Meridian 把多站点反代、UA 身份、流量管控和故障诊断整合进一个管理面板。适合希望直接部署、不想手写多套反代配置的个人或小型 Emby 环境。

最新发布：v1.12.4。当前版本统一采用双向流量计费（入站 + 出站，各计算一次），支持可选独立播放回源地址、响应式趋势图、三档自动发现、线路级 HTTP/HTTPS 配置、标准 IANA 调度时区、Cloudflare DNS-01 泛域名证书，以及账户变更后的旧会话失效。

仪表盘	站点管理
站点编辑器	全局设置
请求日志

_{截图来自 v1.12.2 临时全新数据库，未添加任何站点；点击图片查看原图。}

bash <(curl -fsSL https://raw.githubusercontent.com/snnabb/Meridian/master/install.sh)

脚本会进入四项菜单：安装、更新、修改管理员密码、卸载。选择“安装”后可直接输入管理面板端口；留空时首次安装默认使用 9090，已有安装则保留当前端口。首次安装会自动补齐 curl、证书、校验和文本处理等基础依赖；若 Release 带 Sigstore 签名，脚本会下载并校验固定版本的临时 cosign，再验证 SHA256SUMS 签名，无需用户预装 cosign。Linux systemd 部署默认使用独立的非 root 用户。

安装完成后：

1. 未配置域名时，安装器默认只绑定 127.0.0.1，请通过 HTTPS 反向代理访问；配置域名后访问对应的 HTTPS 地址。安装器申请的是面板精确域名证书；共享站点入口需要泛域名证书时，请在登录面板后进入“全局设置 → TLS 设置”完成 Cloudflare DNS-01 申请。若确需临时直接暴露明文 HTTP，必须显式设置 ALLOW_INSECURE_HTTP=true，不建议用于生产环境。
2. 输入 1–64 个 UTF-8 字节的管理员账号、12–72 个 UTF-8 字节的密码并再次确认，以及安装时显示的初始化令牌。
3. 创建站点，选择入口模式，并按“协议、地址、端口”配置主线路和备用线路；HTTPS 新线路默认端口为 443。

# 安装；可在交互流程中配置面板 HTTPS 域名
bash <(curl -fsSL https://raw.githubusercontent.com/snnabb/Meridian/master/install.sh) install

# 非交互安装并自定义管理面板端口
bash <(curl -fsSL https://raw.githubusercontent.com/snnabb/Meridian/master/install.sh) install \
  --port 18090 -y

# 非交互安装并配置面板域名
bash <(curl -fsSL https://raw.githubusercontent.com/snnabb/Meridian/master/install.sh) install \
  --port 18090 --domain panel.example.com --email [email protected] -y

# 更新；自动备份、健康检查，失败时回滚
bash <(curl -fsSL https://raw.githubusercontent.com/snnabb/Meridian/master/install.sh) update

# 隐藏输入新密码，并轮换 JWT_SECRET
bash <(curl -fsSL https://raw.githubusercontent.com/snnabb/Meridian/master/install.sh) password

# 卸载并保留数据；只有添加 --purge 才删除数据目录
bash <(curl -fsSL https://raw.githubusercontent.com/snnabb/Meridian/master/install.sh) uninstall

面板内置的证书申请目前使用 Cloudflare DNS-01，申请范围为节点泛域名，例如 *.example.com。使用前请满足：

1. panel.example.com 和站点入口使用的子域名属于同一个 Cloudflare Zone，并按实际入口解析到 Meridian 或前置反向代理。
2. 在 Cloudflare 创建 API Token，至少授予目标 Zone 的 Zone Read 和 DNS Edit 权限；不要使用全局 API Key。
3. 在“全局设置 → TLS 设置”填写面板前缀、泛域名、ACME 邮箱和 Token，先保存域名设置，再点击“申请证书”。
4. Token 只用于 DNS-01 验证，数据库中以加密密文保存，管理 API 不返回原文；生产环境必须固定 MERIDIAN_SECRET_KEY，否则重启或迁移后无法解密已保存凭据。

证书申请支持 Let's Encrypt 生产环境和测试环境。申请成功后，若监听端口或 TLS 状态需要重新加载，页面会提示重启；自动续签由 Meridian 定时检查，当前 DNS 提供商实现为 Cloudflare。

mkdir meridian && cd meridian
umask 077
JWT_SECRET="$(openssl rand -hex 32)"
UPSTREAM_HEADER_KEY="$(openssl rand -hex 32)"
DYNAMIC_ROUTE_KEY="$(openssl rand -hex 32)"
MERIDIAN_SECRET_KEY="$(openssl rand -hex 32)"
SETUP_TOKEN="$(openssl rand -hex 32)"
cat > .env <<EOF
JWT_SECRET=$JWT_SECRET
UPSTREAM_HEADER_KEY=$UPSTREAM_HEADER_KEY
DYNAMIC_ROUTE_KEY=$DYNAMIC_ROUTE_KEY
MERIDIAN_SECRET_KEY=$MERIDIAN_SECRET_KEY
SETUP_TOKEN=$SETUP_TOKEN
EOF
chmod 600 .env
printf '首次初始化令牌：%s\n' "$SETUP_TOKEN"
unset JWT_SECRET UPSTREAM_HEADER_KEY DYNAMIC_ROUTE_KEY MERIDIAN_SECRET_KEY SETUP_TOKEN

services:
  meridian:
    image: ghcr.io/snnabb/meridian:latest
    restart: unless-stopped
    read_only: true
    cap_drop:
      - ALL
    security_opt:
      - no-new-privileges:true
    tmpfs:
      - /tmp:rw,noexec,nosuid,size=16m
    ulimits:
      nofile:
        soft: 65536
        hard: 65536
    ports:
      - "127.0.0.1:9090:9090"
      - "8001-8010:8001-8010"
    volumes:
      - meridian-data:/app/data
    env_file:
      - .env
    environment:
      PANEL_BIND_ADDR: 0.0.0.0
      ALLOW_INSECURE_HTTP: "true"

volumes:
  meridian-data:

docker compose up -d

Invoke-WebRequest -Uri "https://github.com/snnabb/Meridian/releases/latest/download/meridian-windows-amd64.exe" -OutFile "meridian.exe"
function New-MeridianSecret {
    $bytes = New-Object byte[] 32
    [System.Security.Cryptography.RandomNumberGenerator]::Create().GetBytes($bytes)
    -join ($bytes | ForEach-Object { $_.ToString('x2') })
}
$env:JWT_SECRET = New-MeridianSecret
$env:UPSTREAM_HEADER_KEY = New-MeridianSecret
$env:DYNAMIC_ROUTE_KEY = New-MeridianSecret
$env:SETUP_TOKEN = New-MeridianSecret
.\meridian.exe

git clone https://github.com/snnabb/Meridian.git
cd Meridian
go build -trimpath -buildvcs=false -o meridian ./cmd/meridian
export JWT_SECRET="$(openssl rand -hex 32)"
export UPSTREAM_HEADER_KEY="$(openssl rand -hex 32)"
export DYNAMIC_ROUTE_KEY="$(openssl rand -hex 32)"
export SETUP_TOKEN="$(openssl rand -hex 32)"
./meridian

./meridian                          # 默认监听 127.0.0.1:9090，数据库在当前目录
./meridian --port 8080              # 自定义管理端口
./meridian --db /data/meridian.db   # 自定义数据库路径

四个长期密钥必须两两不同，并与 SQLite 数据一起备份。丢失 UPSTREAM_HEADER_KEY 会让已有加密 Header 无法解密；丢失 MERIDIAN_SECRET_KEY 会让已保存的 Cloudflare/Telegram 凭据无法解密；轮换 DYNAMIC_ROUTE_KEY 会让正在使用的 capability 立即失效。一键安装器会生成并维护这些值。

默认“入站 + 出站”模式会把客户端上传到 Meridian 的代理载荷字节与 Meridian 返回给客户端的代理载荷字节各计算一次，即 入站 + 出站，不会再额外乘以 2。“仅出站”模式只计算返回给客户端的字节。站点配额、总览、趋势图和 Telegram 报告统一使用所选模式。

read -r -s -p '新密码: ' ADMIN_PASSWORD; echo
printf '%s\n' "$ADMIN_PASSWORD" | ./meridian admin reset-password \
  --db /data/meridian.db --password-stdin
unset ADMIN_PASSWORD

自动发现按站点启用，需要 DYNAMIC_ROUTE_KEY。新站点默认使用 Compatible；明确只需要 HTTPS:443 且可维护域名规则时可改用 Safe，只有真实播放链需要时才选择 Extreme：

前端不再提供来源复选框或 HTTPS 降级开关：每个 Profile 都是完整、可审计的策略预设，切换模式时由后端统一选择处理来源和网络边界。Safe 启用时必须至少配置一条可信的 exact / suffix DNS 规则。

手工“重定向跟随”独立于自动发现 Profile：对站点数据面的非 Upgrade GET/HEAD 处理 301/302/303/307/308，最多跟随 5 跳，每一跳只能命中管理员精确配置的播放回源 authority；因此可使用私网、HTTP 或非标准端口的显式目标，而不会扩大自动发现范围。跨 authority 仍清除 Cookie、Authorization、Emby token、固定上游 Header 和转发头；CONNECT、WebSocket/Upgrade、保留 capability 路径、POST/PUT/DELETE 和请求正文不会跟随。

无论选择哪一档：

• 私网、回环、链路本地、CGNAT、metadata 和已知自身目标都会被拒绝。
• DNS 校验通过的 IP 会固定到实际拨号；动态请求不使用环境代理或二次 DNS。
• 跨 authority 时会删除 Cookie、Authorization、Emby token、固定上游 Header 和转发头。
• 外部 URL 会改写为同源、加密认证的 /_meridian/d/<capability>，不是客户端可指定目标的开放代理；兼容会自动补加 /emby 前缀的客户端，请求 /emby/_meridian/d/<capability> 也会被识别。
• 非 HLS capability 请求上的客户端附加 query（例如 X-Emby-Token）不会改变或转发到签名目标；LL-HLS query 只接受经过严格校验的 _HLS_* 指令。
• capability 是 bearer；第三方 CDN、负载均衡器和 Nginx 必须对该路径脱敏，不能记录完整 URL。

完整的协议范围、资源上限、Header 规则、SSRF 边界和日志要求见 SECURITY.md。

站点编辑页的“播放路由观察记录”通过有界异步队列聚合同权威、手工配置和自动发现目标的有限诊断信息，包括处理阶段、3xx 状态、首次/最近时间与次数；不保存完整 URL、路径、查询参数、令牌、Header 或正文。记录保留 30 天，每站点最多 500 条、全局最多 10,000 条，时间按全局设置中的 IANA 时区显示，SQLite/API 仍使用标准 epoch/UTC。

每个站点可选择 Infuse、Web、客户端预设，自定义固定 UA 身份，或透传客户端身份。固定上游 Header 最多 16 个，值使用 AES-GCM 加密并采用只写语义；它们只发送给主回源的精确 scheme、host 和有效端口，不会传播到独立播放回源或动态后端。

flowchart LR
    C[Emby 客户端] --> E[Nginx / CDN :443]
    E -->|保留 Host| M[Meridian :9090]
    C -->|可选独立端口| M
    M --> A[主回源]
    M --> P[播放回源 / 动态媒体后端]
    M --> D[(SQLite)]

cmd/meridian/       Go 可执行程序与同包测试
web/                通过 go:embed 打包的原生 SPA
tests/              前端与安装脚本回归测试
docs/               README 截图与项目文档资源
.github/workflows/  CI、CodeQL 与发布签名流程
install.sh          一键安装、更新、改密与卸载入口

诊断页区分“探针可达”和“完整业务可用”：

安装器执行 update 或 password 前会在 /opt/meridian-backups 创建一致性备份；systemd 更新还会健康检查并在失败时自动回滚。手工部署至少应备份：

• meridian.db、meridian.db-wal、meridian.db-shm
• 保存 JWT_SECRET、UPSTREAM_HEADER_KEY、MERIDIAN_SECRET_KEY、DYNAMIC_ROUTE_KEY 的环境配置

手工备份和恢复前先停止 Meridian，恢复数据库和原密钥后再启动，并验证管理员登录、站点配置和关键代理入口。

Meridian v1 专注于单管理员、轻量部署：

• 仅支持一个管理员，不提供多用户或角色权限。
• 暂无审计日志和 Webhook 通知；Telegram 日报可在全局设置中配置。
• 管理面板支持配置 TLS；可在面板内通过 Cloudflare DNS-01 申请和自动续签节点泛域名证书。未启用 TLS 时默认只监听回环地址，公网明文 HTTP 必须显式设置 ALLOW_INSECURE_HTTP=true。
• 共享 Host 入口只支持精确 Host；路径入口使用面板域名和显式路径前缀，不接受通配符路由。
• TLS 诊断只负责检查证书链、有效期和主机名，不替代证书申请流程；Cloudflare 证书申请目前只支持面板内置的 DNS-01 流程。

Roadmap：多用户与角色权限、Webhook 通知集成。

git clone https://github.com/snnabb/Meridian.git
cd Meridian
go test -race ./...
go vet ./...
go build -trimpath -buildvcs=false -o meridian ./cmd/meridian

项目有意保持单一 Go 可执行程序、原生前端和纯 Go SQLite 驱动。提交改动前请阅读 CONTRIBUTING.md。安全问题不要创建公开 Issue，请按 SECURITY.md 私下报告。

• Releases
• Issues
• NodeSeek
• Linux.do

MIT