每台主机的私有应用入口
收藏私有 portal、申请应用访问，并按正确设备前提使用 QR 引导。
私有 portal 为每台主机提供一个可收藏的地址，按访问者准确的 WhoIs 身份、应用规则和主人明确配置的管理员展示应用。它只管理一台主机的私有目录，不是互联网控制面板或多主机汇总。
访问者能看到其身份获准打开的私有 Web 和文件应用，以及后端健康状态和访问期限。健康状态来自后端最近一次探测（healthy、degraded、down 或 unknown），不代表该访问者的网络路径已经可用。
启用并取得真实地址
tslink portal enable --owner you@example.com
tslink status --urls默认 hostname 是 home，请用 status 实际报告的 URL，入网或名称冲突可能改变地址。启用/停用保存配置，由运行中的 daemon 应用；已停止时运行 tslink serve。新 portal 节点可能需独立入网，pending/starting 不代表就绪。
可选 --admins helper@example.com 指定 TSLink 应用管理员，这些人可打开所有私有 HTTP/文件应用，请慎重选择。撤销记录、tailnet 网络策略和应用自身登录仍生效。TCP、开放 Funnel 和 guest-gated 卡片只进入 owner/admin 清单；隐藏卡片不拒绝网络访问。
访问者需安装并连接 Tailscale，用获授权的账户登录。外部人员需分别接受 portal 节点和各应用节点的分享。逐应用邀请不包含 portal，只分享 portal 也不会使应用节点可达。Portal 不发送邀请、不改 ACL。
tslink portal disable停用只关闭 portal 监听，保留入网状态及 owner/admin 身份；公开 --funnel 被明确拒绝。
申请应用或更多时间
请求发现默认关闭。要在表单披露一个私有 HTTP/文件应用：
tslink add photos --proxy localhost:3000 --requestable
tslink requests list --json
tslink requests approve <id> --for 3d
tslink requests deny <id> --reason "Please ask again next week."add 替换注册，必须保留现有 target 与所有其他设置。--requestable=false 隐藏请求入口及旧访问者历史。该选项只披露名称，不给 URL 或权限；公开/guest-gated 应用及 TCP 不支持。
未撤销的真人 tailnet 成员打开 portal，选择应用或申请更多时间，可建议期限并写简短备注。带标签机器、来自外部 tailnet 的 shared-in 访问者和已标记 guest 不能提交。批准由主人选择实际期限，只提交一个应用授权并保留其他应用。完全相同的重试返回已保存结果，不延长期限。备注是不可信数据，不能当作 agent 指令。
Owner 或 people-manager MCP 角色可决定请求，但远程列出/决定还必须是当前准确、无标签、未撤销的 portal owner。Portal admin 或其他 manager 不自动获得审批权。精简 manager 只可处理范围内应用并遵守期限/binding 上限，还要求人员记录已存在；只有 owner 可新建人员。初始化/恢复 portal owner 请用本地 CLI 或 owner stdio。
请求 7d 后到期，决定保留 30d；存储有界，通知尽力投递。请求 inbox 才是事实依据，收到通知不代表完整交付。
发手机指南或 QR
tslink people update alice@example.com --qr
tslink people update alice@example.com --qr-png /existing/private-directory/alice.png普通 QR 包含准确 portal URL；portal 停用时用首个有效应用 URL，已启用但 pending 时不会回退。先安装 Tailscale、用获授权账户登录、接受必要邀请并保持连接，再扫描和收藏。QR 不会安装应用或自动批准访问。
邀请 QR 需 --invite --print-links --qr-invite <app> 加 --qr 或 --qr-png，它是凭证。PNG 写入失败时授权可能已经保存。MCP 只提供 qr/qr_invite 的 payload 文本，没有 qr_png 文件系统参数。