Stable-Diffusion-v1-5-archive镜像安全加固：非root运行/端口白名单/API鉴权配置
1. 引言
如果你正在使用 Stable Diffusion v1.5 Archive 这个经典的文生图模型，可能已经体验过它开箱即用的便捷。但当你打算把它部署到生产环境，或者希望更安全地对外提供服务时，一个直接暴露在公网、默认配置的 WebUI 界面，是不是让你有点不放心？
想象一下，你的服务器可能面临未经授权的访问、恶意的 API 调用，甚至因为服务进程权限过高而带来潜在风险。这些都不是危言耸听，而是真实部署中需要考虑的问题。
本文将带你一步步为 Stable-Diffusion-v1-5-archive 镜像实施一套完整的安全加固方案。我们将聚焦三个核心安全实践：
我们的目标是，在不影响你正常使用 Stable Diffusion 进行创意生成的前提下，为你的部署环境筑起一道安全防线。整个过程会提供清晰的步骤和可运行的代码，确保你能跟着做、用得上。
2. 安全加固前的准备
在开始动手之前，我们需要先了解一下当前镜像的环境，并准备好必要的工具和权限。
2.1 环境检查
首先，登录到你的服务器或容器环境。假设你已经通过 CSDN 星图镜像广场部署了 stable-diffusion-v1-5-archive 镜像，并且服务运行在 7860 端口。
检查服务状态和运行用户： 通常，镜像使用 supervisor 来管理服务。我们可以查看服务的运行状态和进程信息。
# 查看服务状态
supervisorctl status sd15-archive-web
# 查看运行该服务的进程详情，重点关注 USER 列
ps aux | grep -E “(sd15-archive|7860)”
默认情况下，服务很可能以 root 用户运行。我们的第一个目标就是改变这一点。
检查网络配置： 使用 netstat 或 ss 命令查看 7860 端口的监听情况。
# 查看7860端口的监听状态
ss -ltnp | grep :7860
输出会显示监听地址，例如 0.0.0.0:7860，这意味着服务监听在所有网络接口上，任何能访问到这台机器的 IP 都可以连接。我们将通过白名单来限制它。
2.2 创建专用系统用户
为了以非 root 身份运行，我们需要创建一个专用的、权限受限的系统用户。这里我们创建一个名为 sduser 的用户。
# 创建一个没有登录shell、不创建家目录的系统用户
sudo useradd -r -s /bin/false -M sduser
# 确认用户创建成功
id sduser
- -r：创建系统用户。
- -s /bin/false：指定一个无法登录的shell，增强安全性。
- -M：不创建用户家目录。
接下来，我们需要确保这个用户有权限访问 Stable Diffusion 模型文件、工作目录以及必要的运行时文件。假设你的工作目录是 /root/workspace（这是常见默认路径，请根据你的实际路径调整）。
# 假设工作目录为 /root/workspace，将其所有权变更为 sduser
# 注意：这步操作会改变目录所有者，请确保这是你想要的操作
sudo chown -R sduser:sduser /root/workspace
# 同时，检查并确保模型文件（如 safetensors）对该用户可读
sudo chmod -R 755 /root/workspace # 或根据你的安全策略设置更严格的权限
重要提示：更改 /root/workspace 的所有权是方案之一。在更严谨的生产环境中，你可能希望将模型和数据文件存放在非 root 目录下，并从一开始就使用普通用户来部署和运行。这里我们基于常见默认路径进行调整。
3. 实践一：以非root用户运行服务
现在，我们来修改服务的启动配置，让其以我们新创建的 sduser 运行。
3.1 修改Supervisor配置
Stable-Diffusion-v1-5-archive 镜像使用 Supervisor 守护进程。我们需要找到并修改其配置文件。
定位配置文件： Supervisor 的配置文件通常位于 /etc/supervisor/conf.d/ 或 /etc/supervisor.d/ 目录下。根据镜像的命名，我们寻找类似 sd15-archive-web.conf 的文件。
sudo find /etc -name “*sd15*conf” 2>/dev/null
sudo find /etc -name “*7860*conf” 2>/dev/null
假设我们找到配置文件 /etc/supervisor/conf.d/sd15-archive-web.conf。
备份并编辑配置：
# 备份原配置
sudo cp /etc/supervisor/conf.d/sd15-archive-web.conf /etc/supervisor/conf.d/sd15-archive-web.conf.backup
# 编辑配置文件
sudo vi /etc/supervisor/conf.d/sd15-archive-web.conf
修改配置项： 在配置文件中，找到 [program:sd15-archive-web] 部分，添加或修改 user 选项。
[program:sd15-archive-web]
command=… (原有的启动命令，通常包含python和app路径)
directory=/root/workspace ; 工作目录
user=sduser ; 新增：指定运行用户
autostart=true
autorestart=true
…
关键点：确保 directory 指定的路径（这里是 /root/workspace）的所有权已变更为 sduser，否则服务可能因权限问题启动失败。
重载并重启服务：
# 让Supervisor重新读取配置
sudo supervisorctl reread
sudo supervisorctl update
# 重启服务以应用新配置
sudo supervisorctl restart sd15-archive-web
# 检查状态和运行用户
sudo supervisorctl status sd15-archive-web
ps aux | grep -E “(sd15-archive|7860)” | grep -v grep
现在，你应该看到进程的 USER 列显示为 sduser 而不是 root。
3.2 验证与问题排查
服务重启后，立即访问你的 WebUI 地址（如 https://gpu-xxx-7860.web.gpu.csdn.net/），测试图像生成功能是否正常。
如果遇到问题，查看日志是最快的排查方式：
# 查看服务日志
sudo tail -100 /root/workspace/sd15-archive-web.log
# 或者通过supervisor查看
sudo supervisorctl tail -f sd15-archive-web
常见问题：
- 权限错误：日志中可能出现 Permission denied。请再次检查工作目录、模型文件对于 sduser 用户是否具有读/写/执行权限。
- 端口绑定失败：如果之前的进程没有完全退出，新进程可能无法绑定7860端口。可以尝试 sudo supervisorctl stop sd15-archive-web 后稍等再启动，或者用 sudo lsof -i:7860 查看并结束占用进程。
4. 实践二：配置端口访问白名单
即使以非 root 运行，服务端口暴露给所有 IP 仍是风险。我们将使用防火墙（iptables 或 firewalld）或反向代理（如 Nginx）来设置白名单。这里介绍更通用和直接的 iptables 方法。
目标：只允许特定 IP 地址（例如你的办公网络 IP 或管理服务器 IP）访问服务器的 7860 端口，其他所有 IP 的访问都被拒绝。
4.1 使用iptables配置白名单
检查当前iptables规则：
sudo iptables -L -n –line-numbers | grep -A5 -B5 “:7860”
设置白名单规则： 假设你只允许 IP 地址 123.123.123.123 访问 7860 端口。
# 1. 首先，允许所有本地（lo）和已建立/相关的连接（确保现有连接不受影响）
# 这些规则通常已存在，但为保险起见，我们可以先设置针对7860端口的规则
# 2. 在INPUT链的开头插入一条规则，允许特定IP访问7860端口
sudo iptables -I INPUT 1 -p tcp -s 123.123.123.123 –dport 7860 -j ACCEPT
# 3. 在INPUT链中，针对7860端口的其他连接，全部拒绝
# 注意：这条规则要放在上一条允许规则之后，但要在其他可能允许7860端口的规则之前
sudo iptables -A INPUT -p tcp –dport 7860 -j DROP
规则解释：
- -I INPUT 1：在 INPUT 链的第1条位置插入规则，确保优先匹配。
- -s 123.123.123.123：源IP地址。你可以替换成你的IP，或一个网段（如 123.123.123.0/24）。
- –dport 7860：目标端口。
- 第一条规则：来自白名单IP的7860端口访问，接受。
- 第二条规则：所有其他访问7860端口的TCP连接，丢弃。
验证规则：
sudo iptables -L INPUT -n –line-numbers
你应该能看到类似下面的规则顺序：
num target prot opt source destination
1 ACCEPT tcp — 123.123.123.123 0.0.0.0/0 tcp dpt:7860
…
N DROP tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpt:7860
保存iptables规则（重要！）： iptables 规则默认在重启后会丢失。根据你的操作系统，使用以下命令保存：
# 对于 CentOS/RHEL 7+
sudo iptables-save | sudo tee /etc/sysconfig/iptables
sudo systemctl enable iptables
sudo systemctl restart iptables
# 对于 Ubuntu/Debian
sudo apt-get install iptables-persistent -y
sudo netfilter-persistent save
4.2 测试白名单效果
从非白名单IP的机器上，尝试访问你的服务地址和端口，连接应该会超时或被拒绝。 从白名单IP的机器上，访问应该正常。
注意：如果你是通过 CSDN 星图等云平台的网关或负载均衡器访问服务（地址类似 https://gpu-xxx-7860.web.gpu.csdn.net/），那么 iptables 白名单需要针对平台网关的实际出口IP来设置，而不是你个人电脑的IP。你需要联系平台方或查看网络配置获取这些IP。在这种情况下，在应用层（下一节的API鉴权）或网关层设置访问控制可能更简单。
5. 实践三：为WebUI及API添加鉴权
网络层白名单限制了谁能“敲门”，而应用层鉴权则决定了“敲门”后是否需要密码才能“进屋”。Stable Diffusion WebUI 通常基于 Gradio，我们可以为其添加简单的 HTTP 基础认证，或者使用反向代理（如 Nginx）来实现更灵活的鉴权。
5.1 方案A：修改Gradio启动参数（简单）
如果你的 WebUI 是通过 Gradio 的 launch() 函数启动的，并且你能修改其 Python 脚本，这是最直接的方法。我们需要找到启动命令并添加认证参数。
定位启动脚本： 查看 Supervisor 配置文件中的 command 行，找到启动的 Python 脚本。
sudo grep “command” /etc/supervisor/conf.d/sd15-archive-web.conf
假设命令是 python /root/workspace/app.py。
修改应用脚本： 编辑这个 Python 脚本（例如 app.py），找到创建 Gradio 界面和调用 launch() 或 queue() 的地方。
# 在原有代码中，launch调用可能类似：
# demo.launch(server_name="0.0.0.0", server_port=7860)
# 修改为添加auth参数：
demo.launch(
server_name="0.0.0.0",
server_port=7860,
auth=("your_username", "your_password") # 设置用户名和密码
# auth_message="请输入用户名和密码" # 可选，自定义提示信息
)
注意：这种方式会将密码明文写在代码中。对于更高安全要求，可以考虑从环境变量读取。
重启服务并测试：
sudo supervisorctl restart sd15-archive-web
再次访问 WebUI，浏览器会弹出一个登录框，要求输入用户名和密码。
局限性：此方法仅保护了 Web 界面。如果服务还提供了独立的 API 端点（例如 /api/predict），这些端点可能仍然无需认证即可访问。此外，密码硬编码在代码中也不够安全。
5.2 方案B：使用Nginx反向代理添加鉴权（推荐）
使用 Nginx 作为反向代理，可以统一保护 WebUI 和所有 API 接口，并且认证配置与业务代码分离，更安全、更灵活。
安装Nginx：
# Ubuntu/Debian
sudo apt update && sudo apt install nginx apache2-utils -y
# CentOS/RHEL
sudo yum install nginx httpd-tools -y
创建密码文件：
# 创建第一个用户，会提示输入密码
sudo htpasswd -c /etc/nginx/.htpasswd sd_admin
# 如果需要添加更多用户，去掉 -c 参数
# sudo htpasswd /etc/nginx/.htpasswd another_user
配置Nginx反向代理与认证： 创建新的 Nginx 配置文件，例如 /etc/nginx/conf.d/sd15-auth.conf。
server {
listen 80;
# 如果你有域名，可以在这里设置 server_name your_domain.com;
server_name _;
# 基础认证
auth_basic “Stable Diffusion Admin Area”;
auth_basic_user_file /etc/nginx/.htpasswd;
location / {
# 将请求代理到原本的Stable Diffusion服务
proxy_pass http://127.0.0.1:7860;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
# 以下是一些可能需要的WebSocket代理设置（如果WebUI使用了WS）
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection “upgrade”;
}
# 可选：单独对某个路径不设认证（例如健康检查）
# location /health {
# auth_basic off;
# proxy_pass http://127.0.0.1:7860/health;
# }
}
调整原服务监听地址（可选但推荐）： 为了让 Nginx 代理，我们可以将原始的 Stable Diffusion 服务改为只监听本地回环地址，进一步减少暴露。 修改 Supervisor 配置文件中的启动命令，将 server_name 从 0.0.0.0 改为 127.0.0.1。
command=python /root/workspace/app.py –server-name 127.0.0.0 –server-port 7860
重启 Stable Diffusion 服务：sudo supervisorctl restart sd15-archive-web。 现在，原始服务只在本机可访问。
启动Nginx并测试：
# 测试Nginx配置语法
sudo nginx -t
# 重新加载Nginx配置
sudo systemctl reload nginx
# 或 sudo nginx -s reload
# 设置Nginx开机自启
sudo systemctl enable nginx
现在，你需要通过 Nginx 监听的端口（默认为80）来访问服务。访问时，浏览器会要求输入用户名(sd_admin)和密码。所有流量（包括 WebUI 和 API）都经过了 Nginx 的认证和转发。
优势：
- 统一保护所有端点（Web和API）。
- 认证与业务逻辑解耦。
- 可以方便地添加 SSL/TLS 加密（HTTPS）。
- 可以结合更复杂的认证方式（如 OAuth）。
6. 总结与安全建议
通过以上三个步骤，我们为 Stable-Diffusion-v1-5-archive 镜像构建了一个多层次的安全防护：
这三层防御并非必须全部实施，你可以根据实际的安全需求和运维复杂度进行组合。例如，在内网可信环境下，可能只需要“非root运行”；而对公网提供服务时，“API鉴权”则是必须项。
进阶安全建议：
- 使用HTTPS：如果通过公网访问，务必在 Nginx 上配置 SSL 证书，启用 HTTPS，防止流量被窃听或篡改。
- 定期更新：关注 Stable Diffusion 相关依赖库和安全公告，及时更新以修复已知漏洞。
- 日志审计：定期检查 Nginx 访问日志 (/var/log/nginx/access.log) 和 Stable Diffusion 应用日志，监控异常访问尝试。
- 密钥管理：避免将密码、API密钥等硬编码在配置文件中。使用环境变量或专门的密钥管理服务。
- 容器化考虑：如果你使用 Docker 等容器技术，可以利用容器的用户命名空间、只读文件系统等特性进一步增强隔离性。
安全是一个持续的过程，而非一次性的配置。希望本文提供的加固方案能帮助你更安心、更稳定地运用 Stable Diffusion 释放创造力。
获取更多AI镜像
想探索更多AI镜像和应用场景？访问 CSDN星图镜像广场，提供丰富的预置镜像，覆盖大模型推理、图像生成、视频生成、模型微调等多个领域，支持一键部署。
