功能详解#
逐页说明 ThinkWatch Lite 展示的内容与提供的功能。简要介绍见 Lite 产品页。
主窗口共有九个页面：概览、流量、客户端、密钥、上游、路由、安全、MCP 和设置。
用量与费用#
概览页按最近 24 小时、7 天、30 天或自定义区间统计 token、费用与请求数，并与上一个同等长度的区间对比；实时档显示最近十分钟。趋势图按模型分层显示 token 或费用，其下的模型排行可以直接打开对应的请求。页面下方依次是缓存（命中率、缓存带来的净节省、各模型的命中率）、延迟（首 token 时间的中位数与 P95，按模型和按上游）、生成速度（每秒 token 数的中位数，按模型和按上游）以及各项防护的检出情况。
费用会注明其中估算的部分，例如响应结束前被中断的请求。模型未定价的请求和上游未报告用量的请求单独计数，从不按零计入。价格来自价目表：默认价目表采用 LiteLLM 的公开价格，每天更新一次；自定义价目表在其基础上设置倍率，并可单独为个别模型定价，适用于价格与官方不同的中转服务。ChatGPT 这类订阅账号同样按价目表计价，本地模型等上游可设为不计费。每个请求的费用在请求结束时确定，并注明计价所用的价目表及其数据日期。
流量与会话#
流量页实时列出请求：状态、密钥、模型、上游、首 token 时间与总耗时（悬停时显示生成速度）、token 和费用，并标出格式转换、被脱敏的密钥，以及被拦截或可疑的工具调用。列表可以按密钥、上游和模型筛选，或只看失败、无法计价的请求。「会话」视图把同一段对话的请求归为若干轮次，给出每一轮的输入 token 与费用。
打开一个请求可以查看时间线、路由（命中的规则、经过的策略组，以及每一次尝试的状态与耗时）、请求与响应正文、用量与费用。DeepSeek Harness 发出的请求还会显示所带会话日志的大小：这是客户端随每个请求附带的整段对话记录，发往 DeepSeek 以外的上游之前由网关去除。已结束的请求可以在预估费用后原样发送到另一个上游，两次的响应并排对照。
客户端接管#
客户端页可以把 Claude Code、Claude Desktop、Codex、opencode、Zed、Aider 与 DeepSeek Harness 指向网关。写入之前，页面列出将要修改的字段和这次接管的其他影响（例如 ChatGPT 桌面版与 Codex 读取同一份配置文件），给出完整的改动差异，并完整备份原文件。只修改指向网关所需的配置，每个客户端使用各自的密钥。Claude Desktop 通过官方的第三方推理模式接入，页面逐一列出要修改的各个文件；由组织统一管理的 Claude Desktop 不做修改。已接管的客户端可以随时单独还原或全部还原；Codex 还原后保留一项直连 OpenAI 的配置，接管期间的会话仍可打开。opencode（v1 与 v2）的配置中同时写入其密钥在网关上可用的模型列表；网关上可用的模型变化后，页面提示更新，更新同样先给出改动差异。Cursor、Continue 与 Antigravity CLI 提供逐步的配置方法，并为其创建密钥。页面列出每个客户端处于使用中、等待首个请求还是未生效，以及最近 24 小时的请求。
在 Windows 上，安装在 WSL 中的 Claude Code 与 Codex 按发行版单独成组，列在这台电脑的客户端之后。它们同样可以指向 Windows 上的网关、还原和检查，使用与 Windows 上那一份分开的密钥，配置文件经由 \\wsl.localhost 修改。写入的地址与 Windows 上的客户端相同，是 127.0.0.1，WSL 在以下两种情况下可以访问：
- WSL 1：与 Windows 共用网络。
- 使用 mirrored 网络模式的 WSL 2：在
%USERPROFILE%\.wslconfig的[wsl2]段（或旧的[experimental]段）中设置networkingMode=mirrored，需要 Windows 11 22H2 及以上版本、WSL 2.0.5 及以上版本。
WSL 2 默认使用 NAT 网络，此时 Windows 上的网关无法从 WSL 内访问，网关也不会为此另外监听 WSL 的虚拟网卡。WSL 分组因此不提供接管，改为说明原因，并提供「改为 mirrored 模式」：在 .wslconfig 中新增或修改 networkingMode，文件的其他内容保持不变，与接管客户端一样先给出完整差异，确认后全文备份再写入。修改在 WSL 重启后生效，页面同时提供「重启 WSL」（执行 wsl --shutdown，会停止所有正在运行的发行版）。完全卸载时 .wslconfig 不会改回，备份保留。Windows 10 与 Windows 11 21H2 没有 mirrored 网络模式，WSL 版本低于 2.0.5 时也无法使用，页面会分别说明。连接远程 core 时，WSL 中的客户端与 Windows 上的一样指向服务器，不受网络模式限制。
密钥#
客户端连接网关必须携带密钥，本机也不例外。密钥页列出默认密钥（供未单独分配密钥的客户端使用）和每个已接管客户端的专用密钥，并注明所属客户端，便于在流量页中区分各客户端的请求。每把密钥有各自的路由、可用模型（全部、无，或指定的模型与 gpt-5* 这类通配模式）、可选的并发上限，以及最近 24 小时的请求数与费用。密钥可以停用，停用后使用它的请求一律被拒绝；也可以更换，新密钥会写入使用它的客户端的配置。
上游#
上游是网关转发请求的目标：Anthropic、OpenAI、Google Gemini、DeepSeek 或任何兼容接口的 API 密钥，Amazon Bedrock（API 密钥、访问密钥或 AWS 配置文件），在应用内登录的 ChatGPT 账号或 Z.ai / BigModel 账号，OpenRouter 等中转服务，以及 Ollama 等本机模型。ChatGPT 账号显示订阅额度与重置时间；GLM Coding Plan 的上游（地址在 api.z.ai 或 open.bigmodel.cn 上，在应用内登录或手动填写密钥均可）同样显示：5 小时与每周额度，积分制套餐另外显示剩余积分（「剩余 1,976 / 2,000 积分」）。客户端与上游的 API 格式不同时，请求在 Anthropic Messages、OpenAI Chat Completions、OpenAI Responses 与 Gemini 之间自动转换，无法转换的字段会在请求上逐一列出。上游可以经出站代理访问，也可以使用单独的价目表计价，代理与价目表在同一页的标签中管理。链路测速测量 DNS 解析以及 TCP、TLS、代理握手的耗时，不产生费用；推理测速测量首个 token 的时间，运行前先给出费用预估。
API 密钥和请求头的值可以写成 ${变量名}，读取系统环境变量。macOS 上读的是登录 shell 里的环境变量，~/.zshrc 等文件中 export 的变量都会生效，Linux 同理（~/.bashrc、~/.profile 等）；Windows 上读的是系统设置里配置的环境变量。修改变量后，重新打开应用即可生效。代理相关的变量（HTTPS_PROXY 等）和 PATH 不会被读取。
中转站或服务商可以提供导入链接（thinkwatch://import?…，或网页形式 https://thinkwat.ch/import#…），预填新上游的名称、接口地址、接口协议、API 密钥与模型清单。应用在确认对话框中列出这些设置，并写明请求与密钥将发往的主机；选择「创建」之前不写入配置，也不连接该地址。一条链接只能新增一个上游，不能修改已有的上游、请求头、代理、价目表或路由，引用环境变量的密钥一律拒绝。参数说明与链接生成器见导入链接。
路由与故障转移#
每把密钥使用一条路由，未指定的使用默认路由。路由由按顺序匹配的规则组成。规则的条件包括模型、密钥、客户端的 API 格式、输入 token 数、max_tokens、工具数量、图片、扩展思考、流式、提示缓存以及辅助请求的类型；命中后把请求交给某个上游或策略组，或拒绝请求，也可以改写模型、max_tokens 或扩展思考。策略组把多个上游放在同一个名字下，并决定尝试的先后：按顺序、手动选择、轮询、延迟最低优先或费用最低优先。一次尝试失败时，请求转到下一个上游；同一会话默认保持在同一个上游上，以便提示缓存持续命中。页面顶部的路由图显示每把密钥经过的路由、策略组和上游。
客户端自行发出的辅助请求（连通性检查、预热、生成标题、话题识别、输入建议）可以由网关在本地应答而不产生费用，也可以直接转发，或交给路由规则处理。
每个请求都记录命中的规则、经过的策略组，以及每一次尝试的状态与耗时。试算按给定的请求条件逐条匹配规则，说明请求会交给哪个上游及其原因，不发出请求，也不产生费用。
安全#
安全页有五项防护，对所有上游和所有密钥统一生效，各有「关闭」「观察」「拦截」三档，其中「观察」只检测和记录，不做任何改动。输出长度出厂为「关闭」，其余四项出厂为「观察」，因此默认不会改动或拦截任何请求。
- 出站脱敏：请求发出之前查找其中的凭据，包括 Anthropic、OpenAI、GitHub、Slack、AWS、Google、GitLab、Stripe、npm、DigitalOcean、SendGrid 的 API 密钥与令牌，以及私钥、JWT 和连接串中的口令。「拦截」档下把它们替换为占位符，响应中回显时再还原。内网 IP 地址和内网域名两条规则出厂为停用，可以按需启用。
- 工具调用审查：检查模型返回的工具调用中是否含有下载或解码后执行代码、外发环境变量或凭据文件、读取私钥或云服务凭据、写入启动项或定时任务等命令。「拦截」档下命中即切断响应，客户端收不到一个完整、可执行的调用。删除主目录或根目录、设置全员可写权限两条规则出厂只记录。
- 隐藏字符：检查客户端发送的内容（含工具结果）中的 Unicode 标签字符和双向控制符，「拦截」档下拒绝发出请求。
- 内容过滤：用关键词或正则表达式匹配客户端发送的消息（含工具结果），「拦截」档下拒绝命中拒绝类规则的请求。内置规则中，出厂只启用三条明确要求「忽略先前指令」的规则；越狱、身份操纵、套取提示词等规则及其中文版本可以按需启用。
- 输出长度：回答超过设定的字符数（默认 100,000）时，流式回答在超出处切断，非流式回答整份替换为错误。思考内容和工具调用的参数不计入。
安全页列出全部规则：内置规则可以逐条启用或停用，工具调用审查和内容过滤的内置规则还可以设定在「拦截」档下执行处置还是仅记录；自定义规则为正则表达式，内容过滤也可以使用关键词。任何规则都可以先用一段文本测试。各项防护检出的内容都记入第一个标签页的日志，并注明所属的请求。
MCP#
MCP 页管理客户端从自己的配置文件中加载的内容，这些内容不经过网关。
- 服务器：并排列出 Claude Code、Claude Desktop、Cursor、Codex、opencode、Antigravity CLI、Zed 与 DeepSeek Harness 配置的 MCP 服务器。可以把一个服务器从一个客户端复制到另一个客户端，或从某个客户端移除；写入前先显示改动，并备份原文件。复制与移除支持 Claude Code、Claude Desktop、Cursor 与 Codex，opencode、Antigravity CLI、Zed 与 DeepSeek Harness 只列出、不写入。位于其他主机的远程服务器标为「第三方」，使用它会把相关上下文发送到该地址；同名服务器在各客户端中配置不同时标为「配置不一致」，可以并排比较。
- 技能与钩子：列出已安装的技能和配置的钩子，以及各自所属的客户端。
- 发现：扫描客户端配置、技能、钩子、斜杠命令、subagent 与项目指令文件，检查隐藏字符、提示注入、危险命令与过宽权限四类问题，每项发现按高、中、低分级。扫描只报告，不修改任何文件。
应用运行期间会监视这些文件，出现新的发现时发送系统通知。
设置#
设置页分为六节。「连接」列出本机 core 和已保存的远程 core，详见连接远程 core。「通用」设置语言、外观、菜单栏显示的内容（仅 macOS）、开机启动，以及提醒以系统通知发送、仅在应用内显示还是关闭。「网关监听」设置网关的访问范围（仅本机、所选网卡所在的局域网或所有网卡）、端口和放行网段。「日志保留」分别设置请求报文与请求记录的保留天数，以及报文的空间上限。「关于」显示版本、检查更新，并可生成诊断包，其中的密钥与地址均已脱敏。「卸载」还原所有已接管的客户端并取消开机启动，应在删除应用之前执行。
菜单栏、系统托盘与通知#
macOS 菜单栏显示今日 token 与今日费用，订阅额度紧张时数字变橙、用完变红；设置里可以改为仅标识或仅数值。
点开是原生菜单：网关地址、最近一分钟的生成速度与状态、未读的提醒、今日的请求数、token 与费用、各订阅账号与 GLM Coding Plan 上游的额度与重置时间（积分制套餐在额度条下方显示剩余积分）、进行中的请求，以及切换手动选择策略组中的上游、复制网关地址和默认密钥、切换连接、检查更新等常用操作，不必先打开主界面。
Windows 上图标位于通知区域：悬停显示网关状态与今日 token、费用；左键打开主界面，右键打开同一份菜单，其中的额度条改为文字。
Linux 上图标位于系统托盘：点击打开同一份菜单，第一项为「打开主界面」，额度条同样改为文字。
以下情况会发送系统通知（macOS 与 Windows 使用原生通知，Linux 通过桌面环境的通知服务）：网关停止转发或反复重启、与远程 core 的连接断开、订阅额度用完、账号登录失效或上游拒绝当前凭据、代理不通、配置文件未通过校验、工具调用命中切断类规则、客户端配置中出现可疑内容。自动检查到新版本时也以系统通知告知（见更新）。上游无法连接时通常由回退上游承接，因此只记录在应用内。提醒可以整体设为系统通知、仅在应用内显示或关闭。标为已读的提醒不再计入铃铛上的数字，但在问题解决或清空列表之前仍留在列表中。