自持镜像

01安装（全新服务器）

在干净的 Linux 系统上执行：

curl -sSL https://bt.kajiejie.com/install/install.sh | bash

装完后脚本会自动：建安全基线 → 跑一次自检并打印结果 → 安装每日定时巡检。 留意最后几行：出现 首次安全自检通过。 即为正常； 若出现红色 发现问题，请立即人工检查，不要继续使用。

02升级（已装面板的机器）

前置条件：该机器已经装过面板（存在 /www/server/panel/BTPanel）。

curl -sSL https://bt.kajiejie.com/install/update6.sh | bash

不带参数时升级到镜像当前版本（13.0.0）。 也可以指定版本（版本号见下方清单）：

curl -sSL https://bt.kajiejie.com/install/update6.sh | bash -s 13.0.0

升级前先做预检（推荐）

只读检查，不会改动任何东西，用来确认这台机器到底能不能升级：

curl -sSL https://bt.kajiejie.com/install/update6.sh | bash -s -- --check

它会检查：是否 root（非 root 直接指出，因为要写 /www/server/panel 和 /etc/init.d/bt）、关键目录可写性、 架构（ARM 机器会明确指出不支持，因为脚本在 ARM 上会请求 LinuxPanel-7.7.0.zip 而本镜像只托管 x86_64 版本）、系统类型与 64 位、 面板目录、pyenv、必需命令、磁盘空间、镜像连通性、目标版本与升级包是否可取、.pl 校验信息、 以及 bt.cn 辅助依赖。全部通过才建议真正升级。

支持的系统

与官方的 install.sh 一致 —— 64 位，且命中下面的「拒绝名单」才会被拦：

注：升级脚本 update6.sh 本身对系统几乎没有限制，只有两处前置条件 —— /www/server/panel/BTPanel 与 pyenv/bin/python3 必须存在。 上面的「支持/拒绝」来自安装脚本 install.sh 的判定逻辑，预检里保持一致。

「官方宝塔 → 本脚本升级」这条路已补齐

官方面板 UI 升级时会先跑 script/update_prep_script.sh， 它会补装新版需要的 Python 包（asn1crypto/cbor2/numpy/openai/pydantic） 并执行各版本的一次性迁移。官方命令行升级脚本不跑它，而官方面板的 pyenv 里正好没有这几个包 （官方 pip-3.7.16.txt 未收录），所以本镜像在 update6.sh 里补上了这一步：

• prepare 阶段 —— 下载/替换面板文件之前
• after 阶段 —— 文件替换之后、重启面板之前

调用方式与官方一致：bash script/update_prep_script.sh <版本> <是否LTS> <prepare|after>， 以输出中出现 BT-Panel Update Ready 判定成功。失败只提示、不中断升级。 不装这个脚本也能升级（面板核心不依赖这几个包，缺的只是面板的「AI 功能」）。

03插件安装（专业版 / 企业版 / 收费插件）

镜像里已备好 46 个插件包 （专业版应用 19 个全部 + 企业版应用 25 个），以及它们安装时引用的依赖文件。 在目标服务器上执行：

# 先看清单
curl -sSL https://bt.kajiejie.com/tools/install_plugin.sh | bash -s -- --list

# 安装指定插件（可多个）
curl -sSL https://bt.kajiejie.com/tools/install_plugin.sh | bash -s -- btwaf msg_push

# 安装全部「专业版应用」/「企业版应用」
curl -sSL https://bt.kajiejie.com/tools/install_plugin.sh | bash -s -- --pro
curl -sSL https://bt.kajiejie.com/tools/install_plugin.sh | bash -s -- --ent

厂商 CDN 上确实没有包、因此未能镜像的：enterprise_backup、tamper_drive（企业版 2 个）。

面板的「云端」也已指向本镜像

上面的安装 / 升级脚本会自动打补丁，把面板下面这些功能改从本镜像取，装完自动重启面板生效：

手动单独执行 / 检查：

curl -sSL https://bt.kajiejie.com/tools/bt_selfhost_patch.sh | bash
curl -sSL https://bt.kajiejie.com/tools/bt_selfhost_patch.sh | bash -s -- --check

04安全自检工具

检查面板是否被植入已知后门（bt.sb / bash.moe 团伙手法）： requests 库 URL 劫持、pyenv 恶意域名、后门型 URL 重写、 安装脚本指向非官方源、pip 源被换、关键文件漂移。

已被上面的安装/升级脚本自动装好

每日 04:17 自动巡检，日志 /var/log/btpanel-security-check.log（干净时无内容）。

手动安装 / 复查

mkdir -p /root/security-check && cd /root/security-check
curl -sSLO https://bt.kajiejie.com/tools/check_btpanel.sh
curl -sSLO https://bt.kajiejie.com/tools/install-notes.txt
chmod 700 check_btpanel.sh

bash check_btpanel.sh                  # 完整自检
bash check_btpanel.sh --init-baseline  # 建/重建基线
bash check_btpanel.sh --quiet          # 干净时零输出（cron 用）

05升级包清单 （1 个）

升级包与同名 .pl（校验信息）必须成对存在；.pl 里的 hash 等于对应 .zip 的 sha256。

06其他文件

接口桩（面板内部调用，一般无需关心）

07必须知道的坑

ipset list bt_ip_filter          # 看有没有那个源 IP
tail /www/server/panel/logs/ipfilter.log

curl -sS -o /dev/null -w '%{http_code}\n' -X POST https://bt.kajiejie.com/down/download_plugin -d 'name=monitor&version=4&os=Linux'   # 期望 200
curl -sS https://bt.kajiejie.com/api/panel/get_panel_version_v3    # 期望一段 JSON
ls /www/server/panel/vhost/nginx/extension/bt.kajiejie.com/        # 期望看到 mirror_api.conf

08镜像维护

本镜像是与 install.btweb.co 同步的快照，不会自动更新。 站点根目录：/vol2/1000/ydp/bt.kajiejie.com（由 __DIR__ 动态获取，搬家后本页自动正确）。新增版本时：

# 1) 放好新的升级包与校验信息
cp LinuxPanel-<新版本>.zip /vol2/1000/ydp/bt.kajiejie.com/install/update/
#    并生成同名 .pl，内容: {"hash": "<zip 的 sha256>", "update_time": "<时间戳>"}

# 2) 更新对外公布的版本号（三处一致）
echo -n <新版本> > /vol2/1000/ydp/bt.kajiejie.com/api/panel/get_version
#    api/panel/get_panel_version_v3 / get_stable_panel_version_v3 的返回体在 nginx 配置里:
#    /www/server/panel/vhost/nginx/extension/bt.kajiejie.com/mirror_api.conf
#    （改完记得同步本地备份: /root/as-mirror-config-backup/mirror_api.conf.bt.kajiejie.com）

# 3) 本页无需改动 —— 版本、大小、时间都是实时读取的

搬家 / 换服务器 / 换域名：照 move-notes.txt 清单走（打包自包含目录 → 新机建站 → 还原 mirror_api.conf → 三接口自检； 换域名还要批量替换 install/*.sh 与 install/plugin/*/install.sh 里的旧域名，已分发出去的客户端建议新旧域名并列服务、不可 301）。