识的代码编辑器，LayerT 都将其视为编辑器。在与页面同源的框架中同样如此（录制只覆盖这一种框架），在网站的开放 Shadow Root（Web 组件）内部也是如此。

页面文本默认可见. 输入的内容在输入位置被遮盖。录制仍会显示页面回显的内容：对话中一条已发送的消息、一个“……的搜索结果”标题、一段预览。录制中还包含页面和请求的地址（包括网站放进地址里的搜索词）、勾选了哪些复选框，以及所选文件的名称。页面上的文本会被录制，除非您为该账号开启文本遮盖，开启后所显示的文本也会被隐藏。如果供应商的页面显示个人数据，录制中也会出现这些数据。这正是需要所有者先做出声明的原因。

有两类东西不会被识别为编辑器：终端模拟器，以及仅靠样式变为可编辑的区域。在那里输入的内容会作为页面文本被录制。完整列表见局限与待完成工作。

告知人员

会话被录制期间，会话标签会显示“录制中”。第一次被录制的会话会显示一条不会自行消失的通知。如果录制无法启动，会话标签会显示这一情况，人员的工作不受影响。

加密

  1. 浏览器新密钥扩展程序为这段录制生成一个新的 AES-256 密钥，仅保存在会话内存中。
  2. 浏览器加密事件在离开浏览器之前被压缩并分块加密。
  3. LayerT 云端封装密钥只发送一次，并立即被封装。只存储封装后的密钥。
  4. 对象存储存储存储桶中只保存密文。
  • 每段录制都有自己的密钥。每个分块都有自己的随机 nonce。
  • 等待上传的分块以加密形式保存在设备上，并有大小上限。
  • 封装密钥保存在密钥服务中，该服务按请求解封每段录制的密钥，从不交出封装密钥。密钥服务已构建，并已在 LayerT 的测试环境中使用，但那里没有存储过任何录制：录制本身只在开发环境中测试过。生产环境将使用 Google Cloud 的密钥服务，目前未部署。
为回放和导出在服务器上解密. 为了播放录制，LayerT 的服务器会将其解密并发送到观看者的浏览器。当所有者导出组织数据时，服务器还会将每一段保留的录制解密到该导出中。因此 LayerT 能够读取录制内容，对录制的访问通过角色、理由和审计加以控制。

谁可以观看

  • 只有所有者、IT 管理员和合规官。
  • 每次观看都需要输入理由，并以观看者的姓名写入审计日志。

保留期限

录制默认保留 90 天。所有者可以选择 7 到 365 天之间的任意期限。每日任务会删除过期的录制（先删除已存储的分块，再删除其记录），并记录每一次删除。

录制是证据，而不是铁证

录制工具运行在供应商的页面内，因此页面在理论上可能干扰它。请将录制与审计日志一起视为关于所发生事情的有力证据，而不是无法篡改的证明。

水印 默认关闭

为某个账号开启水印后，LayerT 会在供应商网站上覆盖一层淡淡的平铺水印，内容包括人员的姓名、电子邮件、一个简短的会话 ID 和时间。它不会阻挡点击，页面移除它后会重新出现，并且在打印时也会保留。

用于威慑和追溯，而非防止. 任何会使用开发者工具的人都可以移除它，关闭扩展程序也会移除它，而且没有任何手段能阻止用手机拍照。在深色的供应商页面上，它也比较淡。它能让截图可追溯，但无法阻止截图。

网关路由 抢先体验

有些供应商希望共享账号来自一个已知的 IP 地址，以便将其加入允许列表。网关路由会让某个共享账号的网站经由网关访问，使供应商看到的是一个固定的地址。

网关运行在您租用的服务器上，例如一台带有静态 IP 的小型虚拟服务器，因此地址归您所有。所有者或 IT 管理员在控制台中添加网关，并在服务器上粘贴一条命令。随后 LayerT 会从外部检查该网关，并将其显示为在线，同时显示需要提供给供应商的地址。它会为网关分配名称和证书，保持其软件为最新，并在它离线、IP 发生变化或证书出现问题时通知您。IP 发生变化的网关会被暂停，直到所有者或 IT 管理员确认新地址。LayerT 自己不运行网关。

抢先体验. 网关路由已构建并经过测试。它只在我们的测试环境中运行过，使用的是测试服务器和练习网站的账号。目前没有任何部分投入生产。

路由哪些内容

  • 路由按账号选择开启。 在所有者或 IT 管理员为账号选定归属网关并开启路由之前，每个账号的路由都是关闭的。
  • 它只适用于该账号自己的网站，并且只在有人在该账号上拥有活动会话时适用。浏览器中的其他一切都走直连。
  • TLS 保持端到端。 网关能看到正在访问哪个主机以及访问时间，但看不到内容。
  • 网关会请求 LayerT 的服务器准入每一个新连接。每个网关都有自己的密钥，LayerT 只会就其所属组织的会话回复它。只有当某人在该浏览器中打开了某个网站的账号时，网关才会为此人打开该网站。
  • 一个人可以在同一个浏览器中同时经由同一个网关打开两个已路由的账号。另一个人的会话、另一个浏览器中的会话，或已结束的会话，仍然会被拒绝。
  • 备用网关在下一次登录时接管，而不是在会话进行中接管。

先路由，后页面

  1. 浏览器打开人员从 LayerT 打开一个已路由的账号。
  2. LayerT 云端会话LayerT 检查会话，并回复要使用的网关、仅用于本次会话的凭据，以及供应商将看到的地址。这一步不传输密码。
  3. 浏览器路由LayerT 把该账号的网站切换到网关，并检查浏览器已采用该设置。
  4. 网关加载只有到这时，登录页面才经由网关加载。
  5. 页面填写LayerT 填写供应商的表单，与任何共享账号一样。
对于已路由的账号，供应商第一次看到这个会话时，看到的就是网关。

当有人在自己打开的登录页面上选择该账号时，LayerT 不会填写那个页面。它会启动路由，像会话结束时那样清除该账号的 Cookie，经由网关重新加载该页面，并在那里填写。

会话结束时，先清除其 Cookie 并通知其标签页，然后才撤下路由。

人员看到什么

会话经由网关出去期间，会话标签会写明网关以及供应商看到的地址，例如“经由 London 1 · 203.0.113.7”，该地址可以复制。经由网关加载的第一个页面还会提示一次：该会话经由贵组织的网关出去。

在登录页面上的 LayerT 菜单中，已路由账号所在的行会在当事人选择它之前说明它经由哪个网关出去，只显示网关名称。

无法连接到网关时

默认情况下，当没有网关可以承接时，已路由的登录不会被打开。LayerT 会告知当事人原因，并且不会从当事人自己的地址加载供应商的页面。

所有者或 IT 管理员可以在如果无法连接到网关下，将账号设置为改为直连。此时登录会从当事人自己的地址打开，并附有说明这一点的提示。这是账号自己的选择，这项变更会被记录。

如果网关在某个设置为拒绝的账号的会话进行中停止工作，该账号的网站在该会话的剩余时间内将无法加载，页面会说明原因。当事人结束会话并重新登录，备用网关正是在这时接管。

网关路由的局限

  • 已打开的连接不会被切断。 会话结束或被吊销时，网关会立即拒绝新的连接，但已经打开的连接会持续到它关闭为止。
  • 手动输入的地址，其第一个页面走直连。 自己输入供应商地址的人，会从自己的地址加载这第一个页面，因为在有会话之前 LayerT 无法路由。使用允许列表的供应商会拒绝该页面；当事人应改从 LayerT 图标开始。
  • 直连会显示当事人自己的地址。 设置为直连的账号，在网关故障时会让供应商看到当事人所在的位置。这是账号自己的选择。
  • 代理由别处管理的浏览器无法使用设置为拒绝的账号。 如果某项策略、VPN 客户端或其他扩展程序控制着浏览器的代理设置，LayerT 就无法在那里路由，因此设置为拒绝的账号在该浏览器中根本不会被打开。
  • 不处理 WebRTC，因此使用它的页面仍然可以获知当事人自己的地址。
  • 其他浏览器和其他 Chrome 配置文件不会被路由。
  • 每个账号、每个网站一个地址，而不是公司所做的一切都用一个地址。

控制台的路由图显示哪些账号经由哪个网关，以及谁可以访问它们。它只读取您的设置，不做任何更改。添加网关后，其中的网关视图会随之填充。