04-security

Dify 安全和部署 SKILL

概述

本 SKILL 提供 Dify 平台的安全实践和部署运维完整指南，帮助开发者和运维人员构建安全、稳定、高性能的生产环境。

触发场景

使用本 SKILL 当你需要:

• 🚀 部署 Dify 到生产环境 (Docker/Kubernetes)
• 🔒 配置安全防护机制 (SSRF、沙箱、加密)
• 🔧 解决部署问题 (容器启动失败、网络配置、性能瓶颈)
• 📊 优化生产环境 (监控告警、高可用、故障恢复)
• ✅ 进行安全审计 和配置验证

核心能力

• 安全防护: SSRF 防护、代码沙箱、数据加密、权限管理
• Docker 部署: 快速部署、生产配置、网络架构、资源优化
• Kubernetes 部署: 高可用架构、自动扩展、Helm 部署
• 监控告警: OpenTelemetry、Sentry、日志聚合、性能监控
• 故障恢复: 问题诊断、恢复流程、备份策略

---

快速开始

最小部署配置

# 1. 克隆仓库
git clone https://github.com/langgenius/dify.git
cd dify/docker

# 2. 复制环境变量
cp .env.example .env

# 3. 修改关键安全配置
# 编辑 .env 文件:
SECRET_KEY=$(openssl rand -base64 42)
DB_PASSWORD=your-strong-password
REDIS_PASSWORD=your-redis-password
SANDBOX_API_KEY=$(openssl rand -base64 32)

# 4. 启动服务
docker compose up -d

# 5. 验证部署
docker compose ps
curl http://localhost/health

安全检查清单

部署前检查

• SECRET_KEY 已更改为强密钥 (使用 openssl rand -base64 42)
• 数据库密码 已修改默认值
• Redis 密码 已设置
• SSRF Proxy 已配置并阻止内网访问
• Sandbox 沙箱 已启用网络代理
• HTTPS/TLS 证书已配置 (生产环境)
• API Key 管理 机制已启用
• 文件上传限制 已设置 (UPLOAD_FILE_SIZE_LIMIT)
• 敏感环境变量 已加密存储

运行时检查

• 容器权限 以非 root 用户运行
• 网络隔离 ssrf_proxy_network 正常工作
• 健康检查 所有服务健康状态正常
• 日志记录 已启用并正常输出
• 监控告警 已配置 (OpenTelemetry/Sentry)
• 备份策略 已实施 (数据库、文件存储)
• 资源限制 CPU/内存限制已配置
• SSL 证书 有效期检查和自动续期

---

目录结构

04-security/
├── SKILL.md                    # 本文件 - 安全和部署总览
├── security/                   # 安全实践
│   ├── ssrf-protection.md     # SSRF 防护配置
│   ├── sandbox.md             # 代码沙箱隔离
│   ├── encryption.md          # 数据加密和 TLS
│   └── auth.md                # 认证和权限管理
├── deployment/                 # 部署指南
│   ├── docker-compose.md      # Docker Compose 部署
│   ├── kubernetes.md          # Kubernetes 部署
│   ├── serverless.md          # Serverless 部署
│   └── high-availability.md   # 高可用架构
├── operations/                 # 运维实践
│   ├── monitoring.md          # 监控和告警
│   ├── logging.md             # 日志管理
│   ├── backup.md              # 备份和恢复
│   └── troubleshooting.md     # 故障排查
└── best-practices.md           # 最佳实践总结