cp deploy/cloud/.env.example deploy/cloud/.env
  # 然后按 deploy/cloud/README.md 的第二节修改 EXTERNAL_IP、CERT_EMAIL 与 nginx 域名

AUTH     登录策略、2FA、第三方登录、验证码参数
PANEL    管理面板（安全入口、监听地址、面板 HTTPS）
CERT     SSL 证书自动化（签发方式、ACME 目录、密钥算法、各云厂商 DNS 凭据）
DDNS     动态域名解析（服务商、检测间隔、IP 查询接口）
PROXY    内置反向代理（端口、超时、SSRF 防护）
FORWARD  TCP/UDP 端口转发（端口范围、连接上限、UDP 空闲超时）
BACKUP   配置备份（路径、定时策略、保留天数、是否含密钥）
LOG      日志审计（文件轮转、入库、异步缓冲、异常捕获）
SMS      短信验证码（服务商、签名、模板、频控）
ALERT    安全告警（邮件通知、冷却时间、触发条件）
DB       数据库连接池（最大连接、空闲连接、连接寿命）
PERFORMANCE / WEBUI / TRUSTED_UPSTREAM_CIDRS 等

intranet-tunnel/
├── .env                     compose 部署配置（本机实际使用）
├── docker-compose.yml       服务端 + PostgreSQL 编排
├── go.work                  Go 多模块工作区（根目录本身不是 Go module）
├── Makefile                 构建/测试/打包命令
├── README.md                部署与使用说明
│
├── shared/                  【客户端与服务端共享】
│   ├── protocol/            自定义二进制协议：4 字节大端长度 + JSON
│   │                        （conn.go / message.go，含单元测试）
│   └── mux/                 yamux 多路复用会话封装
│
├── server/                  【服务端主体，112 个 Go 文件】
│   ├── cmd/server/          程序入口
│   │   ├── main.go          装配全部组件、启动顺序、优雅退出
│   │   ├── apiserver.go     HTTP 服务装配
│   │   └── settings.go      设置变更 → 热生效的映射（各组件 Reload）
│   ├── internal/            ← 见下方模块表
│   ├── data/                运行数据（SQLite、控制连接证书）
│   ├── logs/                日志文件落盘目录
│   ├── backups/             配置备份输出
│   └── Dockerfile           两阶段构建，产出静态二进制
│
├── client/                  【内网侧客户端，7 个 Go 文件】
│   └── cmd/client/main.go   连接服务端、注册隧道、转发流量
│
├── web/                     【Vue 3 管理面板，23 个 .vue】
│   └── src/
│       ├── api/             axios 实例与全部接口封装（client.js）
│       ├── components/      通用组件（DataCard / ProTable / CaptchaImage 等 9 个）
│       ├── composables/     组合式函数（主题等）
│       ├── router/          路由与守卫
│       ├── store/           登录态（reactive，非 Pinia）
│       ├── styles/          设计令牌与 Element Plus 覆盖（7 个 scss）
│       ├── utils/           格式化、剪贴板等工具
│       └── views/           13 个页面
│
├── deploy/                  【生产部署资产】
│   ├── nginx/               反向代理配置（HTTP 与 TCP stream）
│   ├── security/            DDoS 加固：sysctl 参数、fail2ban 规则、封禁名单示例
│   └── systemd/             客户端 systemd 服务单元
│
├── docs/                    【项目文档，4 份】
│   ├── deployment-checklist.md   上线前检查清单
│   ├── docker-build.md           Docker 构建与 compose 部署记录
│   ├── security-audit.md         安全审计报告
│   └── ui-refactor.md            Web 界面改造记录（含红线合规表）
│
└── tools/pentest/           【渗透测试工具，6 个 Go 文件】
                             27 个测试用例，覆盖认证、DoS、注入、信息泄露

head -1 /vol1/1000/docker/halo/halo2/logs/halo.log

2026-09-13T18:41:58.626+08:00  INFO 1 --- [main] run.halo.app.Application
: Starting Application v2.26.1 using Java 21.0.12 with PID 1
(/application/application.jar started by root in /application)

curl.exe -s --noproxy '*' http://<内网IP>:28090/ | Select-String 'generator'

<meta name="generator" content="Halo 2.26.1"/>

docker inspect Halo --format 'Image={{.Config.Image}} ImageID={{.Image}} Created={{.Created}}'

Image=registry.fit2cloud.com/halo/halo-pro:2.26
ImageID=sha256:a6291a728a3033f0a24bde32ef641d5987180859de57514fde25d06838c84042
Created=2026-09-13T11:02:00.654239422Z
RepoDigest: registry.fit2cloud.com/halo/halo-pro@sha256:982c894493238bc778b9629c7c672c287805c671ddd85702c1aeae20edde85a7

/vol1/1000/docker/halo/
├── docker-compose.yaml      (1526 B, 权限 rwx------ ZYJ:Users, mtime 2026-09-13 18:50)
└── halo2/                   (Halo 工作目录, root:root, 绑定到容器 /root/.halo2)
    ├── backups/    (空)
    ├── indices/    (搜索索引, 含 halo/ 子目录)
    ├── keys/       (halo2.jks, pat_id_rsa, pat_id_rsa.pub)
    ├── logs/       (halo.log 671 KB)
    ├── plugins/    (20 个 jar + disabled.txt + configs/)
    └── themes/     (Ethereal/, theme-earth/)

services:
  halo:
    image: registry.fit2cloud.com/halo/halo-pro:2.26
    container_name: Halo
    restart: on-failure:3
    depends_on:
      halodb:
        condition: service_healthy
    networks: [halo_network]
    volumes:
      - ./halo2:/root/.halo2
    ports:
      - "28090:8090"
    healthcheck:
      test: ["CMD","curl","-f","http://<内网IP>:28090/actuator/health/readiness"]
      interval: 30s / timeout: 5s / retries: 5 / start_period: 30s
    environment:
      - JVM_OPTS=-Xmx256m -Xms256m
    command:
      - --spring.r2dbc.url=r2dbc:pool:postgresql://halodb/halo
      - --spring.r2dbc.username=halo
      - --spring.r2dbc.password=[redacted]      # 原值存在
      - --spring.sql.init.platform=postgresql
      - --halo.external-url=http://<内网IP>:28090/

  halodb:
    image: postgres:15.4
    container_name: PostgreSQL
    restart: on-failure:3
    volumes:
      - /vol1/1000/docker/PostgreSQL:/var/lib/postgresql/data
    environment:
      - POSTGRES_PASSWORD=[redacted]            # 原值存在
      - POSTGRES_USER=halo
      - POSTGRES_DB=halo
      - PGUSER=halo

networks:
  halo_network:

docker ps -a --format '{{.Names}}|{{.Image}}|{{.Status}}|{{.Ports}}'

Halo|registry.fit2cloud.com/halo/halo-pro:2.26|Up About an hour (healthy)|0.0.0.0:28090->8090/tcp
PostgreSQL|postgres:15.4|Up About an hour (healthy)|5432/tcp

docker exec PostgreSQL psql -U halo -d halo -tAc "select version();"

PostgreSQL 15.4 (Debian 15.4-2.pgdg120+1) on x86_64-pc-linux-gnu,
compiled by gcc (Debian 12.2.0-14) 12.2.0, 64-bit

curl.exe -s -o NUL -w "HTTP %{http_code} in %{time_total}s" --noproxy '*' http://<内网IP>:28090/actuator/health
curl.exe -s -o NUL -w "HTTP %{http_code} in %{time_total}s" https://<服务名>.tunnel.sushike.cloud/actuator/health

内网直连   HTTP 200 in 0.010253s
公网隧道   HTTP 200 in 0.079831s