xuyueandClaude Opus 5.5
697f31e9ce
- 学生程序每次运行放进 bubblewrap：断网，只读挂载系统文件、运行时和自己的工程目录， 看不到其他进程和服务器环境变量；限制堆内存 128 MB、CPU 时间 120 秒、运行 60 分钟， nice 10，全站同时运行上限 150；启动时自检沙箱，不可用时拒绝运行 - 编译检查（SIM001）：网络、反射、启动进程、调用本机代码、加载程序集、dynamic 给出中文报错 - 访问口令：cookie 保存口令哈希，按真实 IP 限制输错次数；前端口令页 - 服务端配置集中到 config.ts，可用环境变量覆盖；Bun 直接提供打包好的网页 - Dockerfile（多阶段，服务端打包成单文件）、compose.yaml（Caddy 只收 HTTP，接入 NPM 的 npm_proxy 网络）、deploy/deploy.sh（本机构建后经 ssh 传到服务器）和部署说明 - 测试：沙箱隔离、内存上限、CPU 时间上限、编译检查 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
56 lines
1.8 KiB
YAML
56 lines
1.8 KiB
YAML
# 部署：先在 .env 里写好 ACCESS_PASSWORD（参考 .env.example），再 docker compose up -d
|
|
# HTTPS 由 Nginx Proxy Manager 负责，它在 npm_proxy 网络里转发到 iot-sim:80；步骤见 deploy/README.md
|
|
services:
|
|
app:
|
|
image: iot-sim:latest
|
|
build: .
|
|
restart: unless-stopped
|
|
environment:
|
|
ACCESS_PASSWORD: ${ACCESS_PASSWORD:?请在 .env 里设置 ACCESS_PASSWORD}
|
|
# 以下可在 .env 里调整，说明见 deploy/README.md
|
|
SIM_MAX_RUNS: ${SIM_MAX_RUNS:-150}
|
|
SIM_HEAP_LIMIT_MB: ${SIM_HEAP_LIMIT_MB:-128}
|
|
SIM_CPU_LIMIT_SECONDS: ${SIM_CPU_LIMIT_SECONDS:-120}
|
|
SIM_MAX_RUN_MINUTES: ${SIM_MAX_RUN_MINUTES:-60}
|
|
# 容器文件系统只读，只有 /tmp（学生工程的临时目录）可写
|
|
read_only: true
|
|
tmpfs:
|
|
- /tmp:size=1g
|
|
cap_drop: [ALL]
|
|
security_opt:
|
|
- no-new-privileges:true
|
|
# bubblewrap 要创建用户命名空间、挂载新的 /proc，Docker 默认的 seccomp 规则和 /proc 遮罩会拦住它。
|
|
# 放开后，学生程序仍然在 bubblewrap 里：断网、看不到其他进程和文件、不是 root。
|
|
- seccomp=unconfined
|
|
- apparmor=unconfined
|
|
- systempaths=unconfined
|
|
# 整个平台的资源上限（两个班同时运行约需 1.5 GB），可在 .env 里用 APP_MEM_LIMIT 调整
|
|
mem_limit: ${APP_MEM_LIMIT:-4g}
|
|
pids_limit: 4096
|
|
expose: ["3000"]
|
|
networks: [default]
|
|
|
|
caddy:
|
|
image: caddy:2-alpine
|
|
restart: unless-stopped
|
|
depends_on: [app]
|
|
expose:
|
|
- 80
|
|
networks:
|
|
default:
|
|
npm_proxy:
|
|
# NPM 里转发到 http://iot-sim:80
|
|
aliases: [iot-sim]
|
|
volumes:
|
|
- ./deploy/Caddyfile:/etc/caddy/Caddyfile:ro
|
|
- caddy_data:/data
|
|
- caddy_config:/config
|
|
|
|
volumes:
|
|
caddy_data:
|
|
caddy_config:
|
|
|
|
networks:
|
|
npm_proxy:
|
|
external: true
|