binance-trading-bot 部署：一条 9 步 Docker Compose runbook

1. 克隆仓库

   shellgit clone https://github.com/chrisleekr/binance-trading-bot.git
   cd binance-trading-bot

   拿到仓库与 compose 文件；注意 compose 文件不在仓库根目录，而在 `deploy/compose/` 下。

   预期输出：当前目录出现 `deploy/compose/docker-compose.yml`、`.env.example`、`package.json`。

2. 创建环境文件并填好对外地址

   shellcp .env.example .env

   把 `WEB_ORIGIN` 改成你实际访问这个面板的地址（例如 `WEB_ORIGIN=https://bot.<你的域名>`）。用 compose 启动时，`DATABASE_URL` 与 `REDIS_URL` 用容器内 DNS 名，或者直接删掉这两行走 compose 文件里的默认值。

   预期输出：仓库根目录出现 `.env`；其余变量都有可用默认值。

3. 生成会话密钥

   shellsed -i.bak "s|^AUTH_SECRET=.*|AUTH_SECRET=$(openssl rand -hex 32)|" .env \
     && rm .env.bak

   用 sed 就地替换而不是追加，重复执行不会在 `.env` 里写重复的键。

   预期输出：`.env` 中 `AUTH_SECRET=` 后面变成 64 位十六进制字符串。

4. 拉取镜像（或改为本地构建）

   shelldocker compose -f deploy/compose/docker-compose.yml \
                  -f deploy/compose/docker-compose.prod.yml \
                  --env-file .env pull

   生产叠加层会启用 secrets 与生产默认值。建议在 `.env` 里用 `IMAGE_TAG` 钉住一个 `vX.Y.Z` 版本，而不是跟随 `latest`。

   预期输出：拉到 `chrisleekr/binance-trading-bot` 对应版本标签的镜像。离线环境可改用 `docker compose -f deploy/compose/docker-compose.yml build` 从源码构建。

5. 启动整个栈

   shelldocker compose -f deploy/compose/docker-compose.yml \
                  -f deploy/compose/docker-compose.prod.yml \
                  --env-file .env up -d

   compose 用 `depends_on: condition: service_healthy` 串起启动顺序，app 会等 Postgres 与 Redis 真的可连接后才启动，所以新机器首次启动不会陷入重试循环。

   预期输出：`postgres`、`redis` 先进入 healthy，随后 `app` 启动。注意：在仓库根目录直接跑裸的 `docker compose up` 不生效，因为根目录没有 compose 文件。

6. 数据库迁移（自动执行，无需手动）

   容器入口 `apps/server/docker-entrypoint.sh` 会在启动应用之前先跑迁移器，因此没有什么要你手动执行的。迁移器是幂等的，并用 Postgres advisory lock 串行化并发调用，所以 api / worker / study 每个角色都会在引用表结构之前先完成迁移；迁移失败会让容器以非零码退出、就绪检查永远不就绪。

   shell（仅在离线维护路径才需要）docker compose exec app bun /app/dist/migrate.js

   预期输出：正常启动时无额外输出；手动执行时命令成功返回，无报错。

7. 打开 WEB_ORIGIN 创建主账号

   首次访问会进入引导页，创建唯一的主账号（无邮箱验证、无二次验证，这是一个单操作员应用）。创建完成后，再访问 `/onboarding` 会跳转到登录页；忘记密码需要用运维命令重置：

   shelldocker compose run --rm app bun run reset-password

   预期输出：浏览器能打开面板并成功登录；`/onboarding` 之后改为跳转登录页。

8. 给币安 API Key 开启 IP 白名单

   在币安 API 管理界面编辑这把 Key：勾上「Restrict access to trusted IPs only」，并把服务器的出口 IP 加进去（在 VM 上执行 `curl -s ifconfig.me` 获取）；同时确认「Enable Spot & Margin Trading」已勾选。官方特别强调：因为密钥在数据库中是明文存储，这一步是整个威胁模型里的主要缓解措施。

   预期输出：服务器出口 IP 出现在币安的白名单里；然后回到面板的账户页粘贴 Key 与 Secret，状态会变绿。

9. 验收：确认服务真的活着

   shelldocker compose ps                              # 每个服务都应为 (healthy)
   curl -fsS http://127.0.0.1:9100/healthz        # api 存活
   curl -fsS http://127.0.0.1:9100/readyz         # api 就绪（DB + Redis ping）

   管理端点绑定在 `127.0.0.1:$ADMIN_PORT`（默认 9100），公网访问不到它们，所以必须在 VM 上执行。

   预期输出：三个命令全部成功（HTTP 200）。若 `/readyz` 返回 503，按最后一节的失败对照表排查。

shell · 生成三份密钥并注入mkdir -p deploy/secrets
openssl rand -hex 32 > deploy/secrets/session_secret
openssl rand -hex 32 > deploy/secrets/postgres_password
openssl rand -hex 32 > deploy/secrets/redis_password
chmod 600 deploy/secrets/*

REDIS_PW=$(cat deploy/secrets/redis_password)
sed -i.bak \
  -e "s|^AUTH_SECRET=.*|AUTH_SECRET=$(cat deploy/secrets/session_secret)|" \
  -e "s|^REDIS_URL=.*|REDIS_URL=redis://:${REDIS_PW}@redis:6379|" \
  .env \
  && rm .env.bak
chmod 600 .env