kairee/debian
1
0
Fork 0
Code Pull Requests Packages Releases Activity

Compare commits

merge into: kairee/debian:master
Branches Tags
kairee/debian:master kairee/debian:test
...
pull from: kairee/debian:test
Branches Tags
kairee/debian:test kairee/debian:master

1 Commits
master ... test

Author SHA1 Message Date
kairee b4ac2bb580 fix: 加固 init-debian.sh 并清理数据包 
- init-debian.sh: 权限归一化(fix_data_permissions)、apt软链修复、
  用户创建错误检查、sshd/目录处理加固、密码安全(sshpass -e/base64)、
  tar路径穿越防护、失败任务汇总、日志输出
- data.tar.gz: 移除 openlist/ocsp/ofcss_cf 等冗余文件，letsencrypt.json
  移至 vols/certs 与 traefik storage 路径对齐
 2026-08-09 10:12:20 +08:00
2 changed files with 124 additions and 47 deletions
Expand all files Collapse all files
data.tar.gz
LFS
BIN
View File
Binary file not shown.
init-debian.sh
+119 -42
View File
@@ -90,8 +90,7 @@ accept_ssh_host_key() {
log_info "自动接受 SSH host key..."
# 使用 ssh-keyscan 获取并添加 host key
ssh-keyscan -p "$port" "$host" >> "$known_hosts_file" 2>/dev/null
if [ $? -eq 0 ]; then
if ssh-keyscan -p "$port" "$host" >> "$known_hosts_file" 2>/dev/null; then
chown kairee:kairee "$known_hosts_file"
chmod 600 "$known_hosts_file"
log_success "SSH host key 已添加"
@@ -108,15 +107,20 @@ if [[ $EUID -ne 0 ]]; then
exit 1
fi
# 输出同时写入日志文件，便于远程运行失败时回溯
LOG_FILE="/var/log/init-debian.log"
exec > >(tee -a "$LOG_FILE") 2>&1
log_info "日志文件: $LOG_FILE"
# 提示输入 kairee 用户密码
echo "========================================"
echo "Debian 系统初始化脚本"
echo "========================================"
echo
echo "请输入要为用户 'kairee' 设置的密码:"
read -s -p "密码: " USER_PASSWORD
read -rs -p "密码: " USER_PASSWORD
echo
read -s -p "确认密码: " USER_PASSWORD_CONFIRM
read -rs -p "确认密码: " USER_PASSWORD_CONFIRM
echo
# 验证密码
@@ -141,8 +145,17 @@ task_1_create_user() {
fi
mkdir -p /data/home
useradd -m -d /data/home/kairee -s /bin/bash -u 1000 -U kairee
echo "kairee:$USER_PASSWORD" | chpasswd
if ! useradd -m -d /data/home/kairee -s /bin/bash -u 1000 -U kairee; then
log_error "创建用户 'kairee' 失败"
return 1
fi
if ! chpasswd <<< "kairee:$USER_PASSWORD"; then
log_error "设置密码失败"
return 1
fi
chmod 700 /data/home/kairee
log_success "用户 'kairee' 创建成功 (uid=1000, 家目录: /data/home/kairee)"
return 0
}
@@ -158,7 +171,7 @@ task_2_download_data() {
if [ "$DATA_URL" = "https://example.com/path/to/data.tar.gz" ]; then
log_warning "未设置 DATA_URL，跳过下载步骤"
log_warning "你可以手动将 data 目录复制到 /data"
return 0
return 2
fi
TEMP_FILE=$(mktemp)
@@ -169,6 +182,13 @@ task_2_download_data() {
return 1
fi
# 路径穿越防护：拒绝包含绝对路径或 .. 路径的归档
if tar -tzf "$TEMP_FILE" | grep -qE '(^|/)\.\.(/|$)|^/'; then
log_error "归档包含绝对路径或 .. 路径，已拒绝解压"
rm -f "$TEMP_FILE"
return 1
fi
log_info "解压到 /data..."
mkdir -p /data
if ! tar -xzf "$TEMP_FILE" -C /; then
@@ -178,14 +198,43 @@ task_2_download_data() {
fi
rm -f "$TEMP_FILE"
# 归一化权限，修复归档中携带的 777/666 等异常权限
fix_data_permissions
log_success "数据包下载并解压完成"
return 0
}
# 归一化 /data 权限：目录 755、普通文件 644、脚本 755；并修正 kairee 家目录与 SSH 权限
fix_data_permissions() {
if [ ! -d /data ]; then
return 0
fi
log_info "归一化 /data 权限（目录 755，文件 644，脚本 755）..."
find /data -type d -exec chmod 755 {} +
find /data -type f -exec chmod 644 {} +
find /data -type f \( -path "/data/scripts/*" -o -name "*.sh" \) -exec chmod 755 {} +
if id "kairee" &>/dev/null && [ -d /data/home/kairee ]; then
log_info "修正 kairee 家目录与 SSH 权限..."
chown -R kairee:kairee /data/home/kairee
chmod 700 /data/home/kairee
chmod 700 /data/home/kairee/.ssh 2>/dev/null
chmod 600 /data/home/kairee/.ssh/id_ed25519 2>/dev/null
chmod 600 /data/home/kairee/.ssh/known_hosts 2>/dev/null
chmod 644 /data/home/kairee/.ssh/id_ed25519.pub 2>/dev/null
fi
log_success "/data 权限归一化完成"
}
task_3_install_packages() {
apt-get update || return 1
apt-get install --no-install-recommends -y sudo vim rsync curl sshpass cron || return 1
apt-get reinstall -y openssl openssh-server || return 1
apt-get install -y --reinstall openssl openssh-server || return 1
log_success "基础软件包安装完成"
return 0
}
@@ -228,11 +277,7 @@ task_5_configure_apt() {
filename=$(basename "$src_file")
target_file="/etc/apt/sources.list.d/$filename"
if [ -L "$target_file" ]; then
rm -f "$target_file"
fi
ln -s "$src_file" "$target_file"
ln -sf "$src_file" "$target_file"
log_success "创建软链接: $src_file -> $target_file"
fi
done
@@ -254,6 +299,12 @@ task_6_configure_docker() {
ln -sf /data/etc/docker/daemon.json /etc/docker/daemon.json
log_success "创建 Docker daemon 配置软链接"
if command -v docker >/dev/null 2>&1 && systemctl restart docker 2>/dev/null; then
log_success "Docker 已重启，新配置已生效"
else
log_warning "Docker 重启失败，配置将在 Docker 下次启动时生效"
fi
return 0
}
@@ -271,6 +322,11 @@ task_7_configure_ssh() {
ln -sf /data/etc/ssh/sshd_config /etc/ssh/sshd_config
log_success "创建 SSH 配置软链接"
if ! sshd -t; then
log_error "sshd 配置语法检查失败，已跳过重启"
return 1
fi
systemctl restart sshd || systemctl restart ssh
log_success "SSH 服务已重启"
return 0
@@ -301,8 +357,8 @@ task_10_create_home_link() {
fi
if [ -e "/home/kairee" ] && [ ! -L "/home/kairee" ]; then
log_warning "/home/kairee 已存在但不是软链接，将被删除并重新创建"
rm -rf /home/kairee
log_warning "/home/kairee 已存在但不是软链接，将被移动到 /home/kairee.old 备份"
mv /home/kairee /home/kairee.old
fi
if [ -L "/home/kairee" ] && [ "$(readlink /home/kairee)" != "/data/home/kairee" ]; then
@@ -343,8 +399,7 @@ task_11_generate_ssh_key() {
fi
# 使用 kairee 用户身份生成密钥
sudo -u kairee ssh-keygen -m PEM -t ed25519 -f "$SSH_PRIVATE_KEY" -N ""
if [ $? -eq 0 ]; then
if sudo -u kairee ssh-keygen -t ed25519 -f "$SSH_PRIVATE_KEY" -N ""; then
log_success "生成 SSH 密钥对完成（kairee 用户）"
log_info "私钥: $SSH_PRIVATE_KEY"
log_info "公钥: $SSH_PUBLIC_KEY"
@@ -358,7 +413,6 @@ task_11_generate_ssh_key() {
task_12_copy_ssh_key() {
REMOTE_HOST="qc5.ofcdn.cn"
REMOTE_PORT="46571"
REMOTE_USER="kairee"
REMOTE_SSH_COPY_ID_USER="kairee"
# 使用 kairee 用户的家目录
@@ -377,6 +431,9 @@ task_12_copy_ssh_key() {
# 密码重试机制
MAX_RETRIES=3
RETRY_COUNT=0
TEMP_SCRIPT="${KAIREE_HOME}/.ssh/temp_ssh_copy_$$.sh"
# 无论成功失败或脚本被中断，都清理含密码的临时脚本并清除密码变量
trap 'rm -f "$TEMP_SCRIPT" 2>/dev/null; unset REMOTE_SSH_PASSWORD SSHPASS_B64' EXIT
while [ $RETRY_COUNT -lt $MAX_RETRIES ]; do
echo
@@ -389,13 +446,13 @@ task_12_copy_ssh_key() {
fi
echo
echo "请输入 $REMOTE_SSH_COPY_ID_USER 在 $REMOTE_HOST 上的 SSH 密码:"
read -s -p "SSH 密码: " REMOTE_SSH_PASSWORD
read -rs -p "SSH 密码: " REMOTE_SSH_PASSWORD
echo
if [ -z "$REMOTE_SSH_PASSWORD" ]; then
log_warning "未输入 SSH 密码"
if [ $RETRY_COUNT -lt $((MAX_RETRIES - 1)) ]; then
read -p "是否继续重试？(y/n): " CONTINUE
read -rp "是否继续重试？(y/n): " CONTINUE
if [ "$CONTINUE" != "y" ] && [ "$CONTINUE" != "Y" ]; then
log_warning "用户取消，跳过 ssh-copy-id"
return 0
@@ -409,15 +466,18 @@ task_12_copy_ssh_key() {
log_info "正在尝试复制公钥到远程服务器（使用 kairee 用户的密钥）..."
# 在 kairee 用户目录下创建临时脚本文件（避免 /tmp 权限问题）
TEMP_SCRIPT="${KAIREE_HOME}/.ssh/temp_ssh_copy_$$.sh"
mkdir -p "${KAIREE_HOME}/.ssh"
chown kairee:kairee "${KAIREE_HOME}/.ssh"
# 密码经 base64 传入避免特殊字符转义问题，用 sshpass -e 避免密码出现在进程列表
SSHPASS_B64=$(printf '%s' "$REMOTE_SSH_PASSWORD" | base64 -w0)
# 先测试连接并接受 host key（这会自动将 host key 添加到 kairee 用户的 known_hosts）
# 使用 sudo -u kairee tee 来创建文件，确保文件所有者是 kairee
sudo -u kairee tee "$TEMP_SCRIPT" > /dev/null << EOF
#!/bin/bash
sshpass -p "$REMOTE_SSH_PASSWORD" ssh -p "$REMOTE_PORT" \
export SSHPASS=\$(printf '%s' "$SSHPASS_B64" | base64 -d)
sshpass -e ssh -p "$REMOTE_PORT" \
-o StrictHostKeyChecking=accept-new \
-o PasswordAuthentication=yes \
-o UserKnownHostsFile="$SSH_KNOWN_HOSTS" \
@@ -433,7 +493,8 @@ EOF
# 连接成功，现在复制公钥（此时 host key 已确认，使用 StrictHostKeyChecking=no）
sudo -u kairee tee "$TEMP_SCRIPT" > /dev/null << EOF
#!/bin/bash
sshpass -p "$REMOTE_SSH_PASSWORD" ssh-copy-id -p "$REMOTE_PORT" \
export SSHPASS=\$(printf '%s' "$SSHPASS_B64" | base64 -d)
sshpass -e ssh-copy-id -p "$REMOTE_PORT" \
-o StrictHostKeyChecking=no \
-o UserKnownHostsFile="$SSH_KNOWN_HOSTS" \
"$REMOTE_SSH_COPY_ID_USER@$REMOTE_HOST"
@@ -510,8 +571,7 @@ task_13_add_cron() {
fi
# 添加到 kairee 用户的 crontab
(sudo -u kairee crontab -l 2>/dev/null; echo "$CRON_CMD") | sudo -u kairee crontab -
if [ $? -eq 0 ]; then
if (sudo -u kairee crontab -l 2>/dev/null; echo "$CRON_CMD") | sudo -u kairee crontab -; then
log_success "定时任务已添加到 kairee 用户的 crontab"
log_info "执行时间: 每天 $RANDOM_HOUR:$RANDOM_MINUTE"
log_info "命令: /data/scripts/certs.sh >> /data/certs/sync.log 2>&1"
@@ -527,57 +587,73 @@ echo
log_info "开始执行初始化任务..."
echo
# 保存原始参数（用于任务2）
ORIGINAL_ARGS="$@"
# 记录失败任务，结束时汇总
FAILED_TASKS=()
# 任务1: 创建用户 kairee
execute_task "task_1" "创建用户 kairee" task_1_create_user || log_warning "任务1失败，继续执行后续任务"
execute_task "task_1" "创建用户 kairee" task_1_create_user || { log_warning "任务1失败，继续执行后续任务"; FAILED_TASKS+=("task_1"); }
# 任务2: 下载并解压数据包（需要特殊处理参数）
if task_completed "task_2"; then
log_info "任务 task_2: 下载并解压数据包 - 已完成，跳过"
else
log_info "执行任务 task_2: 下载并解压数据包..."
if task_2_download_data $ORIGINAL_ARGS; then
task_2_download_data "$@"
case $? in
0)
mark_task_completed "task_2"
log_success "任务 task_2 完成"
else
;;
2)
log_warning "未提供数据包 URL，跳过下载（未标记完成，可在重跑时传入 URL 参数）"
;;
*)
log_warning "任务2失败，继续执行后续任务"
fi
FAILED_TASKS+=("task_2")
;;
esac
fi
# 任务3: 安装软件包
execute_task "task_3" "安装基础软件包" task_3_install_packages || log_warning "任务3失败，继续执行后续任务"
execute_task "task_3" "安装基础软件包" task_3_install_packages || { log_warning "任务3失败，继续执行后续任务"; FAILED_TASKS+=("task_3"); }
# 任务4: 安装 Docker
execute_task "task_4" "安装 Docker CE" task_4_install_docker || log_warning "任务4失败，继续执行后续任务"
execute_task "task_4" "安装 Docker CE" task_4_install_docker || { log_warning "任务4失败，继续执行后续任务"; FAILED_TASKS+=("task_4"); }
# 任务5: 配置 apt 源
execute_task "task_5" "配置 apt 源" task_5_configure_apt || log_warning "任务5失败，继续执行后续任务"
execute_task "task_5" "配置 apt 源" task_5_configure_apt || { log_warning "任务5失败，继续执行后续任务"; FAILED_TASKS+=("task_5"); }
# 任务6: 配置 Docker daemon
execute_task "task_6" "配置 Docker daemon" task_6_configure_docker || log_warning "任务6失败，继续执行后续任务"
execute_task "task_6" "配置 Docker daemon" task_6_configure_docker || { log_warning "任务6失败，继续执行后续任务"; FAILED_TASKS+=("task_6"); }
# 任务7: 配置 SSH
execute_task "task_7" "配置 SSH" task_7_configure_ssh || log_warning "任务7失败，继续执行后续任务"
execute_task "task_7" "配置 SSH" task_7_configure_ssh || { log_warning "任务7失败，继续执行后续任务"; FAILED_TASKS+=("task_7"); }
# 任务8: 配置 sudoers
execute_task "task_8" "配置 sudoers" task_8_configure_sudoers || log_warning "任务8失败，继续执行后续任务"
execute_task "task_8" "配置 sudoers" task_8_configure_sudoers || { log_warning "任务8失败，继续执行后续任务"; FAILED_TASKS+=("task_8"); }
# 任务9: 添加 kairee 到 docker 组
execute_task "task_9" "添加 kairee 到 docker 组" task_9_add_docker_group || log_warning "任务9失败，继续执行后续任务"
execute_task "task_9" "添加 kairee 到 docker 组" task_9_add_docker_group || { log_warning "任务9失败，继续执行后续任务"; FAILED_TASKS+=("task_9"); }
# 任务10: 创建家目录软链接
execute_task "task_10" "创建家目录软链接" task_10_create_home_link || log_warning "任务10失败，继续执行后续任务"
execute_task "task_10" "创建家目录软链接" task_10_create_home_link || { log_warning "任务10失败，继续执行后续任务"; FAILED_TASKS+=("task_10"); }
# 任务11: 生成 SSH 密钥对
execute_task "task_11" "生成 SSH 密钥对" task_11_generate_ssh_key || log_warning "任务11失败，继续执行后续任务"
execute_task "task_11" "生成 SSH 密钥对" task_11_generate_ssh_key || { log_warning "任务11失败，继续执行后续任务"; FAILED_TASKS+=("task_11"); }
# 任务12: 复制公钥到远程服务器
execute_task "task_12" "复制公钥到远程服务器" task_12_copy_ssh_key || log_warning "任务12失败，继续执行后续任务"
execute_task "task_12" "复制公钥到远程服务器" task_12_copy_ssh_key || { log_warning "任务12失败，继续执行后续任务"; FAILED_TASKS+=("task_12"); }
# 任务13: 添加定时任务
execute_task "task_13" "添加定时任务" task_13_add_cron || log_warning "任务13失败，继续执行后续任务"
execute_task "task_13" "添加定时任务" task_13_add_cron || { log_warning "任务13失败，继续执行后续任务"; FAILED_TASKS+=("task_13"); }
# 失败任务汇总
if [ ${#FAILED_TASKS[@]} -gt 0 ]; then
log_warning "以下任务执行失败: ${FAILED_TASKS[*]}"
log_warning "可通过删除 $STATUS_FILE 中对应任务 ID 后重跑，或检查日志 $LOG_FILE"
else
log_success "所有任务均执行成功"
fi
echo
echo "========================================"
@@ -598,6 +674,7 @@ else
fi
echo
echo "状态文件: $STATUS_FILE"
echo "日志文件: $LOG_FILE"
echo "如需重新执行某个任务，可以编辑状态文件删除对应的任务ID"
echo