學習筆記

TL;DR

WandEnhancer 是會修改本機 Wand 安裝檔的開源工具；使用前應先讀 README、檢視原始碼與建置流程，並確認自己能接受本機 patch、網路控制面板及自訂腳本的權限風險。

快速結論

WandEnhancer 的定位是延伸 Wand 的本機 client-side configuration，改善設定管理、相容性、介面與操作體驗。它不是官方 Wand，也不是雲端服務；README 表示 patch 會修改指定安裝位置的檔案，不會聯絡更新服務或 telemetry service。這說明了作者所描述的作用範圍，但不等於工具已經安全無虞，仍須自行檢查程式碼與建置流程。

取得方式是從自己的 fork 執行 GitHub Actions 建置，再下載產出的 artifact；逐字稿指出，官方 Releases 只有 release notes，沒有官方預編譯 EXE。這讓來源與 workflow 可以檢視，但不能因此跳過審查。影片特別提醒，要檢查 workflow 的內容、了解它修改哪些檔案，也不要從假教學或第三方 mirror 下載不明安裝包。

Remote Web Panel 讓手機可透過同一個 Wi-Fi 網路控制部分 App 功能，但使用 HTTP、監聽 TCP port 3223，且沒有配對碼。任何能連到該 port 的人都可能看到面板並控制 Active Trainer，因此應限於可信任的 LAN 或 VPN，不要直接對 Internet 開放。

自訂腳本具有完整 DOM access，也能使用 Node require，因此只應加入可信任、看得懂的腳本。若不願意自行讀 source、檢查 workflow、建置並承擔本機修改風險，這個專案可能不適合；想找一鍵安裝的人尤其應先停下來確認下載來源。

這支影片在說什麼

影片拆解 WandEnhancer 的用途、功能與安全邊界，說明它如何延伸 Wand 的本機使用體驗。核心問題是：面對會 patch 本機安裝檔的陌生開源工具，使用者該如何判斷來源、權限與風險。內容適合考慮使用 WandEnhancer，或想學習如何審查本機 patch 工具的人。影片主張先看 README、原始碼與 build workflow，再決定是否自行 fork 和建置。

最重要的 3-5 個重點

1. 它會修改本機 Wand 安裝檔。 README 描述的 patch 會作用於使用者選定的安裝位置，並調整 Electron 的 ASAR Integrity Fuse；影片也提到它不是注入另一個 process。這些描述有助於界定行為，但不代表使用者可以省略檢查。
2. 官方沒有提供可直接下載的 EXE。 逐字稿指出官方 Releases 只有 release notes；建議的取得流程是 fork 專案、執行 GitHub Actions 的 Build Executable workflow，再下載 artifact。
3. Remote Web Panel 的網路邊界必須受控。 面板使用 HTTP 的 TCP port 3223，沒有配對碼；可連線者可能看到面板並控制 Active Trainer。只應在可信任的 LAN 或 VPN 使用。
4. 自訂腳本權限高。 腳本在 renderer 執行，具有完整 DOM access，並可使用 Node require。應只執行可信任且已審查的腳本。
5. 自己建置仍需審查。 fork 與 workflow 提供可追查的建置來源，但 artifact 不會自動因此變得可信；仍應檢視 workflow、原始碼與 patch 行為。

知識架構

• 工具定位： 開源的本機 Wand client-side configuration 與 UX 擴充。
  • 不是官方 Wand，也不是雲端服務。
  • 以修改本機安裝檔的方式運作。
• 功能範圍：
  • 本機環境設定管理
  • 新版本相容性調整
  • 版面與主題自訂
  • AI features
  • 手機 Remote Web Panel
  • 自訂腳

本

• 主要信任邊界：
  • 來源： 官方 repo、自己的 fork、GitHub Actions workflow 與 artifact。
  • 本機修改： patch 會修改哪些檔案、如何影響 Wand。
  • 網路存取： port 3223 上的 HTTP 面板只應暴露於可信任網路。
  • 執行權限： 自訂腳本能存取 DOM，並可使用 Node require。
• 採用判斷： 願意讀 source、檢查 workflow、自行建置且理解本機 patch 風險的人，較符合影片描述的適用對象。

關鍵概念

• Client-side configuration： 對本機 Wand client 的設定與使用體驗進行延伸。
• 本機 patch： 修改使用者指定的 Wand 安裝位置中的檔案；逐字稿提及 version.dll proxy 與 Electron ASAR Integrity Fuse。
• Remote Web Panel： 從手機控制 App 部分功能的網頁面板，逐字稿描述其使用 HTTP 與 TCP port 3223。
• Trusted LAN／VPN： 影片建議的面板使用範圍；不應將 port 3223 直接暴露到 Internet。
• Renderer Injection： 自訂腳本會在 Wand 的 renderer 執行。逐字稿提及腳本有完整 DOM access 與 Node require。
• GitHub Actions artifact： 從自己的 fork 執行建置 workflow 後產出的檔案；可檢查其來源流程，但仍需審查 workflow 與原始碼。
• Global Flag： README 提到用來避免同一段腳本在同次載入中重複安裝 observer 的做法。

重要例子與細節

• Patch 行為： 逐字稿提及 version.dll proxy 會被 Wand 載入，並在 Wand 自身流程中調整 Electron 的 ASAR Integrity Fuse。README 表示 patch 不會聯絡更新服務或 telemetry service；影片提醒這些聲明仍不等同完整安全保證。
• Remote Web Panel 連線方式：
  1. PC 與手機連上同一個 Wi-Fi。
  2. 在 App 按下 Connect，掃描畫面上的 QR Code。
  3. 若面板無法開啟，確認兩台裝置位於同一個 local network，並檢查 guest Wi-Fi、AP isolation 或 Windows Firewall 是否阻擋裝置互通。
  4. 逐字稿提到可允許 Windows Firewall 的 inbound TCP port 3223；也提到將 Windows 網路標記為 Private 有時有幫助。
• 面板風險： 使用 HTTP、沒有配對碼；任何可連至 port 3223 的人都可能看到面板或控制 Active Trainer。逐字稿表示面板 protocol 不包含 WonderBarrot Token 或 installation path，但面板仍可控制 Active Trainer。
• 自訂腳本： 可透過 Patch Dialog 加入 .js 檔，或放進 renderer scripts 資料夾。腳本可能在同次載入中執行多次，README 範例以 Global Flag 避免重複安裝 observer；發生錯誤時會記錄 log，逐字稿稱不會讓 Wand crash。
• 自建需求： 本機 Windows 建置所需環境包括 CMake、Node.js、PNPM、Visual Studio 2022 或 Build Tools、MSBuild、Desktop Development with C++ workload，以及 .NET Framework 4.8 Desktop Build Tools 和 Targeting Pack。
• 技術構成：

逐字稿提到核心以 C++ 撰寫、使用 WPF，Web Panel 涉及前端與 bridge，並透過 HTTP 和 WebSocket 提供手機控制面板。更完整的模組關係與細節：[資訊不足]。

• 防毒警示： patching tools 可能觸發防毒 heuristic；影片指出這不必然代表惡意，但也不能因此當成無事。

可學習的洞察

1. 先確認來源，再考慮安裝。 陌生下載包、假教學或第三方 mirror 不應因為掛上專案名稱就被視為官方發布。
2. 用可檢查的流程建立信任。 fork、workflow 與 artifact 提供追查線索；仍須檢視 workflow 和程式碼，不能只看檔案來自 GitHub。
3. 功能與權限要一起評估。 遠端面板是否方便，不能取代對網路可達範圍、驗證方式與可控制功能的檢查。
4. 腳本權限決定審查門檻。 有 DOM access 和 Node require 的腳本應視為高權限內容，只加入可信任且能理解的程式碼。
5. 作者把邊界寫出來，不等於保證安全。 README 的說明有助於使用者判斷，但仍須自行確認修改範圍與行為是否可接受。

可行動的整理

• 使用前閱讀 README、release notes、原始碼及 Build Executable workflow。
• 只從官方 repo 或自行 fork 的 workflow 取得建置產物；避開陌生網站、假教學與第三方 mirror。
• 確認自己理解 patch 會修改的檔案，以及是否接受本機 client patch。
• 使用 Remote Web Panel 時，確認 TCP port 3223 不會暴露給不可信任網路；限於可信任 LAN 或 VPN。
• 加入自訂腳本前，先檢查其 DOM 與 Node 權限使用方式。
• 若要重現本機建置，記錄所需 Windows 工具鏈與 .NET Framework 4.8 元件。
• 將這個案例記錄為開源工具審查清單：來源 → workflow → 修改範圍 → 網路暴露 → 腳本權限。

複習問題

1. WandEnhancer 的定位是什麼？它和官方 Wand、雲端服務有何不同？
2. 逐字稿描述了哪些本機 patch 行為？為什麼這些描述不等於安全保證？
3. Remote Web Panel 使用什麼 port 和協定？為什麼影片建議只在可信任 LAN 或 VPN 使用？
4. 自訂腳本有哪些權限？使用者應採取什麼審查原則？
5. 官方沒有提供預編譯 EXE 時，影片建議如何取得建置產物？為何自己 fork 建置後仍要檢查 workflow？

待確認資訊

• 逐字稿中有多個專案名、元件名與技術詞可能因語音辨識而失真，例如「Wand」「WandEnhancer」「WonderBarrot」及自訂腳本資料夾名稱；應回看影片或 README 確認正式拼法。
• version.dll、ASAR Integrity Fuse 與 patch 流程的實際修改細節，需檢視原始碼確認。
• AI features 在 README 中沒有完整展開，具體功能與行為為「[資訊不足]」。
• GitHub Actions workflow 的實際步驟、鎖定方式及 artifact 內容需另行檢查；逐字稿未提供足以核對的完整細節。