<!-- 单体/微服务打包控制：true=单体模式（子模块跳过repackage），false=微服务模式 --><skip.repackage>false</skip.repackage>...<profiles>    <!-- boot 单体运行环境 -->    <profile>        <id>boot</id>        <properties>            <profile.name>boot</profile.name>            <skip.repackage>true</skip.repackage>        </properties>    </profile>    <!-- cloud 微服务运行环境（默认） -->    <profile>        <id>cloud</id>        <activation>            <activeByDefault>true</activeByDefault>        </activation>        <properties>            <profile.name>cloud</profile.name>            <skip.repackage>false</skip.repackage>        </properties>    </profile></profiles>

cd ruoyi-officemvn clean package "-Dmaven.test.skip=true" "-Dskip.repackage=true" -pl yudao-server -am -Pbootls -lh yudao-server/target/yudao-server.jar

VITE_BASE=/VITE_BASE_URL=/webVITE_GLOB_API_URL=/admin-apiVITE_UPLOAD_TYPE=serverVITE_ROUTER_HISTORY=hashVITE_APP_CAPTCHA_ENABLE=trueVITE_APP_DOCALERT_ENABLE=falseVITE_GLOB_DEMO_ENABLE=falseVITE_APP_DEFAULT_USERNAME=VITE_APP_DEFAULT_PASSWORD=# 构建命令：#   cd ruoyi-office-vben#   pnpm install#   pnpm build:antd# 产物目录：apps/web-antd/dist（以构建输出为准）

location /admin-api {    proxy_pass http://127.0.0.1:48080/admin-api;    proxy_set_header Host remote_addr;    proxy_set_header X-Forwarded-For scheme;    # 建议追加：置空后 Nginx 不会把该头转给上游（示例，需自测）    proxy_set_header login-user "";}location ^~ /infra/ws {    proxy_pass http://127.0.0.1:48080/infra/ws;    proxy_set_header Host proxy_add_x_forwarded_for;    proxy_set_header X-Forwarded-Proto http_upgrade;    proxy_set_header Connection "upgrade";    proxy_read_timeout 3600s;    proxy_send_timeout 3600s;    proxy_buffering off;}

/** * 构建 WebSocket 地址。 * * 生产环境前端部署在 /web 子路径下，VITE_BASE_URL=/web 只适用于 iframe 等前端子路径资源； * WebSocket 需要连到站点根路径下的后端代理 /infra/ws。 */export function buildWebSocketUrl(path: string, token?: string) {  const normalizedPath = path.startsWith('/') ? path : `/{MYSQL_URL:jdbc:mysql://127.0.0.1:3306/ruoyi-office?useSSL=false&serverTimezone=Asia/Shanghai&...}          username: {MYSQL_PASSWORD:请修改为现场密码}  # 注意：不要写 password: {REDIS_HOST:127.0.0.1}      port: {REDIS_DATABASE:0}flowable:  # 生产禁止自动建/改表，表结构以交付 SQL 为准  database-schema-update: false

# /etc/systemd/system/yudao-server.service[Unit]Description=YuDao ServerAfter=network.target mysql.service redis.service[Service]Type=simple# 手册示例是 root，建议改为专用账号，并授权 /data/appUser=yudaoWorkingDirectory=/data/app# 环境文件权限 600，内容为 MYSQL_URL、MYSQL_PASSWORD、# SPRING_DATA_REDIS_PASSWORD、LOG_PATH 等，不进 GitEnvironmentFile=/data/app/yudao.envExecStart=/usr/bin/java -Xms512m -Xmx2048m -jar /data/app/yudao-server.jar --spring.profiles.active=prodRestart=on-failureRestartSec=10[Install]WantedBy=multi-user.target

<!-- 滚动策略：基于【每天 + 大小】创建日志文件 --><rollingPolicy class="ch.qos.logback.core.rolling.SizeAndTimeBasedRollingPolicy">    <fileNamePattern>{LOG_PATH}，Docker 部署时要把它和挂载目录对齐。访问日志由 YudaoApiLogAutoConfiguration 里的条件注解控制，只要配置 yudao.access-log.enable=false 就不会注册这个过滤器。需要排查“某个用户某个接口为什么慢”时，可以临时打开，排完关掉：▲ 访问日志页。执行时长列能直接定位慢接口，“详情”可以看到完整的请求与响应元数据。注意这张截图的数据时间是 2024 年，来自较早的环境，仅用来展示页面形态，不代表当前线上数据。操作日志则回答“谁在什么时候改了什么”，也是客户验收时经常要看的审计证据：▲ 操作日志列表。每条记录带操作人、模块、操作内容、业务编号和操作 IP，内容是“创建用户”这类业务语言，而不是原始接口路径，这类记录来自 service 方法上的 @LogRecord 注解。常用的排障入口汇总如下：现象先看哪里命令或页面后端起不来应用日志文件，再看进程输出tail -f 日志文件；再看 journalctl -u yudao-server -f 或 docker logs -f yudao-server接口 500错误日志页与应用日志管理端错误日志；日志文件里搜异常类名某接口很慢临时打开访问日志访问日志页按“执行时长”排序某数据被改操作日志按业务编号或操作人筛选入口不通Nginx 日志/var/log/nginx/error.log 或容器内日志八、数据库备份与恢复部署手册的验收清单里只写了“备份 cron 已配置（库 + upload 目录）”，并没有给出脚本。下面是我给的示例，思路是三样东西同时备份：数据库、上传目录、当前运行的 JAR 与静态目录。密码放进权限为 600 的客户端配置文件，不要出现在命令行里。示例未在真机上执行：# 备份（示例，未实测）。/data/backup/.my.cnf 含账号密码，权限 600STAMP=STAMPmysqldump --defaults-extra-file=/data/backup/.my.cnf \  --single-transaction --routines --triggers \  --default-character-set=utf8mb4 ruoyi-office \  | gzip > /data/backup/STAMP/upload.tgz -C /data/app uploadcp /data/app/yudao-server.jar /data/backup/STAMP/web-dist.tgz -C /data/nginx/html web# 恢复演练：只导入到演练库，确认可读后再决定是否覆盖生产库gunzip -c /data/backup/$STAMP/ruoyi-office.sql.gz \  | mysql --defaults-extra-file=/data/backup/.my.cnf restore_check三个原则：备份要定时，更要做恢复演练，没演练过的备份只能算“可能能用”；升级前必备份，因为 prod 关闭了 Flowable 的自动改表，表结构只由 SQL 变更，一旦执行出错只能靠备份回退；增量升级 SQL 默认只执行归档目录里 01_apply_必跑 一类，02_optional_可选需确认 要逐条评估。九、发布流水线：七步走完才算上线把前面的内容串成一条固定流水线。每一步都有出口条件，不满足不进入下一步：▲ 发布流水线。七个方框从左到右依次推进；最右边的“放行或回滚”如果出现红灯，虚线箭头回到“上传切换”，换回上一版产物后重新走启动自检和冒烟回归。图下方列了上线当天最常见的三类现象和第一步该看的位置。步骤动作出口条件1 构建产物后端 -Pboot 打 JAR，前端 pnpm build:antdJAR 与 dist 都生成，产物带版本号归档2 备份现网备份库、上传目录、旧 JAR、旧 dist能说出每一份备份放在哪、怎么恢复3 配置与密钥选 prod，注入环境变量，换默认口令配置核对表全部勾选4 上传切换上传产物，重启后端，替换静态目录只改了 Nginx 配置才需要 nginx -t 并 reload5 启动自检看日志、探活日志出现 Started，/actuator/health 返回 UP6 冒烟回归按下文七项用例执行全部通过7 放行或回滚判定全绿放行，任一红灯回滚十、上线前验收清单与回归用例验收清单整理自部署手册里的“上线验收清单”，按“检查项、通过标准”两列使用，实施时建议另加一列“证据”，写截图或命令输出的位置：分组检查项通过标准连通入口能打开登录页/web/ 可打开并登录连通接口经 Nginx 正常网络面板里 /admin-api 无 502安全端口暴露公网扫描 3306、6379、48080、8080、8081 与 Nacos 均不可达安全生产 profile后端 prod，前端 production 构建，无“演示环境”横幅安全开发开关验证码开启，mock-enable 为 false，Swagger 与 Druid 控制台关闭，Actuator 不是全部暴露安全默认口令admin 与库、Redis、Nacos 等密码都已更换存储文件配置主配置指向本地盘或客户对象存储，上传后能预览业务菜单与列表菜单和列表正常加载业务审批一条审批流能走完；微服务下 BPM 通知为 mq运维备份备份任务已配置，且做过一次恢复演练清单里的“登录”是第一道门。生产构建的登录页不应预填账号和密码，前后端的验证码开关也要一致：▲ 登录页。生产构建下 .env.production 里默认账号与密码都是空的，所以这里不应出现预填内容；是否弹出滑块验证码，取决于后端 yudao.captcha.enable 与前端 VITE_APP_CAPTCHA_ENABLE 是否一致。这张图用来对照验收，不代表某一个客户现场。冒烟之外，我建议固定七项回归用例，每次发布都按同一顺序执行：用例怎么测通过标准失败先查登录用非 admin 的普通账号登录进入首页，刷新页面后仍保持登录验证码前后端开关；Redis 连接菜单切换几个模块菜单菜单与页面都能打开，无 404/web 的 alias 与 try_files；菜单组件路径权限用无权限账号访问受限按钮与接口按钮不出现，接口返回无权限角色菜单授权；权限标识是否与注解一致流程提交一张用车申请，审批通过单据状态同步为审批通过BPM 通知类型；监听器前缀；日志里的回写异常附件上传超过 1MB 的文件并预览上传成功，预览地址可访问client_max_body_size；文件配置的自定义域名消息登录后让另一人触发一条待办页面实时出现提示/infra/ws 是否返回 101；升级头与超时移动端用手机登录并发起一张单据能登录、上传、提交VITE_SERVER_BASEURL 是否为带协议的绝对地址十一、监控与回滚监控本文只讲最低限度，能在仓库里直接核对到的有这些：探活：/actuator/health，prod 暴露的端点只有 health、info、metrics，Docker 的 healthcheck 就是调用它。内置监控页：管理端“监控中心”里有 Redis 监控，能看版本、内存、命令统计。默认没有开的：Druid 控制台在 prod 关闭；Spring Boot Admin 的客户端在 prod 配置里是 enabled: false；SkyWalking 的日志追加器在 logback-spring.xml 里是注释状态。需要时再按合同开启，不要为了“看着全”而打开。▲ Redis 监控页。概览里能看到单机模式、端口、客户端数、键数量和持久化状态，下方是内存仪表盘与命令统计。这张截图来自某个开发环境：其中 AOF 显示为“否”，命令统计里出现了 xreadgroup，说明有组件在用 Redis Stream 消费；它具体由哪个组件产生，我没有逐一核实。主机层面的告警（磁盘、内存、进程存活）本文不展开，最低限度建议对 /actuator/health 做定时探活，并对数据盘设水位告警。回滚回滚不是“重新部署一次”，而是换回上一版已验证过的产物。顺序是：停后端（或直接替换后重启）；把备份的 yudao-server.jar 放回原位，把备份的静态目录换回；重启后端，重新走“启动自检”和“冒烟回归”；只有这次发布执行过数据库变更、且旧版本无法兼容新表结构时，才恢复数据库备份，恢复前先确认会丢失哪一段时间的数据。微服务形态下，部署手册约定 /data/app/jars 目录保留回滚用的 JAR。数据库回退是破坏性操作，增量 SQL 里的 03_rollback_仅回滚 目录也只在明确需要时执行。十二、常见生产故障矩阵现象常见原因先看哪里处理页面 502 或 504后端没起来或端口不对curl 127.0.0.1:48080/actuator/health，再看后端日志修后端；确认 proxy_pass 端口/web/ 404 或白屏alias 路径不对、与 default.conf 冲突、静态文件未上传ls 看 index.html；nginx -T校正路径，nginx -t 后 reload后端启动后马上退出MySQL 或 Redis 连不上、密码不对、端口被占进程日志核对环境变量；Redis 密码用 SPRING_DATA_REDIS_PASSWORD页面好了但没有实时消息/infra/ws 没带升级头或被静态站拦截网络面板里的 WS 请求状态补 location，确认返回 101启动失败却看不到日志prod 只写文件，控制台没有输出LOG_PATH 指向的目录到日志文件里找；容器要确认挂载目录上传附件失败超过 client_max_body_size、目录无权限、主配置不对Nginx 日志；文件配置“测试”调大限制；修权限；改主配置附件能传但打不开“自定义域名”写了本机地址看预览请求的地址改成浏览器可访问的域名移动端上传报重复 /admin-apiH5 构建把接口地址写成了相对路径看最终 JS 产物里的接口地址改为带协议的绝对地址并重新打包流程结束了单据仍“审批中”微服务下 BPM 通知仍是 local；或回写异常被吞配置与日志里的回写异常改为 mq 并确认 Redis Stream；排查监听器登录后仍有“演示环境”横幅误用了 demo 构建看前端构建模式用 production 重新构建磁盘写满日志无上限或访问日志长期打开日志目录与 Docker 日志保留 totalSizeCap；限制 json-file 大小JAR 体积异常大构建漏了 -Dskip.repackage=true看产物大小按单体命令重新打包在线编辑器报 Editor.bin 404没反代 /cache/、/coauthoring/Nginx 配置补 location，proxy_pass 用服务名十三、本文发现的几处不足与需要人工确认的事仓库自带 compose 与部署手册要求相反。 默认 profile 是 demo，三个端口对全部网卡开放。本文只指出了问题，没有改它；上线要用的应是客户交付包里的 compose，或自己改过的版本。Redis 密码变量名不一致。 手册示例用 REDIS_PASSWORD，prod 配置读的是 SPRING_DATA_REDIS_PASSWORD。结论来自读配置，未真机验证，建议更新手册。手册与仓库对前端环境的描述不一致。 Node、pnpm 版本和 VITE_BASE_URL 的示例值都与仓库实际不同，本文以仓库文件为准。后端跨域对任意来源开放并允许凭证。 在“端口不对公网”的前提下问题不大，但这个前提要靠验收清单里的端口扫描来保证。示例密钥在仓库里。 基础配置与前端 .env 里带有配对的加解密示例密钥，生产必须成对更换。WebSocket 令牌在 URL 查询串里。 部署手册的 /infra/ws location 没有关闭访问日志，Nginx 的访问日志会记录带令牌的 URL。建议给该 location 加 access_log off，或在日志里脱敏。这一点未在真机验证。WebSocket 消息发送默认是本地模式。yudao.websocket.sender-type 默认值是 local，后端起多个实例时，需要改成 redis 或某种 MQ 才能互相转发。单实例不受影响。手册的日志位置与 prod 日志配置不完全吻合。 手册写“JAR 加 systemd 用 journalctl、Docker 用 docker logs”，但 prod 的 logback 只写文件、不写控制台，应用日志的主要位置是 LOG_PATH 下的文件。这一点我是从配置推断的，没有真机验证，两处都看最稳妥。没有真实部署验证。 本文所有命令与结论来自阅读配置、源码和现有文档与截图，没有在真实服务器上完整跑过一遍。示例命令（备份、systemd 的环境文件、Nginx 置空 login-user）上线前请先在测试环境验证。十四、今天学完你应该能做到说清 local、dev、demo、prod 在验证码、模拟登录、监控端点上的差异，并能指出 compose 样例里要改的两处。用 -Pboot 打出单体 JAR，用 pnpm build:antd 构建前端，解释 skip.repackage 的作用。写出托管 /web/、反代 /admin-api 与 /infra/ws 的 Nginx 配置，并说出切 HTTPS 后要同步改的四处。用环境变量管理数据库与 Redis 密码，知道哪些密钥要成对更换。区分应用日志、访问日志、错误日志、操作日志，并按现象选入口。做一次备份并做一次恢复演练，按七步流水线发布，出现红灯时能回滚。常见问题（FAQ）测试环境应该用哪个 profile？仓库没有 test profile。建议测试环境使用 prod 配置，连独立的测试库，这样验证的就是生产的安全基线。dev 和 local 的验证码、模拟登录等开关是为开发调试准备的，不适合做验收。前端换域名需要重新构建吗？PC 端不需要。VITE_GLOB_API_URL 是相对路径 /admin-api，浏览器会连当前域名。需要重新构建的是 UniApp H5，它要求接口地址是带协议的绝对地址，换域名必须重新打包。一定要上微服务吗？不需要。单机、单体即可交付，部署手册对单体的基线是 4 核 8G 起。微服务适合需要按模块独立发布和扩缩、并且有 4 台以上主机的客户。选微服务时记得把 BPM 通知改成 mq。后端端口为什么不能对公网开放？一是后端自带的跨域配置允许任意来源带凭证访问，二是令牌过滤器会信任 login-user 请求头。把端口只绑到本机，所有流量都经过 Nginx，这两个风险才有收口的地方。访问日志默认是关的，线上怎么排查慢接口？临时把 yudao.access-log.enable 打开并重启，排查完关闭。若没有启用 XXL-Job，清理任务不会被调度，要记得及时关，必要时手动清理历史数据。系列进度与全文回顾篇目主题状态（一）架构篇——一个底座，多端通达已发布（二）启动篇——从源码到前后端联调，跑通开发环境已发布（三）后端篇——从业务建模到接口开发，做出一个完整模块已发布（四）前端篇——从菜单路由到表单列表，完成业务页面已发布（五）权限篇——把登录、角色、数据权限与租户隔离讲透已发布（六）流程篇——接入审批，让业务单据真正流转起来已发布（七）上线篇——从测试验收到部署上线，完成企业项目交付本篇七天走下来，是同一条主线：先在架构篇认清多端共用一个底座，在启动篇把环境跑通，在后端篇和前端篇做出一个完整的用车申请模块，在权限篇划清谁能看什么，在流程篇让单据真正流转，最后在上线篇把它交付到生产。如果你要继续深入某一环，可以回到对应篇目，或者查阅文档站里的部署指南与上线文档。如果这篇对你有用，点个「在看」或收藏。打开演示地址直接查看系统。