用户与用户组#

Linux 中每一个操作必须由某个用户发起，就像公寓里面每件事都必须要由某个租客来完成。

超级管理员（root）相当于「房东」，拥有整个公寓（系统）的最高权限，可以随意进入任何房间（访问文件和目录）、修改任何规则（修改访问规则和所有权）、添置公寓设备（安装软件），甚至赶走其他租户（删除用户），拆掉整个公寓（删除系统）。

普通用户相当于「租客」，只能在自己的房间（家目录）自由活动，对公共区域（如 /usr、/etc等目录）的操作会受到限制。

同时，为了方便资源的管理，Linux 还有用户组（Group）的概念。

用户组相当于一个「合租室友群」，可以让一个组群中的用户同时享有某些权限。把多个用户加入同一个组，就可以方便地管理他们的共同权限，比如让室友们都能使用客厅的饮水机（某个文件）。

权限#

每个文件 / 目录都有 3 组固定权限，对应「文件所有者（Owner）、同组用户（Group）、其他用户（Others）」三类人，每组权限包含「读（r）、写（w）、执行（x）」三种操作，像房间门上的三把锁。

• 读（r，数字 4）：可以查看内容，比如打开房间门看一眼里面有什么。

• 写（w，数字 2）：可以修改内容，比如在房间里摆放家具或扔掉东西。

• 执行（x，数字 1）：可以运行 / 进入，比如执行一个程序（像启动房间里的洗衣机）或进入一个目录（像走进房间，但无读权限时，即使能进入也看不到里面的文件）。

有时候我们常常遇到 Permission denied 这样的提示就是因为文件权限不足，这个时候我们一般有两种解决方案：第一种方法是修改文件或目录的权限，让我们可以直接进行操作，这种一般用于从网络下载的默认不允许执行的软件中；第二种方法则是「请」拥有相关权限的用户，通常是超级管理员，来帮我们完成操作，这一过程被称为提权，在实际使用中，我们常常使用 sudo 软件来帮助我们完成这一操作。

列出文件 ls#

这应该是大多数 Linux 新手会接触到的第一个指令。ls 的作用很简单，它会列出当前目录下的所有文件。同时可以配合其他参数使用，具体的参数感兴趣的读者可以自行查询，通常我们使用 ls -al 即可，这个指令会列出所有当前目录下文件和文件夹的同时展示文件的大小、所有者、修改时间、权限等常用信息。

打印工作目录 pwd#

这也是常用的一个命令，它的作用是在终端打印输出当前工作目录。

切换工作目录 cd#

这个命令的作用是切换当前工作目录，支持绝对路径和相对路径。输入 cd 目标目录 即可。

编辑文本 nano#

nano 是 Debian 操作系统默认的命令行 TUI （TUI 指文本用户界面，区别于图形用户界面 GUI）文本编辑器，使用 nano 文件路径 即可打开文件。相比于 vi 或者 vim 等编辑器更加适合新手使用。操作总体上和 GUI 下的编辑器相同，使用上下左右方向键移动光标，使用下方的命令进行复制、粘贴、保存、退出等操作。

如果你想要使用 vim ，请自行查找相关教程，本文不作介绍。

移动 / 重命名 mv#

这个命令的作用是用于移动和重命名文件或文件夹。使用 mv 旧文件路径 新文件路径 的格式使用，也支持绝对路径和相对路径，可以同时实现文件移动和重命名。

复制 cp#

这个命令的作用是复制文件，如果需要复制文件夹，需要添加 -r 参数。其他用法和 mv 完全一致。

新建文件夹 mkdir#

这个命令的作用是新建文件夹，在后面加上要创建的文件夹的路径即可。

以管理员身份 sudo#

这个命令的意义是加载其他命令前，然后使用 root 用户的身份运行这条命令。除非你明确遇到了权限问题，否则不应该使用 sudo 来执行操作，尤其是删除等高危险操作。

需要注意的是使用 sudo 后，在路径中出现的 ~ 会被解析为 root 用户的家目录 /root。

删除 rm#

rm 命令的作用是删除文件。使用此命令删除的文件是不可恢复的！使用此命令删除的文件是不可恢复的！使用此命令删除的文件是不可恢复的！重要的事情说三遍。

如果你要删除文件夹，和 cp 一样请使用 -r 参数。

删除操作是极其危险的，如果你不知道你在做什么，不要使用 root 用户身份执行 rm 命令！使用此命令删除的文件是不可恢复的！

1. 系统更新（前置必做）#

2. 软件安装#

3. 软件卸载#

4. 软件查询#

5. 系统清理#

6. 问题修复#

IP 地址#

IP地址是服务器在网络中的“门牌号”，分为公网IP和内网IP，两者在安全属性上差异显著。

核心概念区分

内网IP：仅在局域网内可访问（如服务器所在机房、家庭路由器下的192.168.x.x、10.x.x.x），默认不暴露在公网，安全性较高。

公网IP：可被互联网中任意设备访问（如服务器绑定的独立IP），是服务器与外界交互的入口，也是安全防护的核心靶点。

安全注意事项

1. 避免“裸奔”暴露：不要将服务器的公网IP随意分享至公开平台（如论坛、社交软件），防止被恶意扫描工具抓取。

2. 警惕异常访问：定期通过服务器日志（如Linux的/var/log/auth.log）查看IP访问记录，若发现陌生IP频繁尝试登录（如SSH连接），需及时拦截。

3. 优选固定公网IP：若使用云服务器，建议选择固定公网IP而非动态IP，方便后续绑定防火墙规则、域名解析，减少IP变动带来的安全配置遗漏。

防火墙#

防火墙是服务器的“守门人”，通过预设规则控制进出服务器的网络流量，默认拒绝所有非必要访问，是公网服务器的第一道安全屏障。

目前主流Linux发行版（如Debian、Ubuntu 20.04+）默认使用ufw（简单防火墙），操作简单适合新手；部分系统也支持iptables（功能更强大但配置较复杂），这里重点介绍ufw的基础用法。
核心实操配置（以 ufw 为例）

1. 基础状态控制

   • 启用防火墙：sudo ufw enable（启用后重启服务器仍生效，需确保已配置必要端口，避免自己无法登录）。

   • 查看状态与规则：sudo ufw status verbose（可查看当前允许/拒绝的端口、IP等规则）。

   • 关闭防火墙（紧急情况用）：sudo ufw disable。

2. 关键端口配置（遵循“最小必要原则”）

   • 允许SSH端口（远程登录必备，默认22端口，若修改过端口需替换）：sudo ufw allow 22/tcp（仅允许TCP协议，减少UDP协议的攻击面）。

   • 允许Web服务端口（如搭建海豹需开放3211端口）：sudo ufw allow 3211/tcp。

   • 拒绝特定IP：若发现某IP恶意访问，可直接拦截：sudo ufw deny from 192.168.1.100（将IP替换为实际恶意IP）。

3. 安全原则

   • 不开放无用端口：如服务器不提供FTP服务，就不要开放 21 端口；不开放 3001（NapCat ws 服务器默认端口）给公网，可限制仅允许特定内网IP连接。

   • 定期检查规则：若服务器功能调整（如停用Napcat Web服务），需及时删除对应端口规则：sudo ufw delete allow 6099/tcp。

对于使用阿里云等平台，需通过云控制台配置防火墙的用户，请自行参考服务商的文档设置安全组，注意事项同上。

实际上，对于有时间学习的用户，若仅需基础远程登录与 Web 服务，建议只开放 22 端口、80 端口和 443 端口，并合理使用 nginx、caddy 等反向代理来提高安全性。具体操作请自行查找文档，此处不做介绍。

鉴权与 Token#

鉴权是验证“访问者身份是否合法”的过程，Token（令牌）是常用的鉴权方式之一，尤其适用于API接口、Web服务等场景，比传统“账号密码”更灵活安全。

鉴权的本质是“验证身份”，比如服务器判断登录的用户是否有操作某个文件的权限、某个API请求是否来自合法客户端。

Token是一段加密的字符串，由服务器（Napcat ws 服务器，MaiBot ws 方向协议，海豹核心与NapCat Web UI）生成或配置，客户端（如海豹 ws onebot 正向协议、NapCat ws 客户端、浏览器）获取Token后，后续访问时携带Token，服务器通过验证Token的有效性来确认身份。

对于使用服务器、有公网 IP 或使用内网穿透的用户来说，Token（密码）是必须配置的。2025年初以来的多次攻击事件已经给了我们很多血淋淋的教训：未配置 Token 的服务极易成为攻击目标，珍爱 Bot，好好设置 Token。

关于 SSH：服务器厂商通常已预设安全策略，小主机用户通常无需开放公网 SSH，同时考虑到此内容对于新手来说较为难以理解，此处暂不展开，有余力的读者请自行查找相关文档学习。

0.启动安装程序#

将准备好的 Debian 安装媒介文件拷入准备好的 Ventoy 盘中，插入小主机上，启动电源。大概会看到下面的界面，部分 cpu 机器可能会是 TUI 界面，但是内容应该相同。

选择准备好的的 Debian 镜像，然后回车。

选择「以正常模式启动」，继续回车。如果你因为某些原因这里失败了，使用第二项「使用 grub2 启动」。接下来进入安装页面。

选择第二项「安装」，使用 TUI 安装。个人认为图形化安装并不好用，如果你非要尝试也可以使用。操作是几乎一样的。

1.语言与时区#

选择 English，大部分设备选择中文会出现满屏幕⬜的「口口相传」现象。输入回车确认操作。

接下来选择地区，依次选择 other/Asia/China。

然后字符编码和键盘映射都使用默认的美国即可，改为中文会口口相传。

2.网络配置#

接下来如果你插好了网线，系统会自动为你分配好你的网络设置。如果你使用 Wi-Fi 连接，提前把家中 Wi-Fi 名称改为英文的，然后按照提示输入 Wi-Fi 名称和密码连接即可。

网络连接这一步根据你的网络情况可能需要十几秒到几分钟，请耐心等待。

然后进入主机名和域名的配置

首先是配置主机名，一般默认的系统名即可，你也可以改一个自己喜欢的名字。

然后是域名，使用 localhost 即可。

3.设置用户#

设置并确认 root 密码，这个密码必须记住！这个密码必须记住！这个密码必须记住！如果丢失是很难找回或重置的。

接下来设置普通用户，输入你的用户名，这里建议全名和用户名都使用纯小写字母组成的短名字，这里我起名为 syy。然后是同样的设置并确认密码，为了安全，这里请和 root 用户使用不同的密码。

4.设置时钟#

这一步通常系统会自动完成。

5.磁盘分区#

接下来我们要格式化磁盘并进行分区。我们选择「使用一整块硬盘并设置 LVM」。

选择小主机自己的磁盘，也就是不是 U 盘那一块。

分卷这里使用推荐的默认选项即可。

确认所选磁盘正确后选择 Yes 和 Continue 格式化并挂载磁盘。

然后完成分区并应用到目标磁盘，选择 Yes 确认。

6.安装系统#

安装程序会自动安装基础系统。过程中会询问我们是否使用网络镜像，我们选择 Yes。

选择使用的网络镜像源，这里我们选择 China，如果你在其他地区，选择你所在的地区即可。

选择中科大镜像源（mirrors.ustc.edu.cn），如果速度较慢可以多试几个，选择速度最快的。

接下来设置代理，一般留空即可。

接下来就是漫长的等待 apt 更新，这个过程视你的网络质量需要几十秒到几分钟。

然后安装程序要询问我们要不要帮助 debian 的镜像变得更好，这里选 Yes 或 No 都可以。

然后接下来安装程序会让我们勾选需要的软件。这里按 空格 取消勾选前两项桌面环境，如果你需要使用 ssh 可以勾选，如果你不知道 ssh 是什么，只勾选最后一项即可。完成后回车。

接下来等待安装完成，视你的网络情况需要几分钟或者几十分钟。

这个过程中提示我们安装引导程序界面，选择小主机的系统盘，不要选择 U 盘。

耐心等待安装完成后。选择 Continue 重启电脑，这个时候可以拔出你的 U 盘。

启动海豹核心#

接下来我们为海豹添加自启动服务。

1
sudo ./sealdice-core -i

如果没有报错，那么海豹核心就已经开始工作了。打开浏览器，输入 ip:3211 访问 web UI。输入刚才的 token 并登陆。如果你是服务器用户，请前往防火墙或安全组放行 3211 端口的入方向。

如果你使用公网服务器，请第一时间按照引导设置一个 web UI 访问密码。

接下来介绍一下海豹如何连接分类部署的 NapCat 协议端。

首先确保你已经参考之前的设置配置好了 NapCat 的 ws 正向服务器。

在海豹 web UI 的账号管理处添加一个账号。

这里显示为已连接即为连接成功。

其他操作和 Windows 上完全一致，不做过多讲解。

补充：关于文件管理#

这里可能就有同学要问了。我如果骰子搬家，我之前的 data 文件夹怎么挂上去呢？

诶，这个时候就需要我们万能的 NapCat 大人出场了。是的，NapCat 大人自带了一个文件管理面板，我们直接拖动上传即可。

请大家把「NapCat 牛逼！」打在公屏上。

顺便再回答一下「Linux 上如何解压 zip 格式文件」的问题。我们需要安装一个 unzip 软件来解压。

1
sudo apt update
2
sudo apt install unzip

然后使用 unzip data.zip 解压即可。

好了，到此为止关于海豹的常见问题应该就都解决了。

包管理#

写代码时，没人会从零开始 “造轮子”。比如想让 Bot 发网络请求（调用 AI 接口）、存配置（像 Token、群号），甚至处理群消息里的表情符号，这些常用功能早有人写好了现成的代码，打包成 “工具集” 供人直接用 —— 这些 “工具集” 就是 Python 包。

简单说，Python 包就是 “别人做好的代码轮子”。

在 Python 程序开发和运行时，我们常常需要调用第三方包，而很多包之间也存在和 Linux 软件包类似的依赖关系（看不懂的话，可以回头看前文 包管理器 的介绍）。于是人们专门开发了针对 Python 第三方包的包管理器，pip 就是最典型的一个。

接下来，你的一切工作似乎的非常顺利，直到……

依赖冲突#

某一天，你运行 Python 程序时发现第三方包 C 用不了，检查后发现：它依赖包 D 的一个旧版本接口，但你系统里的其他包大多只需要 D 的新旧版本都有的接口。这就造成了 依赖冲突。

为了解决这个问题，你在依赖说明里添上符合要求的版本，把所有依赖 D 的包的需求取个交集 —— 比如算出来 1.14 版本的 D 刚好满足所有需求，于是用 Python 包管理器把 D 的版本改成了 1.14。

不可调和的依赖冲突与依赖污染#

你开始把开发依赖存到单独的文件夹里，和系统自带的依赖（base 环境）彻底分开，两者互不干扰；同时，给每个项目配一份单独的依赖环境。这样一来，上面的问题全解决了 —— 人们把这个方法叫做 虚拟环境。

从此，虚拟环境配合包管理器，再也不用担心依赖冲突了，可喜可贺～

虚拟环境#

你开始把开发时需要的依赖存放在一个单独的文件夹中与系统依赖（base 环境）彻底分开，这样两者就不会产生冲突，同时，针对不同的项目，你可以为每一个项目配置一份单独的依赖环境，彻底解决了上面的问题，你管这个新的发明叫做虚拟环境。

从此，通过虚拟环境与包管理器的配合，你和服务器过上了幸福的生活，真是可喜可贺，可喜可贺……

uv#

现在你已经了解了包管理、虚拟环境的基本概念，接下来介绍 uv。

uv 是一个 Python 包管理工具，同时具备 Python 版本管理、包管理、虚拟环境管理等功能，比 Python 官方工具更简单、更可靠。

接下来，我们就用 uv 配置 Python 环境，让 MaiBot 顺利在设备上跑起来。

安装依赖#

首先为 MaiBot 核心创建虚拟环境并安装依赖。

1
uv venv --python 3.12
2
cd MaiBot
3
uv pip install -r requirements.txt -i https://mirrors.aliyun.com/pypi/simple --upgrade
4
# 创建文件夹
5
mkdir config
6
# 复制并重命名配置文件
7
cp template/bot_config_template.toml config/bot_config.toml
8
cp template/model_config_template.toml config/model_config.toml
9
cp template/template.env .env

接下来为 NapCat 适配器创建虚拟环境并安装依赖，同时启用配置文件。

1
cd ../MaiBot-Napcat-Adapter
2
uv pip install -i https://mirrors.aliyun.com/pypi/simple -r requirements.txt --upgrade
3
# 复制并重命名文件
4
cp template/template_config.toml config.toml

最终文件结构应该如图：

1
maimai
2
├── .venv # 虚拟环境
3
├── MaiBot # MaiBot 核心
4
│   ├── changelogs
5
│   ├── config
6
│   ├── data
7
│   ├── depends-data
8
│   ├── src
9
│   │   └── ...
10
│   └── template
11
└── MaiBot-Napcat-Adapter # MaiBot NapCat 适配器
12
    ├── config.toml
13
    └── template

配置 NapCat#

这里 NapCat 的配置方法已经在前文讲述此处不再赘述。

启动#

之后的启动流程参考 官方文档 的内容。

补充：编写自动化运行脚本#

这里我们每次都输入一大堆指令显得非常麻烦，这里我为了偷懒编写了两份快速启动的脚本，贴出来供大家参考。

使用本脚本前请先安装一些依赖：

1
sudo apt update
2
sudo apt install tmux

然后编写下面两个文件：

maibot.sh：

1
#!/bin/bash
2

3
# 定义会话名称
4
SESSION_NAME="maibot"
5
# 定义执行命令的目录
6
EXECUTION_DIR="${HOME}/maimai"
7
# 定义要执行的命令
8
COMMAND=".venv/bin/activate && cd \"${EXECUTION_DIR}/MaiBot\" && uv run python3 bot.py"
9

10
# 检查执行目录是否存在
11
if [ ! -d "$EXECUTION_DIR" ]; then
12
    echo "错误：执行目录 $EXECUTION_DIR 不存在！"
13
    exit 1
14
fi
15

16
# 检查会话是否已经存在
17
if ! tmux has-session -t "$SESSION_NAME" 2>/dev/null; then
18
    # 会话不存在，创建新会话并在指定目录下运行命令（cd失败则退出）
19
    tmux new-session -d -s "$SESSION_NAME" \
20
        "cd \"$EXECUTION_DIR\" && $COMMAND || read -p '命令执行失败，按任意键退出...'"
21
    echo "会话 $SESSION_NAME 创建成功。"
22
else
23
    # 会话已存在，提示信息
24
    echo "会话 $SESSION_NAME 已存在，正在连接..."
25
fi
26

27
# 连接到会话
28
tmux attach -t "$SESSION_NAME"

adapter.sh：

1
#!/bin/bash
2

3
# 定义会话名称
4
SESSION_NAME="maibot"
5
# 定义执行命令的目录（展开~为绝对路径，避免tmux环境中路径解析问题）
6
EXECUTION_DIR="${HOME}/maimai"
7
# 定义要执行的命令（使用绝对路径更可靠）
8
COMMAND=".venv/bin/activate && cd \"${EXECUTION_DIR}/MaiBot-Napcat-Adapter\" && uv run python3 main.py"
9

10
# 检查执行目录是否存在
11
if [ ! -d "$EXECUTION_DIR" ]; then
12
    echo "错误：执行目录 $EXECUTION_DIR 不存在！"
13
    exit 1
14
fi
15

16
# 检查会话是否已经存在
17
if ! tmux has-session -t "$SESSION_NAME" 2>/dev/null; then
18
    # 会话不存在，创建新会话并在指定目录下运行命令（cd失败则退出）
19
    tmux new-session -d -s "$SESSION_NAME" \
20
        "cd \"$EXECUTION_DIR\" && $COMMAND || read -p '命令执行失败，按任意键退出...'"
21
    echo "会话 $SESSION_NAME 创建成功。"
22
else
23
    # 会话已存在，提示信息
24
    echo "会话 $SESSION_NAME 已存在，正在连接..."
25
fi
26

27
# 连接到会话
28
tmux attach -t "$SESSION_NAME"

之后启动时我们只需要运行这两个脚本即可。

要从会话中退出，请使用 Ctrl+b 然后输入 d。