diff --git a/.github/workflows/ci.yml b/.github/workflows/ci.yml
new file mode 100644
index 0000000..53d2fa5
--- /dev/null
+++ b/.github/workflows/ci.yml
@@ -0,0 +1,115 @@
+# 每次推送和 PR 都跑测试；推送到 main 且测试通过后，构建镜像并经 SSH 部署到服务器。
+# 部署需要的 Secrets 见 deploy/README.md 的"自动部署"一节。
+# 只在 github.com 上运行；仓库同时推到 git.xuyue.cc，那边的 Gitea Actions 也会读这个目录，用 if 跳过。
+name: CI/CD
+
+on:
+  push:
+    branches: [main]
+  pull_request:
+  # 在 Actions 页面手动重新部署（比如改了服务器上的 .env 之后）
+  workflow_dispatch:
+
+jobs:
+  test:
+    if: github.server_url == 'https://github.com'
+    runs-on: ubuntu-24.04
+    steps:
+      - uses: actions/checkout@v4
+
+      - uses: oven-sh/setup-bun@v2
+        with:
+          bun-version: 1.4.3
+
+      - uses: actions/setup-dotnet@v4
+        with:
+          dotnet-version: 10.0.x
+
+      # 测试里学生程序在 bubblewrap 沙箱中运行；Ubuntu 24.04 默认禁止非特权用户命名空间，要先放开
+      - name: 准备沙箱
+        run: |
+          sudo apt-get update -q
+          sudo apt-get install -y -q bubblewrap
+          sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
+
+      - run: bun install --frozen-lockfile
+
+      - name: 编译 C# 运行时
+        run: bun run build:runtime
+
+      - name: 服务端测试（编译并运行示例、沙箱、编译检查）
+        working-directory: server
+        run: bun test
+
+      - name: 网页端测试和类型检查
+        working-directory: web
+        run: |
+          bun test src
+          bunx vue-tsc --noEmit
+
+  deploy:
+    needs: test
+    if: github.server_url == 'https://github.com' && github.ref == 'refs/heads/main' && github.event_name != 'pull_request'
+    runs-on: ubuntu-24.04
+    # 连续推送时排队部署，不会两次部署同时进行
+    concurrency:
+      group: deploy
+      cancel-in-progress: false
+    environment: production
+    steps:
+      # Secrets 还没配置时跳过部署（只跑测试），不算失败
+      - name: 检查部署配置
+        id: check
+        env:
+          DEPLOY_HOST: ${{ secrets.DEPLOY_HOST }}
+        run: |
+          if [ -n "$DEPLOY_HOST" ]; then
+            echo "configured=true" >> "$GITHUB_OUTPUT"
+          else
+            echo "::notice::没有配置 DEPLOY_HOST 等 Secrets，跳过部署（配置方法见 deploy/README.md）"
+          fi
+
+      - uses: actions/checkout@v4
+        if: steps.check.outputs.configured == 'true'
+
+      - uses: docker/setup-buildx-action@v3
+        if: steps.check.outputs.configured == 'true'
+
+      - name: 构建镜像（带缓存）
+        if: steps.check.outputs.configured == 'true'
+        uses: docker/build-push-action@v6
+        with:
+          context: .
+          load: true
+          tags: iot-sim:latest
+          cache-from: type=gha
+          cache-to: type=gha,mode=max
+
+      - name: 配置 SSH
+        if: steps.check.outputs.configured == 'true'
+        env:
+          SSH_KEY: ${{ secrets.DEPLOY_SSH_KEY }}
+          DEPLOY_HOST: ${{ secrets.DEPLOY_HOST }}
+          DEPLOY_USER: ${{ secrets.DEPLOY_USER }}
+          DEPLOY_PORT: ${{ secrets.DEPLOY_PORT }}
+        run: |
+          mkdir -p ~/.ssh && chmod 700 ~/.ssh
+          printf '%s\n' "$SSH_KEY" > ~/.ssh/deploy_key
+          chmod 600 ~/.ssh/deploy_key
+          cat > ~/.ssh/config <<EOF
+          Host deploy-target
+            HostName $DEPLOY_HOST
+            User $DEPLOY_USER
+            Port ${DEPLOY_PORT:-22}
+            IdentityFile ~/.ssh/deploy_key
+            IdentitiesOnly yes
+            # 不预先登记服务器公钥，第一次连接时自动接受
+            StrictHostKeyChecking accept-new
+            ServerAliveInterval 30
+          EOF
+
+      - name: 部署
+        if: steps.check.outputs.configured == 'true'
+        env:
+          SKIP_BUILD: '1'
+        run: deploy/deploy.sh deploy-target "${{ vars.DEPLOY_DIR || 'IOT_SIM' }}"
diff --git a/README.md b/README.md
index f0965a3..20f9228 100644
--- a/README.md
+++ b/README.md
@@ -37,7 +37,7 @@ bun test/load.ts 100  # 压力测试：同时运行 100 个学生程序
 
 ## 部署
 
-Docker Compose，HTTPS 由服务器上的 Nginx Proxy Manager 负责。在开发机执行 `deploy/deploy.sh 用户@服务器`，详见 [deploy/README.md](deploy/README.md)。
+Docker Compose，HTTPS 由服务器上的 Nginx Proxy Manager 负责。推送到 GitHub 的 main 后，GitHub Actions 跑完测试自动部署；也可以在开发机执行 `deploy/deploy.sh 用户@服务器`。详见 [deploy/README.md](deploy/README.md)。
 
 ## 运行器的两种模式
 
diff --git a/deploy/README.md b/deploy/README.md
index 5137d91..d0de401 100644
--- a/deploy/README.md
+++ b/deploy/README.md
@@ -51,13 +51,38 @@
 
 4. 浏览器打开域名，输入口令进入。
 
+## 自动部署（GitHub Actions）
+
+`.github/workflows/ci.yml`：
+
+- 每次推送和 PR：编译 C# 运行时，跑服务端测试（含沙箱）、网页端测试和类型检查。
+- 推送到 GitHub 的 main 且测试通过：构建镜像，经 SSH 传到服务器并重启，等到"编译服务已就绪"才算成功。**重启会结束正在运行的学生程序**，上课时间尽量不要推送 main。
+- 在 GitHub 的 Actions 页面点 Run workflow 可以手动重新部署。
+- 只在 github.com 上运行；推到 git.xuyue.cc 不会触发。
+
+一次性配置（在本机执行，需要已登录的 `gh`）：
+
+1. 服务器上的部署用户要能运行 docker（在 docker 组里），并按上面"第一次部署"第 1 步准备好 `~/IOT_SIM/.env`。
+2. 生成部署专用的 SSH 密钥，公钥放到服务器，私钥和服务器信息存进仓库 Secrets：
+
+   ```bash
+   ssh-keygen -t ed25519 -N '' -C iot-sim-deploy -f /tmp/iot_deploy
+   ssh-copy-id -i /tmp/iot_deploy.pub 用户@服务器
+   gh secret set DEPLOY_SSH_KEY -R yuetsh/IOT_SIM < /tmp/iot_deploy
+   gh secret set DEPLOY_HOST -R yuetsh/IOT_SIM -b 服务器地址
+   gh secret set DEPLOY_USER -R yuetsh/IOT_SIM -b 用户名
+   rm /tmp/iot_deploy /tmp/iot_deploy.pub
+   ```
+
+   SSH 端口不是 22 时，再设置 `DEPLOY_PORT`；服务器目录不是 `~/IOT_SIM` 时，设置变量 `gh variable set DEPLOY_DIR -R yuetsh/IOT_SIM -b 目录`。
+
 ## 日常操作
 
 在服务器的 `~/IOT_SIM` 目录下：
 
 | 做什么 | 命令 |
 |---|---|
-| 更新到新版本 | 在本机再执行一次 `deploy/deploy.sh 用户@服务器` |
+| 更新到新版本 | 推送到 GitHub 的 main（自动部署），或在本机执行 `deploy/deploy.sh 用户@服务器` |
 | 换口令 | 修改 `.env` 后 `docker compose up -d`（所有人要重新输入口令） |
 | 看日志 | `docker compose logs -f app` |
 | 看资源占用 | `docker stats` |
diff --git a/deploy/deploy.sh b/deploy/deploy.sh
index 8c8d75f..88c9b56 100755
--- a/deploy/deploy.sh
+++ b/deploy/deploy.sh
@@ -1,6 +1,8 @@
 #!/usr/bin/env bash
-# 在本机构建镜像，传到服务器后启动（服务器不需要访问 Docker Hub，也不用自己编译）。
+# 构建镜像，传到服务器后启动（服务器不需要访问 Docker Hub，也不用自己编译）。
+# 本机手动部署和 GitHub Actions 自动部署都用这个脚本。
 # 用法：deploy/deploy.sh 用户@服务器 [服务器上的目录，默认 ~/IOT_SIM]
+#   SKIP_BUILD=1 时不构建，直接用已有的 iot-sim:latest 镜像（Actions 里已带缓存构建好）
 # 第一次部署前，先按 deploy/README.md 在服务器上准备好 .env
 set -euo pipefail
 
@@ -8,8 +10,10 @@ host=${1:?用法：deploy/deploy.sh 用户@服务器 [目录]}
 dir=${2:-IOT_SIM}
 cd "$(dirname "$0")/.."
 
-echo "== 构建镜像"
-docker compose build app
+if [[ -z "${SKIP_BUILD:-}" ]]; then
+  echo "== 构建镜像"
+  docker compose build app
+fi
 docker pull -q caddy:2-alpine
 
 echo "== 上传配置文件到 $host:$dir"
@@ -24,6 +28,30 @@ if ! ssh "$host" 'docker image inspect caddy:2-alpine >/dev/null 2>&1'; then
 fi
 
 echo "== 启动"
-ssh "$host" "cd $dir && test -f .env || { echo '服务器上还没有 .env：cp .env.example .env 后设置 ACCESS_PASSWORD'; exit 1; }
-  docker compose up -d --no-build --remove-orphans && docker image prune -f >/dev/null
-  sleep 5 && docker compose logs --tail 5 app"
+ssh "$host" bash -s -- "$dir" <<'EOF'
+set -euo pipefail
+cd "$1"
+if [[ ! -f .env ]]; then
+  echo '服务器上还没有 .env：cp .env.example .env 后设置 ACCESS_PASSWORD'
+  exit 1
+fi
+docker compose up -d --no-build --remove-orphans
+docker image prune -f >/dev/null
+
+# 等编译服务就绪；沙箱自检失败时部署算失败
+for _ in $(seq 60); do
+  logs=$(docker compose logs app 2>&1)
+  if grep -q '沙箱（bubblewrap）无法启动' <<<"$logs"; then
+    echo "$logs" | tail -5
+    exit 1
+  fi
+  if grep -q 'C# 编译服务已就绪' <<<"$logs"; then
+    echo '== 部署成功'
+    exit 0
+  fi
+  sleep 2
+done
+echo '== 120 秒内没有启动完成'
+docker compose logs --tail 20 app
+exit 1
+EOF