手机APP控制智能灯时是否一定需要远程服务器支持

不是啊，局域网也可以的。ESP8266设置作为AP，开发个手机APP，连接ESP8266就可以直接控制，自己设计通信协议和电路就行。

从原理上，想控制就得能对上话，所以目标就是能对上话，目前已有的最接近你说的没有远程服务器的方式是，让8266做服务器，手机app去连接服务器，进而控制等。不过这种方式如果手机在家(灯当然也在家)没问题，如果你在外边(如果没这个需求就没事了)，这会儿要能访问服务器得有个公网地址，或者用动态dns，用域名访问。不过这种方式不普遍，因为1个是8266做的服务器不一定稳定，同时如果控制多个灯需要每个灯都建一个服务器。

常见思路还是有个远程服务器，所有灯都去服务器那儿查询状态，app直接修改服务器状态就好。

对于你说的安全问题，可以通过算法搞定，服务器远程不远程说到底也只是个通信通道而已，现在的银行都能互相连通，安全不也没事？有个东西叫安全加密算法，比如SM2，RSA等，可以实现很神奇的安全特征，这个是解决安全问题的正确思路

如果是在局域网内控制的话，是不需要远程服务器支持的，若想通过外网控制就需要考虑远程服务器了，也可以采用通过路由器的DDNS功能实现内网穿透，本质上也是属于远程服务器的范畴。