ykxmz/_build/deploy_lightsail.py

# -*- coding: utf-8 -*-
r'''把中转服务器部署到 AWS Lightsail 那台新机器上。

== 为什么要搬 ==

原来中转跑在一台"随身 WiFi"小机器上（Debian aarch64、460MB 内存、
走 4G），一直有一堆搞不定的问题：

    * 线路对 Cloudflare 隧道的 **7844 端口间歇性阻断**
      —— 443 通、7844 不通，隧道每 3~10 分钟就掉一次，公网跟着 530
      （这个查了很久，cloudflared 自己的 precheck 才说清楚）
    * 只有 460MB 内存，跑什么都得省着来
    * 会掉电/硬挂（实测 18:42 一次非正常关机，19:58 才起来）
    * 全靠 Cloudflare 隧道兜，隧道一抖网站就抖

新机器（Lightsail）**有公网 IP**，直接监听就行 ——
不需要隧道、不经过 Cloudflare 的 7844、内存是 4 倍、磁盘 59G。
上面那些问题**一次性全部消失**。

== 关键配置 ==

    RELAY_PORT=13245        用户指定（防火墙那边他会开）
    RELAY_BIND=0.0.0.0      有公网 IP，直接对外

    13245 大于 1024，所以**不需要** CAP_NET_BIND_SERVICE，
    用普通用户跑就行 —— 比听 80 干净。

== 为什么不用 root 跑 ==

relay 是个只读文件的 HTTP 服务，没有任何理由给它 root。
用 admin 用户跑，万一被打穿，损失也小得多。
（2026-10-08 之前那个仓库里还硬编码过管理员密码，
 这种教训够一次就行了。）
'''
from __future__ import annotations

import sys
import tempfile
from pathlib import Path

ROOT = Path(__file__).resolve().parent.parent
sys.path.insert(0, str(ROOT / "_build"))
from lssh import run, upload      # noqa: E402

# 用户指定的端口
PORT = "13245"
REMOTE_DIR = "/opt/ykxmz-relay"
DATA_DIR = REMOTE_DIR + "/data"   # relay.py 现在默认就用 data/ 了

# 服务端要传的文件（.py 是服务本体，.ico 是管理页图标）
FILES = ["relay.py", "admin.py", "landing.py", "showcase.py", "favicon.ico"]

UNIT = '''[Unit]
Description=ykxmz 中转服务器
After=network-online.target
Wants=network-online.target

[Service]
Type=simple
User=admin
Group=admin
WorkingDirectory=%(dir)s

# ⚠ 监听地址和端口都从这里来。
#   13245 是用户指定的（他会在 Lightsail 防火墙那边开）。
#   BIND 用 0.0.0.0 是因为新机器**有公网 IP**，不再需要
#   Cloudflare 隧道（原来那个隧道在这条线路上每 3~10 分钟掉一次，
#   是"网站容易挂"的主因之一）。
Environment=RELAY_PORT=%(port)s
Environment=RELAY_BIND=0.0.0.0

ExecStart=/usr/bin/python3 %(dir)s/relay.py
Restart=always
RestartSec=3

# 兜底：内存保护（这台有 2G，给 512M 足够且不会拖垮整机）
MemoryMax=512M
# 别让它写爆磁盘
LimitNOFILE=4096

StandardOutput=append:%(dir)s/relay.log
StandardError=append:%(dir)s/relay.log

[Install]
WantedBy=multi-user.target
'''


def main() -> int:
    print("=" * 62)
    print("  部署到 Lightsail（13.54.30.196），端口 %s" % PORT)
    print("=" * 62)

    print()
    print("  ── 1. 建目录 ──")
    out = run("sudo mkdir -p %s %s && sudo chown -R admin:admin %s && "
              "echo OK" % (REMOTE_DIR, DATA_DIR, REMOTE_DIR),
              timeout=120)
    for ln in out[1].strip().splitlines():
        print("    " + ln)

    print()
    print("  ── 2. 传服务端文件 ──")
    for name in FILES:
        local = ROOT / "relay" / name
        if not local.is_file():
            print("    [跳过] %s 不存在" % name)
            continue
        upload(str(local), "%s/%s" % (REMOTE_DIR, name))
    # 产品截图（官网要用）
    shots = ROOT / "relay" / "site_shots"
    if shots.is_dir():
        run("mkdir -p %s/site_shots" % REMOTE_DIR, timeout=60, quiet=True)
        for f in sorted(shots.iterdir()):
            if f.is_file():
                upload(str(f), "%s/site_shots/%s" % (REMOTE_DIR, f.name))
    else:
        print("    [警告] 没有 relay/site_shots，官网截图会 404")

    print()
    print("  ── 3. 写 systemd unit ──")
    unit = UNIT % {"dir": REMOTE_DIR, "port": PORT}
    tmp = Path(tempfile.gettempdir()) / "ykxmz-relay.service"
    tmp.write_text(unit, encoding="utf-8", newline="\n")
    upload(str(tmp), "/tmp/ykxmz-relay.service")
    out = run("sudo mv /tmp/ykxmz-relay.service /etc/systemd/system/ && "
              "sudo systemctl daemon-reload && echo '  unit 已装'",
              timeout=120)
    for ln in out[1].strip().splitlines():
        print("    " + ln)

    print()
    print("  ── 4. 语法检查 + 启动 ──")
    out = run(
        "cd %s && for f in relay.py admin.py landing.py showcase.py; do "
        "python3 -c \"import ast,sys;ast.parse(open(sys.argv[1],"
        "encoding='utf-8').read())\" $f || exit 1; done && echo PY_OK"
        % REMOTE_DIR, timeout=120)
    for ln in out[1].strip().splitlines():
        print("    " + ln)

    out = run("sudo systemctl enable ykxmz-relay >/dev/null 2>&1; "
              "sudo systemctl restart ykxmz-relay; sleep 5; "
              "systemctl is-active ykxmz-relay", timeout=180)
    for ln in out[1].strip().splitlines():
        print("    " + ln)

    print()
    print("  ── 5. 自测 ──")
    out = run(
        "echo \"  本机 health: $(curl -s -o /dev/null -w '%%{http_code}' "
        "--max-time 8 http://127.0.0.1:%(p)s/v1/health)\"; "
        "echo \"  监听: $(ss -tlnp 2>/dev/null | grep %(p)s | head -1)\"; "
        "echo '  --- 启动日志 ---'; "
        "tail -12 %(d)s/relay.log 2>/dev/null"
        % {"p": PORT, "d": REMOTE_DIR}, timeout=120)
    for ln in out[1].strip().splitlines():
        print("    " + ln)

    print()
    print("  ── 6. 管理密码（登录后台用）──")
    out = run("cat %s/data/admin_password.txt 2>/dev/null; echo; "
              "cat %s/data/admin_key.txt 2>/dev/null" % (DATA_DIR, DATA_DIR),
              timeout=60)
    for ln in out[1].strip().splitlines():
        print("    " + ln)

    print()
    print("  提示：防火墙要先放行 TCP %s（用户来开）。" % PORT)
    print("        之后公网地址就是 http://13.54.30.196:%s/" % PORT)
    return 0


if __name__ == "__main__":
    sys.exit(main())