部署：push origin 就由开发机编好、测过再传到服务器，服务器不再自己编，push 后一两分钟上线。照 OJ2 的做法，开发机上的 gitea-runner（和 OJ2 共用，标签 iot-deploy，一次只跑一个任务）跑 .gitea/workflows/deploy.yml：编 C# 运行时（Release）、网页和 server.js，跑服务端测试（用要上线的 Release 版运行时）、网页端测试和类型检查，产物 rsync 到服务器的 prebuilt/（按内容比、传完才换上、断了重试），服务器上 deploy/update.sh --prebuilt 用现成产物构建镜像，只剩几条 COPY。以前 GitHub 上测试约 5 分钟、服务器 2 核再编约一分钟（编的时候学生程序会卡），push 后 6 分钟多才上线。host 模式用开发机自己的 ssh 和 git 访问，不需要 secret。Dockerfile 加构建参数 ARTIFACTS（build 默认在镜像里编 / prebuilt 用现成产物），服务器自己编的能力保留；prebuilt/COMMIT 和要部署的提交对不上时 update.sh 直接失败。服务端测试同时跑：文件之间 --parallel，评分测试标 describe.concurrent（--max-concurrency=8），本机 4 分钟降到半分钟，连跑三遍都通过。GitHub 的 ci.yml 改成 PR 跑测试、手动触发才部署（服务器自己编），开发机不在时用，push 不再两边各部署一遍。顺手：update.sh 每次部署拉一下 caddy:2-alpine（up 不会自己拉，一直是第一次部署时那份）；app 和 caddy 的容器日志限 10MB × 3。部署说明、README、设计方案同步

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-11-03 12:08:14 +08:00
1 parent 77bfaba7ff
commit 4c3ce31fe1
@@ -0,0 +1,118 @@
+# push 到 origin（git.xuyue.cc）的 main 就部署：在开发机上编好产物、跑测试 → 产物 rsync 到服务器的 prebuilt/ →
+# 服务器上 deploy/update.sh --prebuilt（拉代码、用现成产物构建镜像、重启）。
+#
+# 跑在哪：开发机上的 gitea-runner（host 模式，标签 iot-deploy；和 OJ2 共用一个 runner，一次只跑一个任务，
+# 两边的部署排队，不会同时挤服务器）。runner 的装法见 deploy/README.md「自动部署」。
+#   - 服务器只有 2 核，学生程序也在上面跑，以前服务器自己编约一分钟，dotnet 和 vite 把两个核占满。
+#   - 以前在 GitHub 上测试（约 5 分钟）再 SSH 到服务器编，push 后 6 分钟多才上线。
+#   代价：**push 时开发机得开着。** 没开的话任务在 Gitea 里排队，开机后 runner 连上就接着跑；
+#   急着上线又不在开发机旁时，用 GitHub 上手动触发的备用部署（.github/workflows/ci.yml，服务器自己编）。
+#
+# host 模式直接用开发机自己的东西：PATH 里的 bun / dotnet / bwrap、~/.ssh/config 里的 `debian`（root@服务器）
+# 和 git.xuyue.cc 的 SSH 访问。所以这里**不需要配任何 secret**，也不用 actions/checkout。
+#
+# 有了 .gitea/workflows 之后，Gitea 不再读 .github/workflows。
+name: Deploy
+
+on:
+  push:
+    branches: [main]
+  # 在 Actions 页面手动重新部署（比如改了服务器上的 .env 之后）
+  workflow_dispatch:
+
+concurrency:
+  group: deploy
+  cancel-in-progress: false
+
+env:
+  REMOTE: debian # 开发机 ~/.ssh/config 里的主机名
+  REMOTE_DIR: /root/IOT_SIM
+  DOTNET_CLI_TELEMETRY_OPTOUT: '1'
+  DOTNET_NOLOGO: '1'
+
+jobs:
+  deploy:
+    runs-on: iot-deploy
+    timeout-minutes: 20
+    steps:
+      # 工作目录可能是上一次留下的，所以 fetch 之后强制切过去再清掉没跟踪的文件（node_modules 留着，bun install 会对齐它）
+      - name: 取代码
+        env:
+          SHA: ${{ gitea.sha }}
+          REPO: ${{ gitea.repository }}
+        run: |
+          git init -q .
+          git fetch -q --depth 1 "git@git.xuyue.cc:$REPO.git" "$SHA"
+          git checkout -q --force FETCH_HEAD
+          git clean -ffdxq -e node_modules
+          git log --oneline -1
+
+      # server.js 是开发机的 bun 打包的，到服务器上由镜像里的 bun（Dockerfile 里写死的版本）运行。
+      # 打包出来是普通 JS，不像 OJ2 的单二进制那样把 bun 本身带过去，版本差一点一般没事，所以只提醒不拦。
+      - name: 看 bun 版本
+        run: |
+          want=$(sed -nE 's|^FROM oven/bun:([0-9.]+).*|\1|p' Dockerfile | head -1)
+          have=$(bun --version)
+          echo "开发机 bun $have，镜像里 bun $want"
+          [ "$have" = "$want" ] || echo "::warning::开发机的 bun 是 $have，镜像里是 $want，升级 Dockerfile 和 ci.yml 里的版本，或者确认没有用到新版本才有的功能"
+
+      - name: 装依赖
+        run: bun install --frozen-lockfile
+
+      - name: 编 C# 运行时
+        run: dotnet build runtime/Runtime.slnx -c Release -v q
+
+      - name: 编网页、打包服务端
+        run: |
+          (cd web && bun run build)
+          bun build server/src/index.ts --target=bun --outfile=server.js
+
+      # 有一项不过就不部署。服务端测试用上一步编的 Release 版运行时，测的就是要上线的那份。
+      # --parallel 让 6 个测试文件同时跑；grading 里的测试标了 describe.concurrent，
+      # --max-concurrency 限制同时跑几个（太多时定时器来不及触发会误判）。挨个跑约 4 分钟，这样半分钟左右
+      - name: 测试
+        env:
+          RUNNER_DLL: runtime/Sim.Runner/bin/Release/net10.0/Sim.Runner.dll
+        run: |
+          (cd server && bun test --parallel --max-concurrency=8)
+          (cd web && bun test src && bunx vue-tsc --noEmit)
+
+      # 目录结构就是 Dockerfile 里 artifacts-prebuilt 阶段要的；COMMIT 让服务器确认产物和要部署的代码是同一个提交
+      - name: 收集产物
+        env:
+          SHA: ${{ gitea.sha }}
+        run: |
+          rm -rf prebuilt
+          mkdir -p prebuilt/runtime prebuilt/web
+          cp -a runtime/Sim.Runner/bin/Release/net10.0/. prebuilt/runtime/
+          cp -a web/dist/. prebuilt/web/
+          cp server.js prebuilt/
+          echo "$SHA" > prebuilt/COMMIT
+          du -sh prebuilt
+
+      # 只传产物，源码由服务器自己从 origin 拉（git.xuyue.cc 就在那台服务器上）。
+      #   -c               按内容比：每次编出来的 mtime 都是「刚才」，按 mtime 比会把没变的文件也传一遍
+      #   --delay-updates  全部传完才一起换上去，中途断了不会留下半新半旧的产物（反正 COMMIT 对不上也会被 update.sh 拦下）
+      #   --timeout        60 秒没有数据进出就算断了，交给循环重试，半截文件接着用
+      - name: 同步到服务器
+        timeout-minutes: 10
+        run: |
+          for attempt in 1 2 3; do
+            rsync -a -c --no-owner --no-group --delete-delay --delay-updates \
+              --compress --compress-choice=zstd \
+              --timeout=60 --stats --human-readable \
+              -e "ssh -o BatchMode=yes -o ServerAliveInterval=15 -o ServerAliveCountMax=4" \
+              prebuilt/ "$REMOTE:$REMOTE_DIR/prebuilt/" && exit 0
+            echo "::warning::rsync 第 $attempt 次没传完，10 秒后重试"
+            sleep 10
+          done
+          exit 1
+
+      # 先把服务器上的代码切到这个提交再跑 update.sh：不然跑的是上一版的 update.sh，改了它要晚一次部署才生效。
+      # 重启会结束正在运行的学生程序，上课时间尽量不要推送 main。
+      - name: 起服务
+        env:
+          SHA: ${{ gitea.sha }}
+        run: |
+          ssh -o BatchMode=yes -o ServerAliveInterval=15 -o ServerAliveCountMax=8 "$REMOTE" \
+            "cd $REMOTE_DIR && git fetch --quiet origin && git reset --quiet --hard $SHA && deploy/update.sh $SHA --prebuilt"
@@ -1,13 +1,13 @@
-# 每次推送和 PR 都跑测试；推送到 main 且测试通过后，SSH 到服务器执行 deploy/update.sh（服务器从 origin 拉代码、构建、重启）。
-# 部署需要的 Secrets 见 deploy/README.md 的"自动部署"一节。
-# 只在 github.com 上运行；仓库同时推到 git.xuyue.cc，那边的 Gitea Actions 也会读这个目录，用 if 跳过。
+# 备用路线。平时 push origin（git.xuyue.cc）后，由开发机上的 gitea-runner 测试、编好、部署（.gitea/workflows/deploy.yml），
+# 这里 push 不再触发，免得每次推送在两边各测一遍、各部署一遍。
+#   - PR：只跑测试。
+#   - 手动触发（Actions → CI/CD → Run workflow）：测试通过后 SSH 到服务器执行 deploy/update.sh，服务器从 origin 拉代码、
+#     **自己编**、重启。开发机不在、又急着上线时用。部署需要的 Secrets 见 deploy/README.md 的"自动部署"一节。
+# 只在 github.com 上运行（Gitea 有了 .gitea/workflows 后不再读这个目录，if 再保一道）。
 name: CI/CD

 on:
-  push:
-    branches: [main]
  pull_request:
-  # 在 Actions 页面手动重新部署（比如改了服务器上的 .env 之后）
  workflow_dispatch:

 jobs:
@@ -37,9 +37,10 @@ jobs:
      - name: 编译 C# 运行时
        run: bun run build:runtime

+      # 文件之间同时跑，grading 里的测试也同时跑（describe.concurrent），见 .gitea/workflows/deploy.yml 同名一步
      - name: 服务端测试（编译并运行示例、沙箱、编译检查）
        working-directory: server
-        run: bun test
+        run: bun test --parallel --max-concurrency=8

      - name: 网页端测试和类型检查
        working-directory: web
@@ -49,7 +50,7 @@ jobs:

  deploy:
    needs: test
-    if: github.server_url == 'https://github.com' && github.ref == 'refs/heads/main' && github.event_name != 'pull_request'
+    if: github.server_url == 'https://github.com' && github.event_name == 'workflow_dispatch'
    runs-on: ubuntu-24.04
    # 服务器构建约几分钟；卡住时及时失败，不要一直占着
    timeout-minutes: 20
@@ -27,3 +27,6 @@ obj/

 # 服务器上 deploy/backup.sh 做的备份
 /backups/
+
+# 开发机上的 gitea-runner 编好传到服务器的产物（.gitea/workflows/deploy.yml）
+/prebuilt/
@@ -1,5 +1,11 @@
 # 物联网编程仿真平台：一个镜像里包含 Bun 服务端、打包好的网页、.NET 运行时和 bubblewrap 沙箱。
 # 构建：docker compose build；部署说明见 deploy/README.md
+#
+# 产物（C# 运行时、网页、server.js）有两种来源，由构建参数 ARTIFACTS 选：
+#   build     （默认）在镜像里编。只要有 docker 就能构建，但服务器只有 2 核，编一次约一分钟，期间学生程序会卡
+#   prebuilt  用 prebuilt/ 里现成的产物（开发机上的 gitea-runner 编好、测过后 rsync 过来，见 .gitea/workflows/deploy.yml），
+#             镜像构建只剩几条 COPY。buildx 不会去跑用不到的 runtime-build / web-build 阶段
+ARG ARTIFACTS=build

 # ---- C# 运行时（编译服务 + 仿真库） ----
 FROM mcr.microsoft.com/dotnet/sdk:10.0 AS runtime-build
@@ -22,6 +28,20 @@ RUN cd web && bun run build
 # 服务端打包成单个文件，运行镜像里不需要 node_modules
 RUN bun build server/src/index.ts --target=bun --outfile=server.js

+# ---- 产物：在镜像里编的 ----
+FROM scratch AS artifacts-build
+COPY --from=runtime-build /src/runtime/Sim.Runner/bin/Release/net10.0/ /runtime/
+COPY --from=web-build /src/web/dist/ /web/
+COPY --from=web-build /src/server.js /server.js
+
+# ---- 产物：现成的（目录结构和上面一样，名字里不带 dist / bin，免得被 .dockerignore 挡掉） ----
+FROM scratch AS artifacts-prebuilt
+COPY prebuilt/runtime/ /runtime/
+COPY prebuilt/web/ /web/
+COPY prebuilt/server.js /server.js
+
+FROM artifacts-${ARTIFACTS} AS artifacts
+
 # ---- 运行镜像 ----
 FROM mcr.microsoft.com/dotnet/runtime:10.0
 RUN apt-get update \
@@ -29,9 +49,9 @@ RUN apt-get update \
    && rm -rf /var/lib/apt/lists/*
 COPY --from=oven/bun:1.4.4 /usr/local/bin/bun /usr/local/bin/bun
 WORKDIR /app
-COPY --from=runtime-build /src/runtime/Sim.Runner/bin/Release/net10.0/ runtime/
-COPY --from=web-build /src/web/dist/ web/dist/
-COPY --from=web-build /src/server.js ./
+COPY --from=artifacts /runtime/ runtime/
+COPY --from=artifacts /web/ web/dist/
+COPY --from=artifacts /server.js ./
 COPY samples/ samples/
 ENV APP_ROOT=/app \
    RUNNER_DLL=runtime/Sim.Runner.dll \
@@ -38,7 +38,7 @@ BASE=http://localhost:3000 bun test/classroom.ts 45  # 全班模拟：45 个学

 ## 部署

-Docker Compose，HTTPS 由服务器上的 Nginx Proxy Manager 负责。推送到 GitHub 的 main 后，GitHub Actions 跑完测试，SSH 到服务器执行 `deploy/update.sh`：服务器从 git.xuyue.cc 拉代码、构建镜像、重启。详见 [deploy/README.md](deploy/README.md)。
+Docker Compose，HTTPS 由服务器上的 Nginx Proxy Manager 负责。push 到 origin（git.xuyue.cc）的 main 后，开发机上的 gitea-runner 跑完测试、编好产物传到服务器，服务器拉代码、用现成产物构建镜像、重启（`deploy/update.sh --prebuilt`）；GitHub 上手动触发是备用路线，由服务器自己编。详见 [deploy/README.md](deploy/README.md)。

 ## 运行器的四种模式

@@ -74,7 +74,7 @@ Docker Compose，HTTPS 由服务器上的 Nginx Proxy Manager 负责。推送到
 - 窗体设计器（仿 VS，界面中文）：工具箱、拖放与改大小、属性窗口、事件窗口、双击生成事件处理方法、撤销 / 重做；读写 VS 格式的 Designer.cs。
 - 多窗体：新建、删除窗体；运行时多个窗口可切换前后。
 - 导出 EXE：学生的程序照教材工程（.NET Framework 4.5、真机版设备类库）编译成一个 exe，教材 dll 嵌在里面，在机房电脑上双击就能控制真的实训台（`runtime/Sim.Runner/ExeExporter.cs`）。教材 dll 有版权，不进仓库：本机放在 `textbook-libs/`，服务器上的放法见 [deploy/README.md](deploy/README.md)。
- 部署：bubblewrap 沙箱（断网、只读、看不到其他进程，限制内存、CPU 时间和运行时长）、编译时禁止网络 / 反射 / 启动进程等 API、Docker Compose、GitHub Actions 自动部署。
+- 部署：bubblewrap 沙箱（断网、只读、看不到其他进程，限制内存、CPU 时间和运行时长）、编译时禁止网络 / 反射 / 启动进程等 API、Docker Compose、push origin 自动部署（开发机上的 gitea-runner 测试、编好再传到服务器）。
 - 第 2 阶段（进行中）：账号登录（本机开发时老师账号为 admin / admin）、班级管理与 CSV 名单导入、学生作品保存在服务器上；自动评分（每个示例的 `checks.yaml`）；实验页"评价项"可以自己检查（不计分）；布置作业、学生提交后自动评分；老师评阅（看代码和界面截图、运行学生的程序、老师评分项打分、评语）、AI 评阅建议（DeepSeek，老师采纳后生效）、全班成绩表与 CSV 导出。
 - 第 3 阶段（教材项目 4–8 已全部完成）：教材项目 5 用到的旧版线程 API（`Thread.Suspend` / `Resume` / `Abort`）编译时改写成平台的协作式实现（`runtime/Sim.Runner/LegacyThreadRewriter.cs`、`runtime/Sim.WinForms/Host/LegacyThreads.cs`）；网络摄像机（画面帧由 `runtime/Sim.Devices/Camera/build-frames.ts` 从 `scene.svg` 生成，需要 rsvg-convert 和 ImageMagick）。

@@ -5,7 +5,11 @@ services:
  init-data:
    image: iot-sim:latest
    # 和 app 同一个镜像（构建有缓存，不会重复构建）；写上 build，新服务器上就不会去 Docker Hub 拉这个镜像
-    build: .
+    build: &build
+      context: .
+      # build：在镜像里编（默认）；prebuilt：用 prebuilt/ 里开发机编好的产物，见 Dockerfile 开头
+      args:
+        ARTIFACTS: ${ARTIFACTS:-build}
    user: root
    command: ['sh', '-c', 'chown -R "$$APP_UID" /data']
    volumes:
@@ -15,8 +19,13 @@ services:

  app:
    image: iot-sim:latest
-    build: .
+    build: *build
    restart: unless-stopped
+    logging: &logging # 默认的 json-file 日志不限大小，会一直涨
+      driver: json-file
+      options:
+        max-size: 10m
+        max-file: '3'
    depends_on:
      init-data:
        condition: service_completed_successfully
@@ -60,6 +69,7 @@ services:
  caddy:
    image: caddy:2-alpine
    restart: unless-stopped
+    logging: *logging
    depends_on: [app]
    expose:
      - 80
@@ -66,15 +66,34 @@

 数据库（账号、班级、学生作品）在 Docker 数据卷 `data` 里，重新部署不会丢；`docker compose down -v` 会删除数据卷，不要加 `-v`。

-## 自动部署（GitHub Actions）
+## 自动部署（push origin 就部署）

-`.github/workflows/ci.yml`：
+`.gitea/workflows/deploy.yml`：push 到 origin（git.xuyue.cc）的 main 时，**开发机上的 gitea-runner** 编 C# 运行时、网页和 `server.js`，跑服务端测试（含沙箱）、网页端测试和类型检查（有一项不过就不部署），把产物 rsync 到服务器的 `~/IOT_SIM/prebuilt/`，再在服务器上执行 `deploy/update.sh <提交号> --prebuilt`：拉代码、用现成产物构建镜像（只剩几条 COPY）、重启，等到"编译服务已就绪"才算成功。push 后一两分钟上线，进度在 git.xuyue.cc/xuyue/IOT_SIM/actions。

- 每次推送和 PR：编译 C# 运行时，跑服务端测试（含沙箱）、网页端测试和类型检查。
- 推送到 GitHub 的 main 且测试通过：SSH 到服务器执行 `deploy/update.sh <提交号>`，服务器从 origin 拉代码、构建、重启，等到"编译服务已就绪"才算成功。**重启会结束正在运行的学生程序**，上课时间尽量不要推送 main。
- 服务器从 origin 拉代码，所以**两个仓库都要推送**（`git push origin main`、`git push github main`）。GitHub 先到时，脚本会等 origin 最多约 100 秒。
- 在 GitHub 的 Actions 页面点 Run workflow 可以手动重新部署。
- 只在 github.com 上运行；推到 git.xuyue.cc 不会触发。
+- **重启会结束正在运行的学生程序**，上课时间尽量不要推送 main。
+- **push 时开发机得开着。** 没开的话任务在 Gitea 里排队，开机后 runner 连上就接着跑；排队超过 24 小时会被作废，要在 Actions 页面重跑。
+- 在 Gitea 的 Actions 页面点 Run workflow 可以手动重新部署（比如改了服务器上的 `.env` 之后）。
+- `prebuilt/COMMIT` 记着产物是哪个提交编的，和要部署的提交对不上时 `update.sh` 直接失败，不会把旧产物配新代码。
+
+为什么不在服务器或 GitHub 上编：服务器只有 2 核，学生程序也在上面跑，以前服务器自己编约一分钟，dotnet 和 vite 把两个核占满；GitHub 上测试约 5 分钟，push 后 6 分钟多才上线。开发机 16 核，服务端测试同时跑（`bun test --parallel`，评分测试标了 `describe.concurrent`）约半分钟。
+
+**服务器自己编的能力还在**：`deploy/update.sh` 不带 `--prebuilt` 就是在镜像里编（`Dockerfile` 的构建参数 `ARTIFACTS` 默认 `build`），只要有 docker 就能部署，不依赖开发机。
+
+### 部署 runner
+
+和 OJ2 共用开发机上的同一个 runner（host 模式，注册在 git.xuyue.cc 的 `xuyue` 用户下，标签 `oj2-deploy`、`iot-deploy`，一次只跑一个任务，两边的部署排队）。装法、配置文件位置、换机器重新注册见 OJ2 仓库 `docs/deploy.md` 的"部署 runner"。
+
+host 模式直接用开发机自己的东西，所以**不需要配任何 secret**：
+
+- PATH 里的 bun、dotnet 10 SDK、bubblewrap（测试里学生程序在沙箱中运行）、rsync；
+- `~/.ssh/config` 里的 `debian`（root@服务器，服务器目录 `/root/IOT_SIM`）；
+- 能 `git fetch git@git.xuyue.cc:xuyue/IOT_SIM.git`（都不能要密码）。
+
+开发机的 bun 版本和 `Dockerfile` 里镜像的 bun 不一样时，工作流会给出警告（`server.js` 是开发机打包、镜像里的 bun 运行的）。
+
+### 备用：GitHub 手动触发
+
+`.github/workflows/ci.yml` 只在 PR 时跑测试，push 不触发（不然每次推送两边各部署一遍）。开发机不在、又急着上线时，在 github.com 的 Actions → CI/CD → Run workflow：测试通过后 SSH 到服务器执行 `deploy/update.sh <提交号>`，**服务器自己编**。这个提交要已经推到 origin（服务器从 origin 拉代码，没到时脚本会等最多约 100 秒）。

 一次性配置（在本机执行，需要已登录的 `gh`）：

@@ -97,8 +116,8 @@
 在服务器的 `~/IOT_SIM` 目录下：

 | 做什么       | 命令                                                                                                      |
-| ------------ | --------------------------------------------------------------------------------------- |
-| 更新到新版本 | 推送到两个仓库的 main（GitHub 测试通过后自动部署），或在服务器上执行 `deploy/update.sh` |
+| ------------ | --------------------------------------------------------------------------------------------------------- |
+| 更新到新版本 | `git push origin main`（开发机测试、编好后自动部署），或在服务器上执行 `deploy/update.sh`（服务器自己编） |
 | 改老师密码   | 修改 `.env` 后 `docker compose up -d`                                                                     |
 | 学生账号     | 老师登录后在"班级管理"里导入名单、查看和重置密码                                                          |
 | 看日志       | `docker compose logs -f app`                                                                              |
@@ -1,14 +1,27 @@
 #!/usr/bin/env bash
 # 在服务器上执行：拉取代码、构建镜像、重启，等到编译服务就绪才算成功。
-# GitHub Actions 测试通过后通过 SSH 调用它，也可以登录服务器手动执行。
-# 用法：deploy/update.sh [提交号，默认 origin/main]
+# 用法：deploy/update.sh [提交号，默认 origin/main] [--prebuilt]
+#
+#   不带 --prebuilt：服务器自己编（只要有 docker 就能跑，不依赖开发机；2 核编一次约一分钟，期间学生程序会卡）。
+#                    GitHub 上手动触发的备用部署、登录服务器手动部署都走这条。
+#   --prebuilt：     用 prebuilt/ 里现成的产物，镜像构建只剩几条 COPY。push origin 后开发机上的 gitea-runner
+#                    编好、测过、rsync 过来再调用（.gitea/workflows/deploy.yml）。prebuilt/COMMIT 必须就是要部署的提交，
+#                    对不上说明产物不是这次编的，直接失败，不会把旧产物配新代码。
+#
 # 第一次部署前，按 deploy/README.md 在服务器上克隆仓库、准备好 .env
 set -euo pipefail

 # 整个脚本包在函数里：git reset 会在运行中替换本文件，bash 先读完函数再执行，不受影响
 main() {
  cd "$(dirname "$0")/.."
-  local ref=${1:-origin/main}
+  local ref=origin/main prebuilt=0 arg
+  for arg in "$@"; do
+    case "$arg" in
+      --prebuilt) prebuilt=1 ;;
+      -*) echo "未知参数：$arg（可用：--prebuilt）" >&2; exit 2 ;;
+      *) ref=$arg ;;
+    esac
+  done

  if [[ ! -f .env ]]; then
    echo '还没有 .env：cp .env.example .env 后设置 TEACHER_PASSWORD'
@@ -16,8 +29,7 @@ main() {
  fi

  echo "== 拉取代码"
-  # 代码从 origin（git.xuyue.cc）拉取。Actions 由推送到 GitHub 触发，
-  # 两个仓库推送有先后，这个提交可能还没到 origin，多等一会儿
+  # 代码从 origin（git.xuyue.cc）拉取。GitHub 上手动触发时，这个提交可能还没推到 origin，多等一会儿
  for attempt in $(seq 10); do
    git fetch --quiet origin
    if git rev-parse --quiet --verify "$ref^{commit}" >/dev/null; then break; fi
@@ -33,7 +45,27 @@ main() {
  git reset --quiet --hard "$ref"
  git log --oneline -1

+  if [[ $prebuilt == 1 ]]; then
+    local head built
+    head=$(git rev-parse HEAD)
+    built=$(cat prebuilt/COMMIT 2>/dev/null || true)
+    if [[ $built != "$head" ]]; then
+      echo "prebuilt/ 里的产物是 ${built:-（没有）} 编的，要部署的是 $head。"
+      echo '重新跑一次开发机上的部署，或者去掉 --prebuilt 让服务器自己编'
+      exit 1
+    fi
+    for f in prebuilt/runtime/Sim.Runner.dll prebuilt/web/index.html prebuilt/server.js; do
+      [[ -e $f ]] || { echo "prebuilt/ 不完整，缺 $f"; exit 1; }
+    done
+    export ARTIFACTS=prebuilt
+    echo "== 用开发机编好的产物（$(du -sh prebuilt | cut -f1)）"
+  else
+    export ARTIFACTS=build
+  fi
+
  echo "== 构建镜像并重启"
+  # caddy 用的是现成镜像，up 不会去拉新版，不拉的话永远是第一次部署时那份
+  docker compose pull --quiet caddy
  docker compose up -d --build --remove-orphans
  docker image prune -f >/dev/null

@@ -155,7 +155,7 @@ IOT/
 网站主体用 TypeScript；只有编译和运行学生 C# 代码的部分用 .NET。标"计划"的尚未引入。

 | 层        | 用途                           | 选择                                                                                                                                                                                                                                                                                  |
-| --------- | ------------------------------ | -------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
+| --------- | ------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
 | 前端      | 框架                           | Vue 3 + TypeScript + Vite                                                                                                                                                                                                                                                             |
 | 前端      | 状态管理 / 路由                | 计划：Pinia / Vue Router                                                                                                                                                                                                                                                              |
 | 前端      | 组件库（网站外壳）             | Naive UI                                                                                                                                                                                                                                                                              |
@@ -183,7 +183,7 @@ IOT/
 | 部署      | 沙箱                           | bubblewrap：每次运行一个独立命名空间（断网、只读、看不到其他进程），加 .NET 堆上限、CPU 时间上限                                                                                                                                                                                      |
 | 部署      | HTTPS                          | Nginx Proxy Manager（服务器上已有），经外部网络 `npm_proxy` 转发                                                                                                                                                                                                                      |
 | 部署      | 反向代理 / 压缩                | Caddy（只收 HTTP），网页文件由 Bun 直接提供                                                                                                                                                                                                                                           |
-| 部署      | 进程管理                       | Docker Compose；GitHub Actions 测试通过后 SSH 到服务器，服务器从 git.xuyue.cc 拉代码并构建（`deploy/update.sh`）。不从国外传镜像：跨境上传 130 MB 镜像 40 分钟传不完 |
+| 部署      | 进程管理                       | Docker Compose；push origin 后开发机上的 gitea-runner 测试、编好产物（运行时 dll、网页、server.js）rsync 到服务器，服务器从 git.xuyue.cc 拉代码、用现成产物构建镜像（`deploy/update.sh --prebuilt`）。服务器只有 2 核，不在上面编；不从国外传镜像：跨境上传 130 MB 镜像 40 分钟传不完 |
 | 部署      | 备份                           | 计划：定时 `sqlite3 .backup` + 异地拷贝                                                                                                                                                                                                                                               |

 ## 安全与服务器资源
@@ -33,7 +33,9 @@ async function prepare(id: string, name: string, edit?: { file: string; from: st
  return dir
 }

-describe('参考答案全部通过', async () => {
+// 每个检查大部分时间在等学生程序的定时器，挨个跑要 3 分钟；测试之间各用各的临时目录，可以同时跑（30 秒左右）。
+// 同时跑的个数由 bun test 的 --max-concurrency 管，CI 里给的是 8：太多时 CPU 跟不上，定时器来不及触发会误判
+describe.concurrent('参考答案全部通过', async () => {
  const ids = (await Array.fromAsync(new Bun.Glob('*/checks.yaml').scan({ cwd: SAMPLES }))).map((p) => p.split('/')[0]).sort()
  test('每个示例都有评分规则', () => expect(ids.length).toBe(23))
  for (const id of ids) {
@@ -49,7 +51,7 @@ describe('参考答案全部通过', async () => {
  }
 })

-describe('改坏的代码', () => {
+describe.concurrent('改坏的代码', () => {
  test('编译不通过时所有项都不通过', async () => {
    const id = 'p2-t1-LED显示屏'
    const dir = await prepare(id, 'compile-error', { file: 'Form1.cs', from: 'led.setLedText(res);', to: 'led.setLedText(res)' })