后端前端運(yùn)維MCP 服務(wù)【免費(fèi)下載鏈接】nginx-uiYet another WebUI for Nginx項(xiàng)目地址https://gitcode.com/gh_mirrors/ngi/nginx-ui點(diǎn)擊查看免費(fèi)下載nginx-ui ctl是 Nginx UI 內(nèi)置的遠(yuǎn)程管理客戶端它通過實(shí)例自身的管理 API 操作正在運(yùn)行的 Nginx UI專為基礎(chǔ)設(shè)施即代碼IaC、配置即代碼CaC、部署自動(dòng)化和遠(yuǎn)程運(yùn)維場(chǎng)景設(shè)計(jì)。本文以官方文檔 docs/guide/cli.md 為主線結(jié)合倉(cāng)庫(kù)內(nèi)internal/cmd/ctl.go等核心源碼完整講解令牌體系、客戶端配置、常用操作、通用 API 調(diào)用與令牌生命周期管理幫助你寫出可審計(jì)、可復(fù)用、不泄露密鑰的自動(dòng)化腳本。ctl 命令在 Nginx UI 中的定位在 Nginx UI 的可執(zhí)行文件中ctl是注冊(cè)在頂層命令下的一個(gè)子命令見 internal/cmd/main.go與serve、reset-password、cert、host-setup等并列。它的完整定義位于 internal/cmd/ctl.go命令行為不需要與 Nginx UI 部署在同一臺(tái)機(jī)器只要網(wǎng)絡(luò)可達(dá)即可通過 HTTP(S) 調(diào)用管理 API認(rèn)證采用Authorization: Bearer token頭見 internal/cmd/ctl.go全部輸出為格式化后的 JSON便于在 CI/CD 管道、腳本中繼續(xù)解析。這意味著你可以在本地開發(fā)機(jī)、GitHub Actions Runner、Jenkins Agent 或 Kubernetes Job 中用同一套 CLI 管理遠(yuǎn)端 Nginx UI 實(shí)例而無需登錄 Web 界面。第一步創(chuàng)建訪問令牌在 Web 界面中創(chuàng)建以管理員身份登錄 Nginx UI。打開Preferences Access Tokens對(duì)應(yīng)前端頁(yè)面 app/src/views/preference/tabs/AccessTokens.vue。按最小權(quán)限原則創(chuàng)建令牌只授予任務(wù)所需的最小 scope并設(shè)置過期時(shí)間。立即復(fù)制令牌。Nginx UI 不會(huì)再次顯示它——數(shù)據(jù)庫(kù)里只保存驗(yàn)證器verifier不保存明文令牌。API 權(quán)限范圍ScopeScope訪問權(quán)限api:read管理 API 的GET、HEAD、OPTIONS請(qǐng)求api:write管理 API 的變更請(qǐng)求同時(shí)包含 API 讀權(quán)限在源碼中scope 常量定義于 model/mcp_service_token.go除 API scope 外還有獨(dú)立的 MCP scopeMCPTokenScopeRead mcp:read MCPTokenScopeWrite mcp:write APITokenScopeRead api:read APITokenScopeWrite api:writescope 的包含關(guān)系由 internal/mcp/service_token.go 中的HasScope實(shí)現(xiàn)api:write隱式包含api:readmcp:write隱式包含mcp:read但MCP 權(quán)限與 API 權(quán)限彼此獨(dú)立。授予mcp:write不會(huì)獲得管理 API 訪問權(quán)限授予api:write也不會(huì)獲得 MCP 訪問權(quán)限。服務(wù)令牌的權(quán)限邊界服務(wù)令牌service token即nui_pat_前綴的令牌無法執(zhí)行以下操作訪問交互式賬戶安全操作如雙因素認(rèn)證相關(guān)流程創(chuàng)建或修改交互式用戶查看受保護(hù)設(shè)置對(duì)應(yīng)管理 API 中的settings/protected接口管理其他服務(wù)令牌打開 Web 終端。api:read可以列出和查看用戶但用戶的創(chuàng)建、修改、刪除和恢復(fù)必須使用已認(rèn)證的交互式管理員會(huì)話。這一限制在客戶端側(cè)也有兜底requireInteractiveAdministratorToken會(huì)直接拒絕nui_pat_前綴的令牌執(zhí)行用戶管理類操作見 internal/cmd/ctl.go并有一一對(duì)應(yīng)的單元測(cè)試見 internal/cmd/ctl_test.go。配置 ctl 客戶端端點(diǎn)與令牌設(shè)置訪問端點(diǎn)并將令牌保存在僅運(yùn)行自動(dòng)化的賬號(hào)可讀的文件中export NGINX_UI_CTL_ENDPOINThttps://nginx-ui.example.com nginx-ui ctl --token-file /run/secrets/nginx-ui-token users list端點(diǎn)與令牌的提供方式如下表配置項(xiàng)提供方式優(yōu)先級(jí)/說明端點(diǎn)--endpoint或環(huán)境變量NGINX_UI_CTL_ENDPOINT命令行優(yōu)先環(huán)境變量兜底令牌--token-file、--token-stdin或環(huán)境變量NGINX_UI_CTL_TOKEN建議優(yōu)先使用密鑰文件或標(biāo)準(zhǔn)輸入從源碼看internal/cmd/ctl.gonewCtlClient會(huì)先取--endpoint為空時(shí)回落到NGINX_UI_CTL_ENDPOINT端點(diǎn)必須是合法的http/httpsURL 且不能包含用戶信息userinfo否則直接報(bào)錯(cuò)。令牌的讀取邏輯見 internal/cmd/ctl.go--token-stdin與--token-file互斥都不提供時(shí)才讀NGINX_UI_CTL_TOKEN且所有輸入都會(huì)做 16 MiB 上限校驗(yàn)與首尾空白裁剪。安全建議優(yōu)先使用密鑰文件或標(biāo)準(zhǔn)輸入避免令牌出現(xiàn)在命令歷史或進(jìn)程參數(shù)如ps中。在容器/CI 場(chǎng)景中/run/secrets/...或環(huán)境注入的密鑰文件是常見做法。私有 CA 與集群節(jié)點(diǎn)路由如果 Nginx UI 使用私有 CA 簽發(fā) TLS 證書用--ca-file傳入 PEM 格式的 CA 證書鏈。源碼會(huì)在系統(tǒng)證書池基礎(chǔ)上追加該 CAinternal/cmd/ctl.go并強(qiáng)制tls.Config.MinVersion tls.VersionTLS12拒絕低于 TLS 1.2 的握手。使用--node-id可將支持的請(qǐng)求路由到指定集群節(jié)點(diǎn)。客戶端會(huì)把它轉(zhuǎn)換為X-Node-ID請(qǐng)求頭internal/cmd/ctl.go其值必須是合法的無符號(hào)整數(shù)internal/cmd/ctl.go。另外--timeout可設(shè)置請(qǐng)求超時(shí)時(shí)間默認(rèn) 30 秒internal/cmd/ctl.go。常見操作用戶管理使用api:read服務(wù)令牌列出用戶nginx-ui ctl --token-file /run/secrets/nginx-ui-token users list使用交互式管理員令牌創(chuàng)建用戶nginx-ui ctl --token-file /run/secrets/admin-session-token users create \ --name deploy-user --password-file /run/secrets/deploy-user-passwordusers create的實(shí)現(xiàn)要點(diǎn)internal/cmd/ctl.go--name為必填密碼通過--password-file或--password-stdin提供兩者互斥且不能與--token-stdin同時(shí)使用因?yàn)闃?biāo)準(zhǔn)輸入同時(shí)只能給一個(gè)數(shù)據(jù)源密碼長(zhǎng)度上限為20 個(gè)字符按 Unicode 字符計(jì)數(shù)見 internal/cmd/ctl.go超長(zhǎng)會(huì)報(bào)password must not exceed 20 characters該規(guī)則有專門測(cè)試覆蓋internal/cmd/ctl_test.go該操作內(nèi)部走executeInteractiveCtlRequest即要求交互式管理員令牌。關(guān)于初始用戶在跳過安裝流程skip-installation的部署中預(yù)置用戶環(huán)境變量仍可用于初始化首個(gè)用戶。安裝完成后新增用戶應(yīng)通過 Web 界面或使用交互式管理員令牌執(zhí)行ctl users create。已啟用雙因素認(rèn)證2FA的管理員應(yīng)使用 Web 界面以便完成安全會(huì)話secure session驗(yàn)證——從源碼看令牌管理與用戶管理相關(guān)接口都掛在RequireSecureSession中間件之后見 mcp/service_tokens.go該中間件要求完成 2FA 校驗(yàn)才放行internal/middleware/secure_session.go。證書管理列出證書并注冊(cè) Nginx UI 服務(wù)器上已存在的證書文件nginx-ui ctl --token-file /run/secrets/nginx-ui-token certificates list nginx-ui ctl --token-file /run/secrets/nginx-ui-token certificates import \ --name example.com \ --cert /etc/nginx/ssl/example.com/fullchain.pem \ --key /etc/nginx/ssl/example.com/privkey.pemcertificates別名certs子命令的實(shí)現(xiàn)見 internal/cmd/ctl.goimport的--cert與--key為必填指向Nginx UI 服務(wù)器本地的文件路徑不是在客戶端機(jī)器上讀取文件內(nèi)容再上傳可選的--key-type用于覆蓋私鑰類型專用證書命令會(huì)從輸出中遞歸刪除ssl_certificate與ssl_certificate_key字段避免 CI 日志捕獲密鑰材料。這是通過redactJSONFields實(shí)現(xiàn)的internal/cmd/ctl.go測(cè)試TestRedactJSONFieldsRecursivelyRemovesCertificateMaterial驗(yàn)證了即使在嵌套 JSON 中也能完整清除internal/cmd/ctl_test.go。Nginx 控制nginx-ui ctl --token-file /run/secrets/nginx-ui-token nginx status nginx-ui ctl --token-file /run/secrets/nginx-ui-token nginx test nginx-ui ctl --token-file /run/secrets/nginx-ui-token nginx reload nginx-ui ctl --token-file /run/secrets/nginx-ui-token nginx restart這四個(gè)子命令通過一張路由表批量生成internal/cmd/ctl.gostatus走GET /api/nginx/statustest、reload、restart分別走POST /api/nginx/test、/api/nginx/reload、/api/nginx/restart。由于api:write覆蓋這些變更操作運(yùn)行test/reload/restart需要api:write或更高權(quán)限的令牌。調(diào)用任意管理 API通用api子命令可覆蓋尚未提供專用命令的管理操作nginx-ui ctl --token-file /run/secrets/nginx-ui-token api sites?page1 nginx-ui ctl --token-file /run/secrets/nginx-ui-token api \ --method POST --data-file site.json sitesapi子命令的參數(shù)internal/cmd/ctl.go參數(shù)說明PATH位置參數(shù)必填。API 路徑可攜帶查詢字符串--methodHTTP 方法默認(rèn)GET--data直接以字符串傳入 JSON 請(qǐng)求體--data-file從文件讀取 JSON 請(qǐng)求體與--data互斥路徑解析與安全邊界路徑會(huì)解析到/api之下internal/cmd/ctl.go具體規(guī)則相對(duì)路徑如sites?page1會(huì)拼接為endpoint/api/sites?page1若路徑本身已以/api開頭如/api/nginx/status則按原樣使用不重復(fù)拼接查詢字符串被保留拒絕絕對(duì) URL如https://attacker.test/api/users防止憑據(jù)被重定向到其他主機(jī)客戶端還禁用了自動(dòng)重定向CheckRedirect返回ErrUseLastResponse見 internal/cmd/ctl.go相關(guān)行為有測(cè)試TestCtlClientDoesNotFollowRedirects佐證internal/cmd/ctl_test.go。請(qǐng)求/響應(yīng)大小限制請(qǐng)求體和響應(yīng)體均限制為16 MiBmaxCLIInputSize 16 20見 internal/cmd/ctl.go。超限的文件、令牌輸入或 API 響應(yīng)都會(huì)返回明確的錯(cuò)誤避免內(nèi)存被異常數(shù)據(jù)撐爆。同時(shí)--data/--data-file提供的內(nèi)容必須是合法 JSONinternal/cmd/ctl.go非 JSON 請(qǐng)求體會(huì)在發(fā)送前被攔截。令牌生命周期管理創(chuàng)建、輪換和吊銷服務(wù)令牌需要交互式管理員令牌包括所需的雙因素驗(yàn)證nginx-ui ctl --token-file /run/secrets/admin-session-token tokens list nginx-ui ctl --token-file /run/secrets/admin-session-token tokens create \ --name ci --scope api:write --expires-at 2027-01-01T00:00:00Z nginx-ui ctl --token-file /run/secrets/admin-session-token tokens rotate TOKEN_ID nginx-ui ctl --token-file /run/secrets/admin-session-token tokens revoke TOKEN_ID各子命令的行為與后端實(shí)現(xiàn)mcp/service_tokens.go、internal/mcp/service_token.go子命令后端接口行為說明tokens listGET /api/service_tokens列出全部服務(wù)令牌不含明文tokens createPOST /api/service_tokens必填--name≤64 字符與--scope可重復(fù)api:read/api:write/mcp:read/mcp:write--expires-at接受 RFC3339 時(shí)間必須是未來時(shí)間tokens rotate TOKEN_IDPOST /api/service_tokens/:id/rotate輪換會(huì)立即使舊令牌失效——后端用新的隨機(jī) secret 重寫 verifier并清空last_used_attokens revoke TOKEN_IDDELETE /api/service_tokens/:id設(shè)置revoked_at時(shí)間戳吊銷為永久操作不可逆令牌的底層形態(tài)令牌格式為nui_pat_publicID_secretpublicID 為 12 字節(jié)隨機(jī)數(shù)Base64 URL 編碼后 16 字符secret 為 32 字節(jié)隨機(jī)數(shù)43 字符見 internal/mcp/service_token.go 與解析邏輯L187-L203。數(shù)據(jù)庫(kù)只保存由 HKDF 派生的 HMAC-SHA256 驗(yàn)證器L221-L237驗(yàn)證時(shí)使用常量時(shí)間比較subtle.ConstantTimeCompareL156有效防御時(shí)序側(cè)信道。此外令牌驗(yàn)證時(shí)同步刷新last_used_at字段便于審計(jì)與閑置清理管理端路由同時(shí)保留/api/mcp/tokens作為兼容別名mcp/service_tokens.go服務(wù)令牌的創(chuàng)建、輪換、吊銷接口除RequireInteractiveUser外還疊加了RequireSecureSession2FA 驗(yàn)證與RejectInDemo演示模式拒絕簽發(fā)防止演示訪問者濫用憑據(jù)兩道中間件mcp/service_tokens.go。安全設(shè)計(jì)要點(diǎn)小結(jié)綜合官方文檔與源碼nginx-ui ctl在安全上做了多層設(shè)計(jì)在自動(dòng)化腳本中應(yīng)保持這些默認(rèn)行為令牌最小化按需授予api:read/api:write設(shè)置過期時(shí)間服務(wù)令牌與交互式會(huì)話嚴(yán)格隔離。憑據(jù)不入?yún)?shù)優(yōu)先--token-file/--token-stdin/環(huán)境變量避免出現(xiàn)在進(jìn)程參數(shù)與 shell 歷史中。防憑據(jù)外泄拒絕絕對(duì) URL、禁用重定向跟隨、證書輸出遞歸脫敏、16 MiB 大小上限。強(qiáng) TLS 基線默認(rèn)最低 TLS 1.2支持--ca-file對(duì)接私有 CA。敏感操作要求交互式會(huì)話用戶管理、令牌生命周期管理強(qiáng)制交互式管理員令牌并疊加安全會(huì)話2FA校驗(yàn)。將這些實(shí)踐落實(shí)到 CI 流水線例如用nginx test校驗(yàn)配置后再nginx reload用certificates import注冊(cè)既有證書用api子命令對(duì)接尚未有專用命令的接口即可把 Nginx UI 納入標(biāo)準(zhǔn)的 GitOps / 配置即代碼工作流。若需對(duì)照中文資料可參閱倉(cāng)庫(kù)內(nèi)的 docs/zh_CN/guide/cli.md命令的完整實(shí)現(xiàn)與測(cè)試用例可深入閱讀 internal/cmd/ctl.go 與 internal/cmd/ctl_test.go。贊分享后端前端運(yùn)維MCP 服務(wù)【免費(fèi)下載鏈接】nginx-uiYet another WebUI for Nginx項(xiàng)目地址https://gitcode.com/gh_mirrors/ngi/nginx-ui點(diǎn)擊查看免費(fèi)下載相關(guān)推薦Nginx UI 命令行接口nginx-ui ctl實(shí)戰(zhàn)指南服務(wù)令牌、遠(yuǎn)程運(yùn)維與自動(dòng)化Nginx UI 命令行接口nginx ui ctl實(shí)戰(zhàn)指南服務(wù)令牌、遠(yuǎn)程運(yùn)維與自動(dòng)化 nginx ui ctl 是 Nginx UI 內(nèi)置的命令行管理工后端前端運(yùn)維MCP 服務(wù)專業(yè)終端視覺優(yōu)化指南iTerm2主題定制與美學(xué)實(shí)踐專業(yè)終端視覺優(yōu)化指南iTerm2主題定制與美學(xué)實(shí)踐 在當(dāng)今開發(fā)工作流中終端界面已成為程序員日常交互的核心環(huán)境。然而長(zhǎng)時(shí)間面對(duì)單調(diào)的默認(rèn)配色不僅會(huì)導(dǎo)致視覺疲開發(fā)工具Nginx UI 的 MCP 模塊為 AI Agent 提供 Nginx 配置管理與服務(wù)控制接口Nginx UI 的 MCP 模塊為 AI Agent 提供 Nginx 配置管理與服務(wù)控制接口 MCPModel Context Protocol模型上后端前端運(yùn)維MCP 服務(wù)創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考