xuyueandClaude Opus 5.5
697f31e9ce
- 学生程序每次运行放进 bubblewrap：断网，只读挂载系统文件、运行时和自己的工程目录， 看不到其他进程和服务器环境变量；限制堆内存 128 MB、CPU 时间 120 秒、运行 60 分钟， nice 10，全站同时运行上限 150；启动时自检沙箱，不可用时拒绝运行 - 编译检查（SIM001）：网络、反射、启动进程、调用本机代码、加载程序集、dynamic 给出中文报错 - 访问口令：cookie 保存口令哈希，按真实 IP 限制输错次数；前端口令页 - 服务端配置集中到 config.ts，可用环境变量覆盖；Bun 直接提供打包好的网页 - Dockerfile（多阶段，服务端打包成单文件）、compose.yaml（Caddy 只收 HTTP，接入 NPM 的 npm_proxy 网络）、deploy/deploy.sh（本机构建后经 ssh 传到服务器）和部署说明 - 测试：沙箱隔离、内存上限、CPU 时间上限、编译检查 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
30 lines
1.2 KiB
Bash
Executable File
30 lines
1.2 KiB
Bash
Executable File
#!/usr/bin/env bash
|
||
# 在本机构建镜像，传到服务器后启动（服务器不需要访问 Docker Hub，也不用自己编译）。
|
||
# 用法：deploy/deploy.sh 用户@服务器 [服务器上的目录，默认 iot-sim]
|
||
# 第一次部署前，先按 deploy/README.md 在服务器上准备好 .env
|
||
set -euo pipefail
|
||
|
||
host=${1:?用法：deploy/deploy.sh 用户@服务器 [目录]}
|
||
dir=${2:-iot-sim}
|
||
cd "$(dirname "$0")/.."
|
||
|
||
echo "== 构建镜像"
|
||
docker compose build app
|
||
docker pull -q caddy:2-alpine
|
||
|
||
echo "== 上传配置文件到 $host:$dir"
|
||
ssh "$host" "mkdir -p $dir/deploy"
|
||
scp -q compose.yaml .env.example "$host:$dir/"
|
||
scp -q deploy/Caddyfile "$host:$dir/deploy/"
|
||
|
||
echo "== 上传镜像（约 130 MB）"
|
||
docker save iot-sim:latest | gzip -1 | ssh "$host" 'gunzip | docker load'
|
||
if ! ssh "$host" 'docker image inspect caddy:2-alpine >/dev/null 2>&1'; then
|
||
docker save caddy:2-alpine | gzip -1 | ssh "$host" 'gunzip | docker load'
|
||
fi
|
||
|
||
echo "== 启动"
|
||
ssh "$host" "cd $dir && test -f .env || { echo '服务器上还没有 .env：cp .env.example .env 后设置 ACCESS_PASSWORD'; exit 1; }
|
||
docker compose up -d --no-build --remove-orphans && docker image prune -f >/dev/null
|
||
sleep 5 && docker compose logs --tail 5 app"
|