把 README 里那个示例 token 数了数，58 个字符。这就是全部的控制平面了：一个 WireGuard 公钥，一个 DERP 区号，tailcat parse 一跑原形毕露。原来协调服务剥掉之后剩的东西这么少，少到有点好笑。安全模型也直白：认证就是"你拿到了这串字符"，跟 ssh authorized_keys 一个思路，只是钥匙从文件柜里拿出来，挂你脖子上了。于是 token 怎么递过去，成了你唯一要负责的环节——用微信发的那一刻，你的安全边界就是腾讯的 TLS。想想还挺哲学。顺手查了下，仓库 2024 年 10 月就建了，两千六百颗星。不是我今天才认识的这种新东西。