Blog部署下云过程记录

#!/bin/bash
set -euo pipefail

######################## 配置项（只需改这里）########################
# 部署用户名
DEPLOY_USER="gitea-deploy-user"
# 你的两个网站目录，改成你实际路径
DIR_TEST="/var/www/test-web"
DIR_PROD="/var/www/prod-web"
#####################################################################

echo "===== 1. 创建低权限部署用户 ====="
# 创建用户，使用 /bin/bash（必须，解决rsync协议报错）
useradd -m -s /bin/bash "${DEPLOY_USER}" || echo "用户已存在，跳过创建"

echo "===== 2. 生成Gitea部署专用SSH密钥 ====="
DEPLOY_HOME="/home/${DEPLOY_USER}"
SSH_DIR="${DEPLOY_HOME}/.ssh"
mkdir -p "${SSH_DIR}"
chmod 700 "${SSH_DIR}"
chown -R "${DEPLOY_USER}:${DEPLOY_USER}" "${SSH_DIR}"

# 生成无密码ed25519密钥
sudo -u "${DEPLOY_USER}" ssh-keygen -t ed25519 -C "gitea-action-deploy@ci" -N "" -f "${SSH_DIR}/gitea_action_key"

echo "===== 3. 创建rsync专用验证脚本（仅允许rsync命令） ====="
VALIDATE_SCRIPT="${DEPLOY_HOME}/validate-rsync.sh"
cat > "${VALIDATE_SCRIPT}" << 'EOF'
#!/bin/bash
# 仅允许rsync服务端命令执行
if [[ "$SSH_ORIGINAL_COMMAND" =~ ^rsync\ --server\  ]]; then
    exec $SSH_ORIGINAL_COMMAND
else
    echo "Access denied"
    exit 1
fi
EOF

# 脚本权限
chmod +x "${VALIDATE_SCRIPT}"
chown "${DEPLOY_USER}:${DEPLOY_USER}" "${VALIDATE_SCRIPT}"

echo "===== 4. 写入受限公钥（企业级安全：仅允许rsync） ====="
PUB_KEY=$(cat "${SSH_DIR}/gitea_action_key.pub")
AUTH_KEYS="${SSH_DIR}/authorized_keys"

# 安全限制：仅允许执行rsync脚本 + 禁止转发 + 安全加固
LIMITS="command=\"${VALIDATE_SCRIPT}\",no-port-forwarding,no-agent-forwarding,no-X11-forwarding"
echo "${LIMITS} ${PUB_KEY}" > "${AUTH_KEYS}"

# SSH强制权限要求
chmod 600 "${AUTH_KEYS}"
chown -R "${DEPLOY_USER}:${DEPLOY_USER}" "${SSH_DIR}"

echo "===== 5. 授权网站目录权限 ====="
mkdir -p "${DIR_TEST}" "${DIR_PROD}"
chown -R "${DEPLOY_USER}:${DEPLOY_USER}" "${DIR_TEST}" "${DIR_PROD}"
chmod -R 755 "${DIR_TEST}" "${DIR_PROD}"

echo -e "\n==================== 部署配置完成 ===================="
echo "【部署用户名】：${DEPLOY_USER}"
echo "【测试环境目录】：${DIR_TEST}"
echo "【生产环境目录】：${DIR_PROD}"
echo -e "\n🔑 【Gitea仓库密钥 SSH_PRIVATE_KEY 完整内容】："
cat "${SSH_DIR}/gitea_action_key"
echo -e "\n======================================================"
echo "✅ 安全状态：仅允许rsync文件同步，无法登录服务器、无法执行系统命令"
echo "✅ 部署状态：完美兼容Gitea Actions rsync部署"
echo "======================================================"

chmod +x deploy-init.sh
./deploy-init.sh