部署：bubblewrap 沙箱、编译检查、访问口令、Docker Compose

- 学生程序每次运行放进 bubblewrap：断网，只读挂载系统文件、运行时和自己的工程目录，
  看不到其他进程和服务器环境变量；限制堆内存 128 MB、CPU 时间 120 秒、运行 60 分钟，
  nice 10，全站同时运行上限 150；启动时自检沙箱，不可用时拒绝运行
- 编译检查（SIM001）：网络、反射、启动进程、调用本机代码、加载程序集、dynamic 给出中文报错
- 访问口令：cookie 保存口令哈希，按真实 IP 限制输错次数；前端口令页
- 服务端配置集中到 config.ts，可用环境变量覆盖；Bun 直接提供打包好的网页
- Dockerfile（多阶段，服务端打包成单文件）、compose.yaml（Caddy 只收 HTTP，接入 NPM 的
  npm_proxy 网络）、deploy/deploy.sh（本机构建后经 ssh 传到服务器）和部署说明
- 测试：沙箱隔离、内存上限、CPU 时间上限、编译检查

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

Dockerfile

@@ -0,0 +1,46 @@
+# 物联网编程仿真平台：一个镜像里包含 Bun 服务端、打包好的网页、.NET 运行时和 bubblewrap 沙箱。
+# 构建：docker compose build；部署说明见 deploy/README.md
+
+# ---- C# 运行时（编译服务 + 仿真库） ----
+FROM mcr.microsoft.com/dotnet/sdk:10.0 AS runtime-build
+WORKDIR /src
+COPY runtime/ runtime/
+RUN dotnet build runtime/Runtime.slnx -c Release
+
+# ---- 网页和服务端 ----
+FROM oven/bun:1.4.3 AS web-build
+WORKDIR /src
+COPY package.json bun.lock ./
+COPY shared/package.json shared/
+COPY server/package.json server/
+COPY web/package.json web/
+RUN bun install --frozen-lockfile
+COPY shared/ shared/
+COPY server/ server/
+COPY web/ web/
+RUN cd web && bun run build
+# 服务端打包成单个文件，运行镜像里不需要 node_modules
+RUN bun build server/src/index.ts --target=bun --outfile=server.js
+
+# ---- 运行镜像 ----
+FROM mcr.microsoft.com/dotnet/runtime:10.0
+RUN apt-get update \
+    && apt-get install -y --no-install-recommends bubblewrap tzdata \
+    && rm -rf /var/lib/apt/lists/*
+COPY --from=oven/bun:1.4.3 /usr/local/bin/bun /usr/local/bin/bun
+WORKDIR /app
+COPY --from=runtime-build /src/runtime/Sim.Runner/bin/Release/net10.0/ runtime/
+COPY --from=web-build /src/web/dist/ web/dist/
+COPY --from=web-build /src/server.js ./
+COPY samples/ samples/
+ENV APP_ROOT=/app \
+    RUNNER_DLL=runtime/Sim.Runner.dll \
+    RUNS_DIR=/tmp/runs \
+    SIM_SANDBOX=bwrap \
+    TZ=Asia/Shanghai \
+    PORT=3000 \
+    DOTNET_CLI_TELEMETRY_OPTOUT=1
+# 镜像自带的非 root 用户
+USER $APP_UID
+EXPOSE 3000
+CMD ["bun", "server.js"]