devbox — 部署结构 & 操作手册

这台机器同时跑着生产站点 jinghao.site。整套 devbox 与它并存，全程守着一条底线：宁可 devbox 自己撞内存墙，也绝不拖垮 nginx。核心机制只有两块基石 —— Docker + tmux —— 外加一个把它们缝起来的薄脚本。全部可读、可改、可接管。

1一句话总览

ssh -t myserver-sg dev        # 弹菜单：选语言 + 项目名 → 落进 tmux → 敲 claude-go

2四层模型 —— 你操作时始终在其中一层

从外到里，每下一层多一层隔离。任何时候拿不准「我在第几层」，敲 hostname && whoami。

┌─ Layer 0  你的笔记本 (Windows / PowerShell)
│     │  ssh -t myserver-sg
│     ▼
├─ Layer 1  宿主机   root@阿里云ECS        ← Docker 住这层；生产站点也在这
│     │  docker exec  (devbox 替你做)         这层能 docker ps
│     ▼
├─ Layer 2  容器     dev@devbox-<proj>      ← 隔离沙箱：独立文件系统 / 用户 / 内存封顶
│     │  tmux attach  (devbox 替你做)         这层 docker ps 会 command not found
│     ▼
└─ Layer 3  tmux 会话 "main"                 ← 常驻层：断开不死，claude 跑在这

3三层持久化 —— 为什么合盖不丢

4镜像 —— 方式A：每语言一个预构建镜像

都 FROM devbox-base，所以 tmux / git / claude-code / claude-go / dev 用户全部共享继承。

5目录 / 卷 / 认证

认证走 MiniMax（非 Claude 官方账号）：ANTHROPIC_BASE_URL=https://api.minimaxi.com/anthropic，模型 MiniMax-M3。每次 docker run --env-file 注入，容器里没有任何 Anthropic 凭证。

6资源与安全护栏

7文件清单 —— 都是纯文本，可读可改

笔记本 ~/.ssh/config 里，本文所有命令的 myserver-sg = root@8.222.155.72（新加坡这台，装了 devbox）。另有 myserver-bj = 8.141.92.77，是另一台机器、没装 devbox，别搞混。密钥 id_ed25519；VS Code / 命令行 ssh 读同一份。

8操作：一条命令入口

日常就用这一条，弹菜单：

ssh -t myserver-sg dev

════════════  devbox 交互启动  ════════════
现有项目:
    1) myapp                [python, running]
    2) svc                  [java, exited]
    n) 新建一个
    q) 退出
选择（编号/n/q）: 1
→ 接入 myapp …
   [落进容器里的 tmux "main"]

没有项目时直接进新建流程（选语言 → 输项目名 → 建好并接入）。-t 不能漏 —— tmux 需要一个真终端。

9操作：devbox 命令表

知道自己要什么时，直接调，比菜单快。都能 ssh myserver-sg devbox … 远程执行（要落进 tmux 的加 -t）。

10操作：claude-go 一键起 claude

接进 tmux 后，一句话以 skip-permission 起 claude，不用手敲长参数：

claude-go

11操作：tmux 必修（只需两个动作）

12典型的一天

# 早上，开工
ssh -t myserver-sg dev            # 菜单选 myapp（或新建）→ 落进 main
claude-go                      # 起 claude，派活
#   … 给 claude 交代任务 …
Ctrl-b d                       # 合盖走人；claude 在容器里继续跑

# 中午回来，换了个地方
ssh -t myserver-sg dev            # 选 myapp → 回到 main → claude 还在原地，接着看

# 晚上，收工但想让它夜里接着跑
Ctrl-b d                       # 只 detach，别关容器
#   （若配了完成通知，跑完会推手机）

# 某天这个项目不要了
ssh myserver-sg devbox nuke myapp # 删容器+卷；/srv/dev/myapp 代码仍在

13代码怎么进 / 端口怎么出

代码进容器

容器内 /workspaces/<proj> 就是宿主 /srv/dev/<proj>，同一份文件。直接在里面 git clone：

cd /workspaces/myapp && git clone <你的仓库> .

dev server 端口出来（不 publish，走 ssh 隧道）

比如容器里跑了个服务在 :5173，想在笔记本浏览器看：先把宿主的端口转出来，再从宿主转进容器。最简单是让服务监听容器的 0.0.0.0，然后：

# 笔记本上另开一个终端
ssh -L 5173:localhost:5173 myserver-sg
# 然后在宿主再 -L 到容器，或直接用 docker 的端口——但本方案约定：
# 服务绑容器 0.0.0.0:5173，宿主用 docker exec 转发/或临时 -p 仅供本机，
# 对外一律只经 ssh 隧道，绝不 0.0.0.0 直接暴露。

14加一门新语言（比如 Go / Rust）

三步，跟你说一声我就做：

1. 照 langs/Dockerfile.python 的模式写一个 Dockerfile.go（FROM devbox-base + 装 Go）
2. 服务器上 docker build -t devbox-go:latest -f Dockerfile.go .（一次）
3. 在 devbox 脚本的 image_for_lang() 里加一行 go) echo 'devbox-go:latest';;

之后 devbox up proj go 就能用。dev 菜单里也加一个选项即可。

15故障恢复速查