网站为何无法连接本机端口？

网站有时需要与同一台电脑或本地网络中的可信应用、打印机、路由器或开发服务通信。如果连接在浏览器账号中失败，不应直接认定只有代理或本地服务存在问题。网站请求还可能经过账号的本机端口保护，以及浏览器自身的本地网络安全检查。

先识别地址边界

浏览器安全模型会区分三种地址空间：

• **回环地址（loopback）**表示当前设备，包括 localhost、127.0.0.1 和 ::1；
• **本地地址（local）**表示只能从当前网络访问的目标，例如私有 IP 或 .local 名称；
• **公网地址（public）**表示不局限于当前设备或网络的互联网目标。

公网网站请求回环或本地目标时，会进入更私密的地址空间。现代浏览器保护可能要求页面处于安全上下文，并在请求前获得明确授权。结果还可能受 fetch()、子框架、WebSocket、WebRTC 或其他请求类型影响。

应记录页面来源、完整目标主机和端口、请求类型、可见的权限决定及错误文本。“localhost 失败”不足以区分服务没有运行和网页请求被拦截。

正确理解 MaskPilot 的本机端口保护

MaskPilot 在账号的更多指纹设置中提供“本机端口保护”，默认开启，用于避免网页探测常见的本机服务端口。

“要保护的端口”留空时，MaskPilot 使用内置保护范围；填写自定义端口会替代内置范围，而不是在原范围上追加。只有在目标网站流程和准确端口都已经核验后，才应使用自定义列表。

这项设置影响在该浏览器账号内运行的网页。它不会启动本地服务、修改服务监听地址、授予浏览器权限、修复证书或配置操作系统防火墙。与其他账号指纹设置相同，它在浏览器进程启动时应用。

验证一条合法的本地连接

1. 确认本地应用或设备符合预期，并且该网站确实可信、需要连接它。
2. 记录包含协议、主机和端口的完整目标，区分回环目标和局域网目标。
3. 检查浏览器是否显示了本地网络权限提示，并记录选择，不要反复切换权限。
4. 完全关闭账号，等待状态恢复为可启动。
5. 编辑同一个账号，展开更多指纹设置，找到“本机端口保护”和“要保护的端口”。
6. 确实需要受控对比时，只修改端口保护选项或一个准确的自定义端口；保持代理、浏览器版本和其他指纹字段不变。
7. 保存并重新启动账号，只重复一次相同的网站操作。

如果完整重启后仍保留以前的行为，请先按修改账号设置后没有生效的排查步骤处理，再决定是否修改其他字段。

区分账号保护、浏览器限制和服务故障

关闭本机端口保护不代表网站请求一定能够成功。浏览器仍可能因为本地网络权限被拒绝、页面不属于安全上下文、嵌入框架没有获得权限委派，或者混合内容与跨来源规则而拦截请求。

目标服务也可能独立失败：请求端口没有进程监听、服务绑定了另一个地址、证书无效，或者防火墙拒绝连接。直接在地址栏打开目标与公网网站脚本发起请求也不是同一条路径；前者成功不能证明后者理应放行。

WebRTC 路由属于另一类网络表面。如果现象是页面报告本地 IP、候选路线或媒体连接异常，而不是访问 localhost 服务，请改用 WebRTC 代理路线排查清单。

判断何时应保留默认值

网站没有明确理由连接本地应用或设备时，应保持本机端口保护开启。意外出现的权限提示或后台探测不能作为扩大访问范围的理由。

只有在可信流程明确记录了准确本地端点、服务确实正在运行、浏览器权限已经处理，并且剩余故障会在完整重启后随账号设置变化时，才考虑做范围最小的对比。如果业务流程不需要例外，检测结束后应恢复更安全的默认值。

不要为了让一个页面通过而把本地服务暴露到公网，也不要关闭无关的安全控制。关于完整的账号配置生命周期，请参阅配置稳定的浏览器指纹。如果问题属于独立的 MaskPilot MCP 监听服务，请使用本地 MCP 连接排查清单。

MDN 的本地网络访问指南介绍了回环、本地和公网地址空间、受影响的请求类型、权限与安全上下文要求；当前的 Local Network Access 规范定义了权限模型及其安全边界。