# sbp

`sbp` 在用户级别搭建和管理 sing-box Hysteria2 服务. 不需要 root. 服务由 systemd user 管理.

## 部署到 VPS

一条命令下载并安装 `sbp`:

```bash
curl -fsSL https://raw.githubusercontent.com/justypist/sbp/main/install.sh | bash
sbp install
```

下载后直接开始搭建:

```bash
curl -fsSL https://raw.githubusercontent.com/justypist/sbp/main/install.sh | bash -s -- --run
```

`install.sh` 只安装 `sbp` 命令. 环境变量 `SBP_BIN` 可以改变安装目录 (默认 `~/.local/bin`).

也可以手动复制:

```bash
install -m 755 sbp ~/.local/bin/sbp
sbp --version
```

依赖: Linux, systemd user, openssl, python3 (标准库). 网络可访问 GitHub.

## 用法

```bash
sbp install                 # 下载最新 sing-box, 生成证书和用户, 启动服务, 打印配置
sbp install --port 8443 --sni www.example.com --host 203.0.113.10
sbp install --cert fullchain.pem --key privkey.pem --sni example.com
sbp new phone               # 新增用户并打印配置
sbp list                    # 列出用户和分享链接
sbp show phone              # 打印用户的完整配置
sbp show phone --uri        # 只打印分享链接
sbp show phone --json       # 只打印 sing-box 客户端配置
sbp show --cert             # 打印服务端证书
sbp del phone               # 删除用户
sbp status                  # 服务状态
sbp log -f                  # 查看日志
sbp upgrade                 # 升级 sing-box
sbp uninstall               # 停止并删除服务和程序, 保留配置
sbp uninstall --purge       # 同时删除配置和证书
```

`install` 的选项:

| 选项 | 默认值 | 说明 |
| --- | --- | --- |
| `--port` | 随机空闲端口 | UDP 监听端口, 必须 >= 1024 |
| `--listen` | `::` | 监听地址, 默认同时监听 IPv4 和 IPv6 |
| `--sni` | `--host` 是域名时用它, 否则 `www.bing.com` | TLS server name 和证书名 |
| `--host` | 自动探测公网 IP | 打印给客户端使用的地址 |
| `--cert` / `--key` | 自签名证书 | 使用已有证书, 证书和私钥必须匹配 |
| `--masquerade` | `https://<sni>` | 伪装地址 |
| `--no-obfs` | 关闭 | 关闭 salamander 混淆 (不推荐) |
| `--sing-box-version` | 最新版 | 指定 sing-box 版本 |
| `--force` | 关闭 | 重装并保留已有用户 |

## 安全设计

- 密码和混淆密码由 `secrets.token_urlsafe(32)` 生成, 每个用户独立.
- 默认自签名 ECDSA P-256 证书, 有效期 10 年, 只含一个 SAN.
- TLS 最低版本 1.3, ALPN 只用 `h3`.
- 客户端配置使用 `certificate_public_key_sha256` 固定证书公钥. 不开启 `insecure`.
- 服务以非特权用户运行, 只监听 >= 1024 的端口.
- 下载的 sing-box 压缩包与 GitHub 发布的 `sha256` 摘要比对.
- systemd 加固: `NoNewPrivileges`, `ProtectSystem=strict`, `ProtectHome=read-only`,
  `PrivateTmp`, `PrivateDevices`, `ProtectProc=invisible`, `ProcSubset=pid`,
  `ProtectKernelTunables`, `ProtectKernelModules`, `ProtectKernelLogs`,
  `RestrictAddressFamilies` (含 `AF_NETLINK`), `RestrictNamespaces`,
  `MemoryDenyWriteExecute`, `SystemCallFilter=@system-service`, 空 capability 集等.
- `InaccessiblePaths` 屏蔽家目录中的常见凭据目录 (`~/.ssh`, `~/.gnupg`, `~/.aws`,
  `~/.kube`, `~/.docker`, 浏览器配置等). 只屏蔽已存在的路径.
- 配置和状态文件权限 `0600`, 证书目录权限 `0700`.
- 日志级别 `warn`, 不记录访问日志.

## 分享链接与 pinSHA256

分享链接中的 `pinSHA256` 是证书 DER 的 SHA-256, 十六进制. 这与 Hysteria 2 URI 规范一致.

部分客户端不支持 `pinSHA256`. 这些客户端会拒绝自签名证书. 请改用 `sbp show <name> --json`
输出的 sing-box 客户端配置. 不要为了兼容而关闭证书校验.

客户端配置使用 `certificate_public_key_sha256`. 该字段要求 sing-box 1.13 或更高版本.
旧客户端无法解析.

## 文件位置

| 路径 | 内容 |
| --- | --- |
| `~/.config/sbp/state.json` | 用户, 端口, 密码, 证书指纹 |
| `~/.config/sbp/sing-box.json` | 生成的 sing-box 服务端配置 |
| `~/.config/sbp/certs/` | 证书和私钥 |
| `~/.local/share/sbp/bin/sing-box` | sing-box 程序 |
| `~/.config/systemd/user/sbp.service` | systemd user 单元 |

## 说明

- 主机需要公网可达的 UDP 端口. 路由器 NAT 需要端口转发.
- 防火墙需要放行 UDP 端口. `install` 会打印示例命令.
- 用户级服务依赖 lingering. 确认 `loginctl show-user $USER -p Linger` 输出 `Linger=yes`.
  `sbp install` 在未开启 lingering 时会给出警告.
- 主机没有 IPv6 时, 默认监听 `0.0.0.0`, 不会监听 `::`.
- 首次安装后, `sbp` 会等待服务进入 `active`. 如果失败, 用 `sbp log` 查看原因.
- Python 的 `urllib` 不读取 `ALL_PROXY`. 使用 SOCKS 代理时请设置 `HTTPS_PROXY`.
- 文件位置遵循 `XDG_CONFIG_HOME` 和 `XDG_DATA_HOME`. 上表按默认值列出.