CNB + 云服务器 通用 CI/CD 搭建指南（实战版）

目标：git push 一条命令 → 云端自动构建镜像 → 推送制品库 → SSH 部署到服务器 → 健康检查 → 失败自动回滚。 示例环境：CNB (cnb.cool) 作为代码托管 + CI + Docker 制品库；腾讯云轻量服务器（OpenCloudOS，宝塔面板）作为运行环境，运行时用 containerd + nerdctl。 全文使用占位符，套用时全局替换成你自己的值即可：

• <org>/<repo>：CNB 组织/仓库名（如 myteam/myapp）
• <服务器IP>：服务器公网 IP
• <项目名>：项目名（用于部署目录、systemd 服务名等）
• 端口示例用 3000，按你的应用改。

---

目录

• 一、架构总览与设计原则
• 二、准备工作清单
• 三、服务器环境搭建（containerd + nerdctl）
• 四、基础镜像预推到 CNB 制品库（关键步骤）
• 五、项目侧三个核心文件
• 六、部署凭证：密钥仓库 + imports
• 七、首次部署与验证
• 八、回滚机制
• 九、运维保障（systemd 自启，必配）
• 十、踩坑实录大全
• 十一、迁移到新项目的 Checklist

---

一、架构总览与设计原则

开发者 git push (master)
        │
        ▼
   cnb.cool（代码托管 + CI + 制品库，三合一）
        │  .cnb.yml 自动触发
        ├─ 阶段1 构建并推送镜像（CNB 云端，services: docker）
        │     基础镜像：docker.cnb.cool/<org>/<repo>/node:22  ← 预先镜像到自己的制品库
        │     docker build → 推送双标签：
        │        docker.cnb.cool/<org>/<repo>:<commit>   （不可变，审计/回滚用）
        │        docker.cnb.cool/<org>/<repo>:prod       （可变生产指针）
        │
        └─ 阶段2 部署（cnbcool/ssh 插件 → 云服务器）
              ssh root@服务器
                nerdctl compose pull && nerdctl compose up -d
                健康检查 localhost:3000（30s）
                失败 → 强制重建 → 仍失败 → 回滚 :prev

   云服务器（纯运行时，零构建）：
     containerd + nerdctl compose 拉 :prod 镜像运行

五条设计原则

1. 构建与部署彻底分离：构建全在云端，服务器只 pull + run，不碰源码、不装构建工具链。
2. 代码 + CI + 制品库同源：全部在 CNB，无外部镜像仓库（TCR/ACR）依赖，凭证管理简单。
3. 不可变制品 + 环境指针：<commit> 标签永不覆盖，用于溯源回滚；prod 是可变指针，服务器永远只认它。
4. 凭证分离：CI 推镜像用 CNB 自动注入的临时 CNB_TOKEN；服务器拉镜像用独立的只读部署令牌；SSH 用专用部署密钥。三者互不共享。
5. 发布必带健康检查与自动回滚：不健康自动回退上一版，不留半死状态。

为什么选 containerd + nerdctl 而不是 Docker？

• 无 dockerd 常驻守护进程，2GB 小内存机器更省资源；
• 与 Kubernetes 同款运行时，习惯可平移；
• nerdctl CLI 与 docker 几乎完全一致，nerdctl compose 平替 docker compose。
• 代价：有一些独有的坑（假 Up、XDG_RUNTIME_DIR、restart 策略不可靠），本文第十节全部给出对策。保留 Docker 也完全可行，只是多占一份内存。

---

二、准备工作清单

| 项 | 说明 | | --- | --- | | CNB 账号 + 仓库 | cnb.cool 新建仓库，记住默认分支（master/main，决定 .cnb.yml 顶层键） | | CNB 部署令牌 | 个人设置 → 访问令牌，生成只读/拉取权限令牌，服务器登录制品库用 | | 云服务器 | 任意 Linux（本文 OpenCloudOS，RPM 系用 dnf），放行业务端口（安全组 + 系统防火墙都要） | | SSH 部署密钥 | 服务器上生成专用密钥对（空密码，否则 CI 自动登录会卡住）：ssh-keygen -t ed25519 -f ~/.ssh/cnb_deploy_key，公钥追加进 ~/.ssh/authorized_keys，私钥后面填进密钥仓库 | | 部署目录 | mkdir -p /www/wwwroot/<项目名>，后续放 docker-compose.yml 和 .env |

若从旧 CI（如 Gitee Go + TCR）迁移，先清理旧容器/镜像/Agent/凭证：docker rm -f 旧容器 → docker rmi 旧镜像 → docker logout 旧仓库 → 卸载旧 Runner → 从 authorized_keys 删旧部署公钥（⚠️ 别误删日常登录密钥）→ 可选卸载 Docker 再装 containerd。

---

三、服务器环境搭建（containerd + nerdctl）

以下在服务器 root 执行。RPM 系（OpenCloudOS/TencentOS/CentOS）用 dnf；Debian 系换 apt。

3.1 安装 containerd

dnf install -y containerd
mkdir -p /etc/containerd
containerd config default > /etc/containerd/config.toml
sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml
systemctl enable --now containerd

3.2 安装 nerdctl + CNI 插件

⚠️ 实战教训：境内服务器直连 GitHub 大概率 curl: (56) 失败，ghproxy 也可能挂。最稳做法：本地电脑下载好，scp 上传到服务器 /tmp 再解压。

# 本地下载这两个文件（浏览器/代理均可），版本号按 release 页最新：
#   https://github.com/containerd/nerdctl/releases  → nerdctl-<版本>-linux-amd64.tar.gz
#   https://github.com/containernetworking/plugins/releases → cni-plugins-linux-amd64-v<版本>.tgz
# 本地 PowerShell 上传：
#   scp nerdctl-2.0.4-linux-amd64.tar.gz cni-plugins-linux-amd64-v1.6.0.tgz root@<服务器IP>:/tmp/

# 服务器解压安装
tar -C /usr/local/bin -xzf /tmp/nerdctl-2.0.4-linux-amd64.tar.gz nerdctl
chmod +x /usr/local/bin/nerdctl

# CNI 插件——重点！nerdctl compose 的 bridge 网络/端口映射必需，缺了容器起不来或端口不通
mkdir -p /opt/cni/bin
tar -C /opt/cni/bin -xzf /tmp/cni-plugins-linux-amd64-v1.6.0.tgz

# 验证
nerdctl version
nerdctl info    # 能看到 CNI 插件路径 /opt/cni/bin 即正常

buildctl not found 警告可忽略——服务器只运行不构建。

3.3 登录 CNB 制品库（一次性）

# 用户名是字面量 cnb（不是你的账号名！），密码是部署令牌
nerdctl login docker.cnb.cool -u cnb -p <你的只读部署令牌>

3.4 防火墙放行

firewall-cmd --permanent --add-port=3000/tcp && firewall-cmd --reload

同时在云控制台放行入站 TCP 3000（腾讯云轻量是「防火墙」标签页，CVM 是「安全组」）。

⚠️ 实战教训：宝塔面板 / 腾讯云控制台显示已放行 ≠ 规则真正生效。若外网仍不通且 iptables -L -n | grep 3000 查不到规则，手动加规则还不行时——重启实例，规则才会真正下发（详见坑 #6）。

---

四、基础镜像预推到 CNB 制品库（关键步骤）

为什么必须做：CNB 构建环境拉 Docker Hub 直连不稳定，且 docker.cnb.cool/docker.io/library/... 这种"代理路径"不存在（会报 403，CNB 制品库不是 Docker Hub 代理）。大厂在 CNB 上的标准玩法是：把基础镜像预先推到自己的制品库，构建全程只跟 docker.cnb.cool 打交道，零外部依赖。

一次性操作（在已登录 CNB 的服务器上执行最方便）：

# 1. 从境内可用源拉基础镜像（DaoCloud 实测可用）
nerdctl pull docker.m.daocloud.io/library/node:22

# 2. 打上自己制品库的标签
nerdctl tag docker.m.daocloud.io/library/node:22 docker.cnb.cool/<org>/<repo>/node:22

# 3. 推送（约 1.1GB，几分钟）
nerdctl push docker.cnb.cool/<org>/<repo>/node:22

# 4. 清理源标签
nerdctl rmi docker.m.daocloud.io/library/node:22

之后 Dockerfile 里 FROM docker.cnb.cool/<org>/<repo>/node:22 即可。基础镜像升级时重复这 4 步换个版本号。

镜像源实测记录（2026-07，CNB 构建环境）：

| 源 | 结果 | | --- | --- | | docker.m.daocloud.io/library/node:22 | ✅ 可用 | | docker.cnb.cool/docker.io/library/node:22 | ❌ 403（CNB 不是镜像代理） | | 阿里云 / 腾讯 mirror 域名 | ❌ insufficient_scope | | 南大 / 百度 / 网易 mirror | ❌ 403 / no such host | | Docker Hub 直连 | ❌ 不稳定，不建议赌 |

---

五、项目侧三个核心文件

5.1 Dockerfile（多阶段构建，Next.js standalone 示例）

# syntax=docker/dockerfile:1.4
# 多阶段构建：build 在 Linux 容器内完成，无需本地 WSL / Linux 环境。

# 阶段 1：依赖安装（基础镜像已镜像到 CNB 制品库，构建零外部依赖）
FROM docker.cnb.cool/<org>/<repo>/node:22 AS deps
WORKDIR /app
COPY package.json package-lock.json ./
# BuildKit 缓存挂载加速 npm 重复安装（层缓存之外的额外加速）
RUN --mount=type=cache,target=/root/.npm \
    npm config set registry https://registry.npmmirror.com && npm ci

# 阶段 2：构建
FROM docker.cnb.cool/<org>/<repo>/node:22 AS builder
WORKDIR /app
ENV NEXT_TELEMETRY_DISABLED=1
COPY --from=deps /app/node_modules ./node_modules
RUN mkdir -p /app/public   # Git 不跟踪空目录，防 COPY 失败
COPY . .
RUN npm run build

# 阶段 3：运行（非 root 用户 + 精简产物）
FROM docker.cnb.cool/<org>/<repo>/node:22 AS runner
WORKDIR /app
ENV NODE_ENV=production
ENV NEXT_TELEMETRY_DISABLED=1
ENV HOSTNAME=0.0.0.0
ENV PORT=3000
RUN groupadd -r nodejs --gid=1001 && useradd -r nextjs --uid=1001 --gid=nodejs
COPY --from=builder /app/.next/standalone ./
COPY --from=builder /app/.next/static ./.next/static
COPY --from=builder /app/public ./public
USER nextjs
EXPOSE 3000
CMD ["node", "server.js"]

要点：

• HOSTNAME=0.0.0.0 必须设，否则 Next.js 只监听 127.0.0.1，外网永远不通；
• 依赖缓存说明：CI 级 volumes: node_modules 缓存只适用于「在 CI 容器里直接 npm ci」的流水线；我们是 docker build 场景，Docker 层缓存 + BuildKit --mount=type=cache 才是正确等价物。

5.2 docker-compose.yml（放服务器，也进仓库留档）

services:
  web:
    # 服务器只拉制品库镜像运行，不构建、不碰源码
    image: docker.cnb.cool/<org>/<repo>:prod
    ports:
      - "3000:3000"
    # 运行期凭证从同级 .env 注入（服务器手动创建，不进镜像、不进仓库）
    env_file:
      - .env
    restart: unless-stopped   # 注意：containerd+nerdctl 下不完全可靠，需 systemd 兜底（第九节）

5.3 .cnb.yml（CNB 流水线，放仓库根目录）

# 顶层键 = 触发分支。仓库默认分支是 master 就写 master:，是 main 就写 main:，写错不触发！
master:
  push:
    - services:
        - docker
      # 从密钥仓库导入部署变量（私钥等敏感信息不进代码库），见第六节
      imports:
        - https://cnb.cool/<org>/secrets/-/blob/main/deploy.yml
      stages:
        - name: 构建并推送镜像
          image: docker:24
          script:
            # CNB_TOKEN / CNB_TOKEN_USER_NAME(=cnb) / CNB_DOCKER_REGISTRY /
            # CNB_REPO_SLUG_LOWERCASE / CNB_COMMIT 均由 CNB 自动注入，无需配置
            - docker login -u "${CNB_TOKEN_USER_NAME}" -p "${CNB_TOKEN}" "${CNB_DOCKER_REGISTRY}"
            - docker build
              -t "${CNB_DOCKER_REGISTRY}/${CNB_REPO_SLUG_LOWERCASE}:${CNB_COMMIT}"
              -t "${CNB_DOCKER_REGISTRY}/${CNB_REPO_SLUG_LOWERCASE}:prod"
              .
            - docker push "${CNB_DOCKER_REGISTRY}/${CNB_REPO_SLUG_LOWERCASE}:${CNB_COMMIT}"
            - docker push "${CNB_DOCKER_REGISTRY}/${CNB_REPO_SLUG_LOWERCASE}:prod"
        - name: 部署到服务器
          image: cnbcool/ssh
          settings:
            host: ${DEPLOY_HOST}
            port: 22
            username: ${DEPLOY_SSH_USER}
            key: ${DEPLOY_SSH_KEY}
            command_timeout: 3m
            # ⚠️ 最大的坑：settings.script 会先被 CNB 做变量插值（${DEPLOY_HOST} 就是这么生效的），
            # 脚本里自定义的 shell 变量（$C、${REG}、$i 等）会被当成流水线变量替换为【空】，
            # 例如 `$C compose pull` 会变成 `compose pull` 报 command not found。
            # 对策：脚本内全部写字面量，一个 shell 变量都不要用。
            script: |
              set -eu
              # 服务器重启后 /run/user/0 可能不存在，nerdctl 会报错，先补
              mkdir -p /run/user/0 && chmod 700 /run/user/0
              export XDG_RUNTIME_DIR=/run/user/0
              cd /www/wwwroot/<项目名>
              test -f docker-compose.yml || { echo "ERROR: docker-compose.yml 不存在，请先 scp 上来"; exit 1; }
              test -f .env || { echo "ERROR: .env 不存在，请先在服务器创建"; exit 1; }
              nerdctl tag docker.cnb.cool/<org>/<repo>:prod docker.cnb.cool/<org>/<repo>:prev 2>/dev/null || true
              nerdctl compose pull
              nerdctl compose up -d
              # 健康检查（用 timeout+until 规避 for $i 计数器被插值清空的问题）
              if timeout 30 sh -c 'until curl -fsS http://localhost:3000 >/dev/null 2>&1; do sleep 1; done'; then
                echo "deploy OK"
              else
                echo "health check failed -> force recreate"
                nerdctl compose down || true
                nerdctl compose up -d
                if timeout 30 sh -c 'until curl -fsS http://localhost:3000 >/dev/null 2>&1; do sleep 1; done'; then
                  echo "recreate OK"
                else
                  echo "still failing -> rollback to :prev"
                  nerdctl tag docker.cnb.cool/<org>/<repo>:prev docker.cnb.cool/<org>/<repo>:prod
                  nerdctl compose down || true
                  nerdctl compose up -d
                  exit 1
                fi
              fi

分支策略说明：只有顶层键写了的分支才触发。日常在 feature/develop 分支开发不会碰生产，合到 master 才发布——单人项目这就是最简也最安全的姿势。需要分支构建验证时另加：

develop:
  push:
    - stages:
        - name: 构建验证
          script: npm ci && npm run build

---

六、部署凭证：密钥仓库 + imports

CNB 没有「仓库设置 → 变量/密钥」界面（个人设置里的「个人环境变量」只对云原生开发环境生效，对 CI 构建无效，别配错地方）。官方给敏感信息用的机制是密钥仓库（secret repo）：

1. 打开 https://cnb.cool/new/repos，仓库类型选 「秘钥仓库」（不是普通仓库），命名如 <org>/secrets。
2. 在里面新建 deploy.yml（只能 Web 编辑、禁止 clone，内容不进代码/日志）：

# 可选：限制只有指定仓库能引用这份密钥
allow_slugs:
  - <org>/<repo>

DEPLOY_HOST: "<服务器IP>"
DEPLOY_SSH_USER: "root"
DEPLOY_SSH_KEY: |
  -----BEGIN OPENSSH PRIVATE KEY-----
  （服务器 /root/.ssh/cnb_deploy_key 私钥全文，逐行粘贴）
  -----END OPENSSH PRIVATE KEY-----

3. .cnb.yml 里 imports 引用它（见 5.3）。注意 imports URL 里的分支名（main/master）要和密钥仓库默认分支一致。
4. 必须先建好密钥仓库再 push 业务代码，否则首次构建因 imports 拉不到文件直接失败。

---

七、首次部署与验证

7.1 首次部署前置（流水线不传文件，这两样必须手动放）

# 本地上传 compose 文件
scp docker-compose.yml root@<服务器IP>:/www/wwwroot/<项目名>/

# 服务器创建运行期环境变量文件
vim /www/wwwroot/<项目名>/.env
# NODE_ENV=production
# 其余站点自定义变量...

7.2 推送触发

git remote add cnb https://cnb.cool/<org>/<repo>.git
git add .
git commit -m "ci: cnb pipeline"
git push cnb master

7.3 验证清单

1. CNB 流水线页面：两个 stage 全绿，阶段2 日志出现 deploy OK；
2. CNB 制品库出现 :prod 和 :<commit> 双标签；
3. 服务器 nerdctl ps 有 web 容器 Up；
4. 浏览器打开 http://<服务器IP>:3000。

⚠️ CNB 页面的「重试」按钮跑的是旧 commit 的配置。改了 .cnb.yml 必须 push 新 commit 才生效。

---

八、回滚机制

• 自动：部署健康检查 30s 不过 → 强制重建再试 30s → 仍失败自动把 :prev 指回 :prod 并重启，流水线标红。
• 手动（回退到任意历史版本）：

# 服务器上执行，<旧commit> 从 CNB 制品库标签列表里选
nerdctl pull docker.cnb.cool/<org>/<repo>:<旧commit>
nerdctl tag  docker.cnb.cool/<org>/<repo>:<旧commit> docker.cnb.cool/<org>/<repo>:prod
cd /www/wwwroot/<项目名> && nerdctl compose up -d

或直接 push 旧 commit 触发流水线重打 prod。

---

九、运维保障（systemd 自启，必配）

restart: unless-stopped 是 Docker Engine 语义，containerd + nerdctl 下服务器重启后容器不会自动拉起，且宝塔重置防火墙会把 nerdctl 端口转发干掉（"假 Up"）。用 systemd 兜底：

cat > /etc/systemd/system/<项目名>.service <<'EOF'
[Unit]
Description=<项目名> via nerdctl compose
After=network-online.target containerd.service
Wants=network-online.target containerd.service

[Service]
Type=oneshot
RemainAfterExit=yes
WorkingDirectory=/www/wwwroot/<项目名>
Environment=XDG_RUNTIME_DIR=/run/user/0
ExecStartPre=/usr/bin/mkdir -p /run/user/0
ExecStart=/usr/local/bin/nerdctl compose up -d
ExecStop=/usr/local/bin/nerdctl compose down
TimeoutStartSec=0

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable <项目名>
systemctl start <项目名>

之后：服务器重启自动拉起；宝塔动了防火墙导致不通时，一条 systemctl restart <项目名> 恢复。

---

十、踩坑实录大全

按实际搭建时踩坑的顺序整理，每条都是真实付出过调试时间的。

坑 1：docker.cnb.cool/docker.io/library/node:22 拉取 403

• 现象：构建阶段拉基础镜像直接 403 Forbidden。
• 根因：CNB 制品库只存自己的制品，不是 Docker Hub 代理，这个路径根本不存在。
• 对策：把基础镜像预推到自己的 CNB 制品库（第四节），构建零外部依赖。这也是 CNB 上成熟团队的标准做法（他们的流水线全部用 docker.cnb.cool/<自己org>/cmpdocker/... 基础镜像）。

坑 2：境内公共镜像源大面积不可用

• 现象：阿里云/腾讯 mirror 报 insufficient_scope，南大 403，百度/网易 no such host。
• 对策：实测只有 DaoCloud（docker.m.daocloud.io）可用，但也只拿它做"一次性搬运工"（拉一次推到 CNB），日常构建不依赖任何公共源。

坑 3：cnbcool/ssh 的 settings.script 变量插值把 shell 变量清空（最隐蔽）

• 现象：部署脚本 $C compose pull 报 bash: line 16: compose: command not found。
• 排坑过程：先误判为"按行拆分导致变量丢失"，用 bash -c '...' 包裹——无效，因为变量在发到服务器之前就被清空了。
• 根因：settings.script 和其他 settings 一样先经 CNB 变量插值（${DEPLOY_HOST} 正是靠这个生效）。脚本里自定义的 $C、${REG}、$i 不是流水线变量 → 全部替换为空字符串。
• 对策：部署脚本只写字面量，零 shell 变量；循环计数用 timeout 30 sh -c 'until ...; do sleep 1; done' 代替 for i in $(seq ...)。

坑 4：SSH 部署密钥带 passphrase 导致 CI 卡死

• 对策：ssh-keygen 时 passphrase 直接回车（空密码）。CI 无人值守，没法输密码。

坑 5：CNB 没有「仓库设置 → 变量」界面

• 现象：文档/直觉里的「设置 → 变量/密钥」在仓库设置页根本不存在；个人设置里的「个人环境变量」只对云原生开发环境生效，CI 构建拿不到。
• 对策：用官方机制「秘钥仓库 + imports」（第六节）。

坑 6：防火墙页面显示放行，实际不通（腾讯云轻量 + 宝塔）

• 现象：流水线全绿、容器 0.0.0.0:3000->3000、curl localhost:3000 返回 200，但公网访问超时。
• 排查链路（记住这个顺序）：容器内 curl（应用层）→ nerdctl ps 端口映射 → iptables -L -n | grep 3000（注意 CNI 的 FORWARD DROP 规则）→ 云防火墙/安全组 → 都对不上就重启实例。
• 根因：宝塔面板和腾讯云控制台 UI 显示放行，但规则没真正下发到 netfilter。手动 iptables -I INPUT/-I FORWARD -p tcp --dport 3000 -j ACCEPT 也没救。
• 最终解决：重启服务器实例后规则真正生效。腾讯云轻量偶发此问题。

坑 7：nerdctl "假 Up"——容器显示正常但端口转发已死

• 现象：宝塔开关防火墙后，nerdctl ps 显示 Up、端口映射正常，但宿主机 ss -tlnp | grep 3000 为空，curl 127.0.0.1:3000 connection refused。
• 根因：防火墙重置网络把 nerdctl 的端口转发干掉了，此时 compose up -d 是空操作（容器"在跑"就不动它）。
• 对策：nerdctl compose down && nerdctl compose up -d 强制重建。部署脚本已内置该兜底（健康检查失败先重建再回滚）。

坑 8：stat /run/user/0: no such file or directory

• 现象：服务器重启后 nerdctl compose up -d 直接报错。
• 根因：/run/user/0 是 systemd 登录会话创建的临时目录，重启后消失。
• 对策：mkdir -p /run/user/0 && chmod 700 /run/user/0 && export XDG_RUNTIME_DIR=/run/user/0。部署脚本和 systemd 单元都已内置。

坑 9：restart: unless-stopped 对 containerd + nerdctl 不可靠

• 对策：systemd 服务兜底开机自启（第九节），这是 nerdctl 方案的必配项，不是可选项。

坑 10：杂项速记

| 坑 | 对策 | | --- | --- | | CNB 制品库登录用户名 | 是字面量 cnb，不是账号名；密码是访问令牌 | | .cnb.yml 顶层键写错分支名 | 不报错、纯粹不触发，push 后毫无动静先查这里 | | CNB 页面「重试」 | 跑旧 commit 配置，改了 .cnb.yml 必须 push 新 commit | | GitHub 二进制下载失败 | 本地下载 + scp 上传最稳，别死磕 ghproxy | | nerdctl 缺 CNI 插件 | 端口映射静默失效，装 /opt/cni/bin 必不可少 | | buildctl not found 警告 | 服务器只运行不构建，忽略 | | 私钥粘贴 | 必须完整（含 BEGIN/END 行），YAML 里用 | 块标量逐行粘 | | 健康检查依赖 curl | 系统无 curl 时改 wget -qO- 探测 |

---

十一、迁移到新项目的 Checklist

新项目套用本方案，按顺序做一遍：

• [ ] CNB 建仓库，确认默认分支 → .cnb.yml 顶层键
• [ ] （新服务器才需要）第三节装 containerd + nerdctl + CNI，登录制品库
• [ ] 服务器生成部署密钥对（空密码），公钥进 authorized_keys
• [ ] 基础镜像预推：pull DaoCloud → tag → push 到 docker.cnb.cool/<org>/<repo>/<基础镜像>:<tag>
• [ ] 改三个文件里的：org/repo、端口、部署目录、健康检查 URL
• [ ] 建/复用秘钥仓库，deploy.yml 写 DEPLOY_HOST/DEPLOY_SSH_USER/DEPLOY_SSH_KEY，allow_slugs 加上新仓库
• [ ] 服务器 mkdir 部署目录 + scp docker-compose.yml + 建 .env
• [ ] 防火墙/安全组放行端口（不通就重启实例）
• [ ] 配 systemd 自启单元（改单元名/目录/端口）
• [ ] git push cnb <默认分支> → 验证流水线全绿 + 公网可访问
• [ ] 随便改一行代码再 push 一次，验证增量发布 + 健康检查链路

---