部署：bubblewrap 沙箱、编译检查、访问口令、Docker Compose

- 学生程序每次运行放进 bubblewrap：断网，只读挂载系统文件、运行时和自己的工程目录，
  看不到其他进程和服务器环境变量；限制堆内存 128 MB、CPU 时间 120 秒、运行 60 分钟，
  nice 10，全站同时运行上限 150；启动时自检沙箱，不可用时拒绝运行
- 编译检查（SIM001）：网络、反射、启动进程、调用本机代码、加载程序集、dynamic 给出中文报错
- 访问口令：cookie 保存口令哈希，按真实 IP 限制输错次数；前端口令页
- 服务端配置集中到 config.ts，可用环境变量覆盖；Bun 直接提供打包好的网页
- Dockerfile（多阶段，服务端打包成单文件）、compose.yaml（Caddy 只收 HTTP，接入 NPM 的
  npm_proxy 网络）、deploy/deploy.sh（本机构建后经 ssh 传到服务器）和部署说明
- 测试：沙箱隔离、内存上限、CPU 时间上限、编译检查

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

compose.yaml

@@ -0,0 +1,55 @@
+# 部署：先在 .env 里写好 ACCESS_PASSWORD（参考 .env.example），再 docker compose up -d
+# HTTPS 由 Nginx Proxy Manager 负责，它在 npm_proxy 网络里转发到 iot-sim:80；步骤见 deploy/README.md
+services:
+  app:
+    image: iot-sim:latest
+    build: .
+    restart: unless-stopped
+    environment:
+      ACCESS_PASSWORD: ${ACCESS_PASSWORD:?请在 .env 里设置 ACCESS_PASSWORD}
+      # 以下可在 .env 里调整，说明见 deploy/README.md
+      SIM_MAX_RUNS: ${SIM_MAX_RUNS:-150}
+      SIM_HEAP_LIMIT_MB: ${SIM_HEAP_LIMIT_MB:-128}
+      SIM_CPU_LIMIT_SECONDS: ${SIM_CPU_LIMIT_SECONDS:-120}
+      SIM_MAX_RUN_MINUTES: ${SIM_MAX_RUN_MINUTES:-60}
+    # 容器文件系统只读，只有 /tmp（学生工程的临时目录）可写
+    read_only: true
+    tmpfs:
+      - /tmp:size=1g
+    cap_drop: [ALL]
+    security_opt:
+      - no-new-privileges:true
+      # bubblewrap 要创建用户命名空间、挂载新的 /proc，Docker 默认的 seccomp 规则和 /proc 遮罩会拦住它。
+      # 放开后，学生程序仍然在 bubblewrap 里：断网、看不到其他进程和文件、不是 root。
+      - seccomp=unconfined
+      - apparmor=unconfined
+      - systempaths=unconfined
+    # 整个平台的资源上限（两个班同时运行约需 1.5 GB），可在 .env 里用 APP_MEM_LIMIT 调整
+    mem_limit: ${APP_MEM_LIMIT:-4g}
+    pids_limit: 4096
+    expose: ["3000"]
+    networks: [default]
+
+  caddy:
+    image: caddy:2-alpine
+    restart: unless-stopped
+    depends_on: [app]
+    expose:
+      - 80
+    networks:
+      default:
+      npm_proxy:
+        # NPM 里转发到 http://iot-sim:80
+        aliases: [iot-sim]
+    volumes:
+      - ./deploy/Caddyfile:/etc/caddy/Caddyfile:ro
+      - caddy_data:/data
+      - caddy_config:/config
+
+volumes:
+  caddy_data:
+  caddy_config:
+
+networks:
+  npm_proxy:
+    external: true