diff --git a/.env.example b/.env.example new file mode 100644 index 0000000..cfa8bc7 --- /dev/null +++ b/.env.example @@ -0,0 +1,21 @@ +# NexusAI 部署环境变量模板 +# 复制为 .env 并填入真实值；.env 已加入 .gitignore，切勿提交版本库。 + +# ---- MySQL ---- +MYSQL_ROOT_PASSWORD=change_me_strong_password + +# ---- One-API ---- +# One-API 后台管理员登录后生成的对外聚合 Token（sk-xxxx），写入 LobeChat 使用 +ONE_API_TOKEN=sk-change_me_after_one_api_setup + +# ---- LobeChat ---- +# 前端访问密码（Access Code），自定义，建议高复杂度 +LOBE_ACCESS_CODE=change_me_access_code + +# ---- 各 AI 渠道 API Key ---- +# 在 One-API 后台添加渠道时手动填入，此处仅作为记录/备用，不由容器直接读取 +GEMINI_API_KEY= +NVIDIA_API_KEY= +GROQ_API_KEY= +OPENROUTER_API_KEY= +MISTRAL_API_KEY= diff --git a/PROGRESS.md b/PROGRESS.md index f08decf..5e44d16 100644 --- a/PROGRESS.md +++ b/PROGRESS.md @@ -6,14 +6,25 @@ | 服务 | 节点 | 状态 | 说明 | |------|------|------|------| -| Nginx | 美国服务器（待申请） | ⏳ 未部署 | HTTPS 反向代理层 | -| LobeChat | 美国服务器（待申请） | ⏳ 未部署 | 前端对话界面 | -| One-API | 美国服务器（待申请） | ⏳ 未部署 | 网关聚合层 | -| MySQL | 美国服务器（待申请） | ⏳ 未部署 | One-API 数据存储 | +| Oracle 反代层 | 甲骨文服务器 129.146.203.203 | ⏳ 未配置 | frp/nginx 反代端口 → NAS 网关入口 | +| Nginx | NAS 192.168.50.64 | ⏳ 未部署 | HTTPS 反向代理层 | +| LobeChat | NAS 192.168.50.64 | ⏳ 未部署 | 前端对话界面 | +| One-API | NAS 192.168.50.64 | ⏳ 未部署 | 网关聚合层 | +| MySQL | NAS 192.168.50.64 | ⏳ 未部署 | One-API 数据存储 | + +## 2026-08-23 部署骨架生成：docker-compose.yml / nginx.conf / .env.example + +- **产出**：仓库根目录新增 `docker-compose.yml`（mysql / one-api / lobe-chat / nginx 四服务）、`nginx.conf`（443 SSL + 80→443 跳转 + SSE 流式透传配置）、`.env.example`（含 MYSQL_ROOT_PASSWORD / ONE_API_TOKEN / LOBE_ACCESS_CODE / 各渠道 Key 占位）。 +- **相对 SDD 草稿的两处安全加固**： + 1. `one-api` 端口改为 `127.0.0.1:3000:3000`（原草稿是 `3000:3000` 全网卡暴露），管理需通过 SSH 隧道（`ssh -p 2222 -L 3000:127.0.0.1:3000 ericwyuan@192.168.50.64`）转发后本地访问，符合 SRS FR-5.2 / SDD 第5章"后台管理端口不映射公网"的要求。 + 2. `lobe-chat` 不再发布主机端口（原草稿 `3210:3210`），仅通过 `ai-network` 容器网络被 nginx 访问，进一步收敛暴露面。 +- **nginx.conf 待确认项**：`server_name` 暂用 `_` 通配（域名与证书方案见 SDD 8.4 待确认事项，任务 6）；`certs/fullchain.pem` / `privkey.pem` 尚未生成，需任务 6 确认证书方案后补充。 +- **尚未做**：实际登录 NAS 部署（依赖新 Gemini/NVIDIA Key 与 Oracle 反代方式确认，任务 1-3, 5, 6）。 ## 2026-08-23 项目启动：文档入库 + 仓库初始化 - **决策**：采用成熟开源组件（Nginx + LobeChat + One-API + MySQL）容器化搭建，不重复造轮子；网关对外统一暴露 `auto-vision` / `auto-text` 两个聚合模型名。 +- **部署方案（用户 2026-08-23 确认）**：部署于 NAS 本机（Docker Compose），由甲骨文服务器（129.146.203.203）frp/nginx 反向代理端口对外提供访问（与 FAM 项目 frp 方案一致）；NAS 出站直连各海外 API。 - **文档**：`docs/01-软件需求文档-SRS.md`（V1.0）+ `docs/02-软件设计文档-SDD.md`（V1.0）入库；README 汇总架构/服务器访问信息/提交规范。 - **安全**：Gemini 与 NVIDIA 的旧 API Key 不写入仓库（将申请新值）；所有 Key 计划通过服务器 `.env` 管理（已加入 .gitignore）。 - **仓库**：本地初始化，推送 Gitea `http://192.168.50.64:3000/ericwyuan/NexusAI`。 @@ -28,17 +39,19 @@ | 2 | 软件设计文档（SDD V1.0）入库 | 2026-08-23 | | 3 | README（架构/服务器信息/提交规范） | 2026-08-23 | | 4 | 仓库初始化 + 推送 Gitea | 2026-08-23 | +| 5 | 生成部署骨架（docker-compose.yml / nginx.conf / .env.example） | 2026-08-23 | ### 待完成 | # | 任务 | 依赖 | 优先级 | |---|------|------|--------| -| 1 | 申请美国服务器（网关部署目标） | - | 高 | +| 1 | 验证 NAS 到各海外 API 官方域名的直连稳定性 | - | 高 | | 2 | 申请新 Gemini / NVIDIA API Key | - | 高 | -| 3 | 生成部署骨架（docker-compose.yml / nginx.conf / .env.example） | 文档 | 高 | -| 4 | 实际部署 + One-API 渠道配置（5 家）+ Failover 验证 | 服务器/Key | 高 | -| 5 | HTTPS 域名与证书 | 服务器 | 中 | -| 6 | 确认 Server-Side 模式 / 管理端口访问方式 / 监控方案 | 决策 | 中 | +| 3 | 确认 Oracle 反代方式（frp 隧道 vs nginx 反代） | 决策 | 高 | +| 5 | NAS 实际部署 + One-API 渠道配置（5 家）+ Failover 验证 | Key | 高 | +| 6 | 配置 Oracle 反代端口 → NAS 网关入口 | 反代方式 | 高 | +| 7 | HTTPS 域名与证书 | NAS | 中 | +| 8 | 确认 Server-Side 模式 / 管理端口访问方式 / 监控方案 | 决策 | 中 | ## 技术决策记录 @@ -46,4 +59,5 @@ 2. **模型映射** - 前端只感知 `auto-vision`（图文）与 `auto-text`（纯文本）两个聚合模型名，多渠道不同模型映射到统一对外模型名 3. **优先级路由** - 渠道优先级数字越小越优先，同优先级内按权重轮询分摊负载 4. **冷却恢复** - 渠道连续失败超阈值（5 次/5 分钟）进入冷却禁用，冷却期（10 分钟）后自动恢复参与路由 -5. **最小暴露面** - 仅 Nginx 80/443 对公网暴露，One-API 后台与 MySQL 端口仅容器内网可访问 +5. **最小暴露面** - 对外仅暴露甲骨文服务器反代端口，NAS 本机不直接暴露公网；One-API 后台与 MySQL 端口仅容器内网可访问 +6. **部署位置** - NAS 本机 Docker Compose（Synology ContainerManager），甲骨文服务器 frp/nginx 反代公网端口 → NAS 网关入口；NAS 出站直连海外 API diff --git a/README.md b/README.md index b3291de..34fb0ce 100644 --- a/README.md +++ b/README.md @@ -8,7 +8,7 @@ ## 1. 项目简介与设计目标 -公司内网直连 NVIDIA NIM、Gemini 等免费大模型 API 不稳定，本系统部署在美国服务器上，聚合 5 家免费多模态 API（Gemini、NVIDIA NIM、Groq、OpenRouter、Mistral），通过 One-API 网关统一路由，实现"一个渠道不可用自动切换下一个"的高可用能力，并提供接近 Gemini 首页体验的 Web 对话界面（LobeChat），支持图片 + 文字混合输入问答。 +公司内网直连 NVIDIA NIM、Gemini 等免费大模型 API 不稳定，本系统**部署在 NAS 本机**（Docker Compose），聚合 5 家免费多模态 API（Gemini、NVIDIA NIM、Groq、OpenRouter、Mistral），通过 One-API 网关统一路由，实现"一个渠道不可用自动切换下一个"的高可用能力，并提供接近 Gemini 首页体验的 Web 对话界面（LobeChat），支持图片 + 文字混合输入问答；对外由**甲骨文服务器（129.146.203.203）反向代理端口**提供访问（与 FAM 项目 frp 方案一致）。 ### 1.1 核心价值 @@ -29,16 +29,20 @@ 浏览器 / 移动端浏览器（公司内网） │ HTTPS (443) ▼ -Nginx（反向代理，HTTPS 终止，流式透传）──► LobeChat（前端，:3210）──► One-API（网关，:3000 仅内网）──► MySQL - │ - ┌──────────────┬──────────────┬──────────────┐ - ▼ ▼ ▼ ▼ - Gemini NVIDIA NIM Groq OpenRouter Mistral +甲骨文服务器（129.146.203.203）—— frp/nginx 反代端口（对外统一入口） + │ 反代 / 隧道（frp） + ▼ +NAS 本机（Docker 宿主机） + ├─ Nginx（HTTPS 终止，流式透传）──► LobeChat（:3210）──► One-API（:3000 仅内网）──► MySQL + │ + ▼ NAS 出站直连海外 API + Gemini · NVIDIA NIM · Groq · OpenRouter · Mistral ``` | 层级 | 组件 | 职责 | |---|---|---| -| 接入层 | Nginx | HTTPS 终止、反向代理、访问入口统一 | +| 反代层 | 甲骨文服务器 | frp/nginx 反向代理端口，对外统一访问入口 | +| 接入层 | Nginx | HTTPS 终止、反向代理（NAS 本机） | | 表现层 | LobeChat | 对话界面渲染、图片上传、Access Code 鉴权、对话历史（IndexedDB） | | 网关层 | One-API | 协议转换、渠道路由、Failover、用量统计 | | 数据层 | MySQL | 渠道配置 / Token / 调用日志持久化 | @@ -71,7 +75,9 @@ Nginx（反向代理，HTTPS 终止，流式透传）──► LobeChat（前端 ## 3. 部署概览 -- **方式**：单机 Docker Compose，所有服务在同一 `ai-network` 内，仅 Nginx 80/443 对公网暴露 +- **部署位置**：NAS 本机（Synology DSM 7，Docker Compose / ContainerManager） +- **对外访问**：甲骨文服务器（129.146.203.203）frp/nginx 反向代理端口 → NAS 的 Nginx 443 +- **方式**：所有服务在同一 `ai-network` 内，仅 Nginx 80/443 对局域网暴露 - **目录结构**：`docker-compose.yml` / `.env`（敏感变量，不入库）/ `nginx.conf` / `certs/` / `one-api-data/` / `mysql-data/` - **详细部署步骤**：见 [SDD 第 6 章](docs/02-软件设计文档-SDD.md#6-部署设计) @@ -79,13 +85,14 @@ Nginx（反向代理，HTTPS 终止，流式透传）──► LobeChat（前端 | 服务 | 镜像 | 端口 | 说明 | |---|---|---|---| -| nginx | nginx:alpine | 80/443（公网） | HTTPS 终止、反向代理 | +| nginx | nginx:alpine | 80/443（NAS 局域网） | HTTPS 终止、反向代理 | | lobe-chat | lobehub/lobe-chat:latest | 3210（内网） | 前端对话界面 | | one-api | justsong/one-api:latest | 3000（内网） | 网关聚合层 | | mysql | mysql:8.0 | 3306（内网） | One-API 数据存储 | ### 3.2 安全要点 +- 对外仅暴露甲骨文服务器反代端口，NAS 本机不直接暴露公网 - One-API 后台端口（3000）不映射公网，远程管理走 SSH 隧道 / VPN - 所有 API Key 通过服务器 `.env` 注入容器环境变量，`.env` 不入库（见 [SDD 第 5 章](docs/02-软件设计文档-SDD.md#5-安全设计)） - 前端强制 `ACCESS_CODE` 校验；Nginx 全站 HTTPS @@ -94,7 +101,7 @@ Nginx（反向代理，HTTPS 终止，流式透传）──► LobeChat（前端 ## 4. 服务器访问信息 -### 4.1 Synology NAS（FAM-Core + FAM-UI + MariaDB + Gitea） +### 4.1 Synology NAS（AI 网关部署目标 + FAM + Gitea） | 项目 | 值 | |---|---| @@ -114,7 +121,7 @@ Nginx（反向代理，HTTPS 终止，流式透传）──► LobeChat（前端 | Root 密码 | iLoveJava5! | | 连接 | `/usr/local/mariadb10/bin/mysql -S /run/mysqld/mysqld10.sock -u root -p` | -### 4.3 Oracle Cloud（FAM-Edge + Ollama + FFmpeg） +### 4.3 Oracle Cloud（反代层，129.146.203.203） | 项目 | 值 | |---|---| @@ -123,6 +130,7 @@ Nginx（反向代理，HTTPS 终止，流式透传）──► LobeChat（前端 | 系统 | aarch64 (Ampere A1 2C12G), Ubuntu 20.04 LTS | | Tailscale | 100.74.137.126（已安装在线，与 NAS 端口不通） | | 登录命令 | `ssh -i ~/.ssh/oracle_sentinel ubuntu@129.146.203.203` | +| 反代职责 | frp/nginx 反代公网端口 → NAS AI 网关入口 | ### 4.4 Gitea 代码仓库 @@ -131,15 +139,13 @@ Nginx（反向代理，HTTPS 终止，流式透传）──► LobeChat（前端 | URL | http://192.168.50.64:3000/ericwyuan/NexusAI | | 账号 / 密码 | ericwyuan / iLoveJava5 | -> 美国服务器（AI 网关部署目标）访问信息待补充。 - --- ## 5. AI 渠道 API Key（服务器 `.env` 管理，不入库） -> ⚠️ Gemini 与 NVIDIA 的 Key 将申请新值，此处不写入旧 Key，配置于美国服务器 `.env` 的占位变量。 +> ⚠️ Gemini 与 NVIDIA 的 Key 将申请新值，此处不写入旧 Key，配置于 NAS `.env` 的占位变量。 -| 渠道 | 模型 / 端点 | Key 环境变量（服务器 .env） | +| 渠道 | 模型 / 端点 | Key 环境变量（NAS .env） | |---|---|---| | Gemini | `generativelanguage.googleapis.com/v1beta`，模型 `gemini-flash-latest` | `${GEMINI_API_KEY}`（新 Key 待申请） | | NVIDIA NIM | `integrate.api.nvidia.com/v1`，默认 `meta/llama-3.2-11b-vision-instruct` | `${NVIDIA_API_KEY}`（新 Key 待申请） | @@ -147,7 +153,7 @@ Nginx（反向代理，HTTPS 终止，流式透传）──► LobeChat（前端 | OpenRouter | `openrouter.ai/api/v1` | `${OPENROUTER_API_KEY}` | | Mistral | `api.mistral.ai/v1` | `${MISTRAL_API_KEY}` | -> 各渠道 Key 申请后填入美国服务器 `.env`，One-API 后台添加渠道时引用，切勿提交版本库。 +> 各渠道 Key 申请后填入 NAS `.env`，One-API 后台添加渠道时引用，切勿提交版本库。 --- @@ -183,12 +189,13 @@ Nginx（反向代理，HTTPS 终止，流式透传）──► LobeChat（前端 | # | 任务 | 优先级 | |---|------|--------| -| 1 | 申请美国服务器，确认访问信息 | 高 | +| 1 | 验证 NAS 到各海外 API 官方域名的直连稳定性 | 高 | | 2 | 申请新 Gemini / NVIDIA API Key | 高 | -| 3 | 确认 HTTPS 域名与证书方案 | 中 | -| 4 | 生成部署骨架（docker-compose.yml / nginx.conf / .env.example） | 高 | -| 5 | 实际部署 + One-API 渠道配置 + Failover 验证 | 高 | -| 6 | 确认 Server-Side 模式 / 管理端口访问方式 / 监控方案 | 中 | +| 3 | 确认 Oracle 反代方式（frp 隧道 vs nginx 反代） | 高 | +| 4 | ~~生成部署骨架（docker-compose.yml / nginx.conf / .env.example）~~ 已完成 | 高 | +| 5 | NAS 实际部署 + One-API 渠道配置 + Failover 验证 | 高 | +| 6 | 确认 HTTPS 域名与证书方案 | 中 | +| 7 | 确认 Server-Side 模式 / 管理端口访问方式 / 监控方案 | 中 | --- diff --git a/docker-compose.yml b/docker-compose.yml new file mode 100644 index 0000000..00780fa --- /dev/null +++ b/docker-compose.yml @@ -0,0 +1,66 @@ +version: '3.8' + +services: + mysql: + image: mysql:8.0 + container_name: one-api-mysql + restart: always + environment: + - MYSQL_ROOT_PASSWORD=${MYSQL_ROOT_PASSWORD} + - MYSQL_DATABASE=oneapi + volumes: + - ./mysql-data:/var/lib/mysql + networks: + - ai-network + + one-api: + image: justsong/one-api:latest + container_name: one-api + restart: always + ports: + # 仅绑定 127.0.0.1，不对局域网/公网暴露；远程管理走 SSH 隧道： + # ssh -p 2222 -L 3000:127.0.0.1:3000 ericwyuan@192.168.50.64 + - "127.0.0.1:3000:3000" + volumes: + - ./one-api-data:/data + environment: + - SQL_DSN=root:${MYSQL_ROOT_PASSWORD}@tcp(mysql:3306)/oneapi + - TZ=Asia/Shanghai + depends_on: + - mysql + networks: + - ai-network + + lobe-chat: + image: lobehub/lobe-chat:latest + container_name: lobe-chat + restart: always + # 不发布主机端口：仅 Nginx 通过容器网络访问 lobe-chat:3210 + environment: + - OPENAI_API_KEY=${ONE_API_TOKEN} + - OPENAI_PROXY_URL=http://one-api:3000/v1 + - ACCESS_CODE=${LOBE_ACCESS_CODE} + - DEFAULT_LANG=zh-CN + depends_on: + - one-api + networks: + - ai-network + + nginx: + image: nginx:alpine + container_name: nginx-proxy + restart: always + ports: + - "80:80" + - "443:443" + volumes: + - ./nginx.conf:/etc/nginx/nginx.conf:ro + - ./certs:/etc/nginx/certs:ro + depends_on: + - lobe-chat + networks: + - ai-network + +networks: + ai-network: + driver: bridge diff --git a/docs/01-软件需求文档-SRS.md b/docs/01-软件需求文档-SRS.md index 1960792..da61cdf 100644 --- a/docs/01-软件需求文档-SRS.md +++ b/docs/01-软件需求文档-SRS.md @@ -18,7 +18,7 @@ ### 1.2 项目背景 -由于公司内网访问 NVIDIA NIM、Gemini 等免费大模型 API 不稳定，希望在自有美国服务器上搭建一套类似 Gemini 首页体验的对话系统，聚合多个免费 AI API 渠道，实现"一个渠道不可用自动切换下一个"的高可用能力，同时支持图文多模态问答。 +由于公司内网访问 NVIDIA NIM、Gemini 等免费大模型 API 不稳定，希望在自有 NAS 上搭建一套类似 Gemini 首页体验的对话系统（由甲骨文服务器反向代理端口对外提供访问），聚合多个免费 AI API 渠道，实现"一个渠道不可用自动切换下一个"的高可用能力，同时支持图文多模态问答。 ### 1.3 项目目标 @@ -26,7 +26,7 @@ - 聚合至少 5 家免费多模态 API（Gemini、NVIDIA NIM、Groq、OpenRouter、Mistral） - 单一渠道失败时自动故障转移（Failover），用户无感知 - 支持图片 + 文字混合输入的问答 -- 部署在美国服务器，规避公司内网对海外 API 的直连限制 +- 部署于 NAS 本机（Docker Compose），由甲骨文服务器反向代理端口对外访问，规避公司内网对海外 API 的直连限制 - 全部使用免费额度，不产生 API 调用费用 ### 1.4 术语定义 @@ -56,17 +56,17 @@ ### 2.3 运行环境 -- 部署位置：美国服务器（无地区网络限制） -- 访问方来源：公司内网（网络不稳定，仅需保证到本服务器一段链路可用） -- 容器化部署：Docker + Docker Compose -- 操作系统：Linux（Ubuntu/Debian 系） +- 部署位置：NAS 本机（Docker Compose），由甲骨文服务器（129.146.203.203）反向代理端口对外提供访问 +- 访问方来源：公司内网（网络不稳定，仅需保证到甲骨文服务器一段链路可用） +- 容器化部署：Docker + Docker Compose（NAS 使用 ContainerManager） +- 操作系统：Synology DSM 7（Linux 内核） ### 2.4 约束与假设 -- 假设：美国服务器可稳定访问 Google、NVIDIA、Groq、OpenRouter、Mistral 官方域名 +- 假设：NAS 本机可稳定访问 Google、NVIDIA、Groq、OpenRouter、Mistral 官方域名 - 约束：仅使用各平台免费额度，不产生付费调用 - 约束：不做未成年人相关内容、不涉及企业内部代码泄露到公网模型（需用户自行注意脱敏） -- 假设：公司内网到美国服务器的连接比公司内网直连各 API 官方域名更稳定 +- 假设：公司内网到甲骨文服务器、甲骨文到 NAS 的链路比公司内网直连各 API 官方域名更稳定 --- diff --git a/docs/02-软件设计文档-SDD.md b/docs/02-软件设计文档-SDD.md index 782f1b5..7d8538c 100644 --- a/docs/02-软件设计文档-SDD.md +++ b/docs/02-软件设计文档-SDD.md @@ -36,7 +36,13 @@ │ HTTPS (443) ▼ ┌───────────────────────────────────────────────────────────────┐ -│ 美国服务器（Docker 宿主机） │ +│ 甲骨文服务器（129.146.203.203，公网反代层） │ +│ frp / nginx 反向代理端口 → NAS（对外统一入口） │ +└──────────────────────────┬────────────────────────────────────┘ + │ 反代 / 隧道（frp） + ▼ +┌───────────────────────────────────────────────────────────────┐ +│ NAS 本机（Docker 宿主机） │ │ │ │ ┌─────────────────────────────────────────────────────────┐ │ │ │ Nginx（反向代理层） │ │ @@ -77,7 +83,8 @@ | 层级 | 组件 | 职责 | |---|---|---| -| 接入层 | Nginx | HTTPS 终止、反向代理、访问入口统一 | +| 反代层 | 甲骨文服务器 | frp/nginx 反向代理端口，对外统一访问入口 | +| 接入层 | Nginx | HTTPS 终止、反向代理、访问入口统一（NAS 本机） | | 表现层 | LobeChat | 用户交互、对话渲染、多模态输入采集 | | 网关层 | One-API | 协议转换、渠道路由、故障转移、用量统计 | | 数据层 | MySQL | 网关配置与日志持久化 | @@ -85,7 +92,7 @@ ### 2.3 部署视图 -单机 Docker Compose 部署，各服务以容器形式运行在同一 Docker 网络（`ai-network`）内，服务间通过容器名互相寻址，仅 Nginx 的 80/443 端口对公网暴露。 +单机 Docker Compose 部署于 **NAS 本机**，各服务以容器形式运行在同一 Docker 网络（`ai-network`）内，服务间通过容器名互相寻址，仅 Nginx 的 80/443 端口对局域网暴露；对外由**甲骨文服务器（129.146.203.203）**通过 frp/nginx 反向代理该端口，供公司内网公网访问。 --- @@ -94,7 +101,7 @@ ### 3.1 Nginx 反向代理模块 **职责** -- 对外仅暴露 443（HTTPS）与 80（HTTP 跳转 443） +- 在 NAS 本机暴露 443（HTTPS）与 80（HTTP 跳转 443）；公网访问由甲骨文服务器反向代理到本机 443 端口 - 将请求转发至 `lobe-chat:3210` - 关闭代理缓冲以支持流式输出（SSE） @@ -233,10 +240,11 @@ server { | 风险点 | 设计对策 | |---|---| -| 后台管理端口暴露 | One-API 的 3000 端口不映射到公网，仅容器内网可访问；如需远程管理，走 SSH 隧道或 VPN | +| 后台管理端口暴露 | One-API 的 3000 端口不映射到公网，仅容器内网可访问；Oracle 反代仅转发前端端口，管理端口走 SSH 隧道或 VPN | | API Key 泄露 | 所有 Key 通过 `.env` 文件注入容器环境变量，`.env` 加入 `.gitignore`，不提交版本库 | | 未授权访问前端 | LobeChat `ACCESS_CODE` 强制校验 | | 传输层安全 | Nginx 强制 HTTPS，HTTP 请求 301 跳转 | +| 公网入口暴露 | 对外仅暴露甲骨文服务器反代端口，NAS 本机不直接暴露公网 | | 密钥被盗用后的止损 | One-API 后台可随时吊销/轮换 Token，不影响各渠道原始 Key | --- @@ -327,15 +335,16 @@ networks: ### 6.3 部署步骤 -1. 服务器安装 Docker + Docker Compose +1. NAS 安装 Docker + Docker Compose（ContainerManager） 2. 按 6.1 结构创建目录，放置 `docker-compose.yml`、`.env`、`nginx.conf` 3. 申请 HTTPS 证书（Let's Encrypt/certbot）放入 `certs/` 4. 执行 `docker-compose up -d` 启动全部服务 -5. 访问 `http://<服务器IP>:3000` 完成 One-API 初始化（设置管理员密码） +5. 访问 `http://:3000` 完成 One-API 初始化（设置管理员密码） 6. 后台按 3.3 节渠道设计表逐个添加渠道，设置优先级 7. 创建对外 Token，写入 `.env` 的 `ONE_API_TOKEN` 8. `docker-compose restart lobe-chat` 使配置生效 -9. 访问 `https://<域名>` 验证前端可正常对话、上传图片、触发 Failover +9. 在甲骨文服务器配置 frp（或 nginx 反代）将公网端口转发至 NAS 的 Nginx 443 端口 +10. 访问 `https://<域名>`（经甲骨文反代）验证前端可正常对话、上传图片、触发 Failover ### 6.4 运维监控设计 @@ -368,3 +377,5 @@ networks: 2. 后台管理端口是否需要通过 VPN/SSH 隧道访问，还是接受当前仅内网暴露的方案 3. 是否需要接入 Prometheus/Grafana 做可视化监控（当前为后续扩展项，非本期必做） 4. 域名与证书由紫川自行准备，还是需要方案建议 +5. **NAS 到各海外 API 官方域名的直连稳定性验证**（部署目标已改为 NAS 本机 + 甲骨文反代，需确认 NAS 出站访问 Google/NVIDIA/Groq/OpenRouter/Mistral 的稳定性） +6. **甲骨文反代方式确认**：frp 隧道（参照 FAM 项目方案）还是 nginx 反代 diff --git a/nginx.conf b/nginx.conf new file mode 100644 index 0000000..ca4b968 --- /dev/null +++ b/nginx.conf @@ -0,0 +1,52 @@ +user nginx; +worker_processes auto; + +error_log /var/log/nginx/error.log notice; +pid /var/run/nginx.pid; + +events { + worker_connections 1024; +} + +http { + include /etc/nginx/mime.types; + default_type application/octet-stream; + + log_format main '$remote_addr - $remote_user [$time_local] "$request" ' + '$status $body_bytes_sent "$http_referer" ' + '"$http_user_agent" "$http_x_forwarded_for"'; + + access_log /var/log/nginx/access.log main; + + sendfile on; + keepalive_timeout 65; + + # 域名/IP 未确定前，先用 _ 通配 server_name（见 SDD 8.4 待确认事项） + server { + listen 443 ssl; + server_name _; + + ssl_certificate /etc/nginx/certs/fullchain.pem; + ssl_certificate_key /etc/nginx/certs/privkey.pem; + + location / { + proxy_pass http://lobe-chat:3210; + proxy_http_version 1.1; + proxy_set_header Host $host; + proxy_set_header X-Real-IP $remote_addr; + proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; + proxy_set_header X-Forwarded-Proto $scheme; + + # 关闭缓冲/缓存以支持流式输出（SSE） + proxy_buffering off; + proxy_cache off; + proxy_read_timeout 300s; + } + } + + server { + listen 80; + server_name _; + return 301 https://$host$request_uri; + } +}