本项目基于 Worker Web SSH（CF-Workers-WebSSH） 深度开发。
在上游原生 WebSSH 能力的基础上，扩展主机管理、加密云端存储、地球可视化与操作系统识别，打造面向个人管理员的云端 SSH 工作台。感谢原作者的开源贡献。
EdgeSSH
打开浏览器，连接你的服务器。
运行于 Cloudflare Workers 的轻量 SSH 工作台
主机总览 · 交互终端 · 文件管理 · 进程监控
界面预览
演示数据使用保留地址，不对应任何真实服务器。
功能特性
🗂️ 主机管理集中保存服务器资料与连接凭据，支持搜索、分组筛选与编辑。从列表直接进入工作台，无需反复输入连接信息。 |
🌍 地球可视化以可交互地球呈现主机地理位置，支持点位连接、刷新定位，配合城市与国旗展示服务器分布。 |
⌨️ 浏览器终端基于 xterm.js，支持交互式 Shell、窗口尺寸同步、全屏与会话日志，适配桌面和移动端，工作台支持中英文切换。 |
📁 SFTP 文件管理在终端旁浏览远程目录，上传与下载文件、新建目录、重命名，以及删除文件或空目录。 |
📊 实时进程面板通过独立通道查看远端进程与 CPU、负载、内存和 Swap 信息，无需离开 SSH 工作台。 |
🐧 系统自动识别通过 SSH 命令探测操作系统，记录系统版本与架构，并以品牌色圆角图标区分常见系统与发行版。 |
不只是一个终端
- 边缘原生：Worker 通过 Cloudflare TCP Sockets 直接连接 SSH 服务器，无需额外部署 SSH 中转服务，每个会话由 Durable Object 隔离。
- 身份保护：使用 Cloudflare Zero Trust Access 认证管理员，不提供匿名连接入口或本地注册登录。
- 加密存储：主机资料、密码、私钥与指纹通过 AES-256-GCM 加密后保存到 D1，浏览器不持久化连接凭据。
- 指纹确认：首次连接时展示服务器 SHA-256 指纹，确认后才发送 SSH 凭据。
- 灵活连接：支持密码、单密码提示的 keyboard-interactive，以及未加密 OpenSSH 私钥认证；支持 UTF-8、GB18030、Big5 终端编码。
- 轻量实现：TypeScript + Vite + Web Crypto；地球采用 Canvas 球面投影，不引入 Three.js 等大型三维依赖。
工作原理
浏览器 · 主机总览 / xterm.js / SFTP / 进程面板
│ HTTPS / WebSocket · Cloudflare Access 身份认证
▼
Cloudflare Worker
├── 静态资源与 API
├── 主机资料加密读写 ──→ D1
└── 一次性会话票据
▼
Durable Object · 每会话 SSH 客户端
│ Cloudflare TCP Socket
▼
公网 SSH 服务器
SSH 握手、密钥交换、认证与通道逻辑在 Worker 内完成。浏览器连接的是 Worker，而不是直接建立到服务器的 TCP 连接。
快速开始
环境准备
- Node.js 22.12.0 或更高版本，以及 npm。
- 可使用 Workers、Durable Objects 与 D1 的 Cloudflare 账户。
- 已启用 Cloudflare Zero Trust 的账户。无需手动创建 Access 应用，自定义域名可选。
- 一台你有权访问的公网 SSH 服务器。
一次运行，自动配置认证与部署
你只需准备三项：
- 启用 Cloudflare Zero Trust，完成团队域名和账户计划的初始化。
- 在 Fork 后仓库的 Settings > Secrets and variables > Actions 添加 Secret：
CLOUDFLARE_API_TOKEN。权限清单见部署指南。 - 打开 Actions > Deploy > Run workflow，填写管理员邮箱并运行。也可预先将邮箱保存为
ADMIN_EMAILVariable。
Zero Trust 已启用 + Cloudflare API Token + 管理员邮箱
↓ Run workflow
发现账户与 workers.dev 子域 → 创建/复用 Access 应用、邮箱 Allow 策略与 OTP
→ 获取 Team Domain 与 AUD → 创建/复用 D1 → 首次生成加密密钥
→ 数据库迁移 → 写入 Worker Secrets → 部署 Worker
↓
在 Actions 运行摘要打开访问地址，用邮箱验证码登录
无需手填 Account ID、D1 ID、Team Domain、AUD 或随机密钥。Token 能访问多个账户时，才需要用 CLOUDFLARE_ACCOUNT_ID 选择目标账户。
EdgeSSH 面向单管理员，不允许匿名访问。重复运行复用资源和加密密钥，不删除数据；已有 Access 应用的登录方式及人工策略不会被覆盖。以后可在 Access 添加 GitHub 等身份提供程序，无需修改 Worker 的 JWT 校验逻辑。
获取项目
git clone https://github.com/aozorae/EdgeSSH.git
cd EdgeSSH
npm ci
可选配置
以下通常都可以留空，保存为 Actions Variable：
| 名称 | 示例值 | 用途 |
|---|---|---|
ADMIN_EMAIL |
you@example.com |
省去每次手动输入邮箱；修改后更新脚本创建的邮箱策略 |
CLOUDFLARE_ACCOUNT_ID |
0123456789abcdef0123456789abcdef |
多账户 Token 的账户选择 |
WORKER_NAME |
my-edgessh |
默认 edgessh |
D1_DATABASE_NAME |
my-edgessh-accounts |
默认 <Worker 名>-accounts |
D1_DATABASE_ID |
00000000-0000-4000-8000-000000000001 |
复用明确指定的数据库 |
CUSTOM_DOMAIN |
ssh.example.com |
真正的自定义域名；*.workers.dev 必须留空；兼容 Secret，Secret 优先 |
ACCESS_IDP_IDS |
一个或多个 IdP UUID，以逗号分隔 |
创建新应用时使用已有 GitHub/其他 IdP，而非自动配置 OTP |
ACCESS_TEAM_DOMAIN、ACCESS_AUD、ENCRYPTION_KEY 由部署流程管理并持久保存在 Cloudflare Worker Secrets，不需要用户复制回 GitHub。加密密钥只在首次部署生成，后续保留，即使 GitHub 留有旧值也不会覆盖线上密钥。不要删除 Worker 或其加密密钥；Cloudflare 不提供密钥明文读回，丢失后无法解密已有资料。
推送 main 或手动运行 Deploy 都会执行检查和部署。只在首次 Run workflow 输入邮箱也可以：后续未提供邮箱时保留已有认证配置。需要更换域名或重新自动配置 Access 时，请再次提供邮箱。完整权限、旧版迁移及 GitHub 登录扩展说明见部署指南；手工维护见 Zero Trust 指南。
本地开发
安装依赖并准备本地变量：
npm ci
cp .env.example .dev.vars
npx wrangler d1 migrations apply DB --local
npm run dev
按部署指南在 .dev.vars 中填写所需配置。本地开发仍保留 Access 身份校验，不提供匿名绕过；本地变量文件不得提交。
需要前端热更新时，在另一个终端运行 npm run dev:web。Vite 默认位于 http://localhost:5173，将 /api 代理到本地 Worker 的 8787 端口；公网目标限制在本地同样生效。
| 命令 | 说明 |
|---|---|
npm run dev |
构建前端并启动本地 Worker |
npm run dev:web |
启动 Vite 前端开发服务器 |
npm run build:web |
构建前端到 dist/ |
npm run typecheck |
检查 Worker 与前端类型 |
npm test |
运行测试 |
npm run check |
类型检查、测试与部署 dry-run（包含前端构建） |
npm run deploy |
构建前端并部署 Worker |
项目结构
EdgeSSH/
├── .github/workflows/ # GitHub Actions 自动部署
├── frontend/ # 主机总览、地球可视化与 SSH 工作台
├── src/
│ ├── accounts/ # Access 认证、主机管理与加密存储
│ ├── backend/ # 会话生命周期、SFTP 与系统信息探测
│ ├── ssh/ # SSH 协议、认证、密码学与通道
│ └── worker.ts # HTTP、API 与 WebSocket 入口
├── migrations/ # D1 数据库迁移
├── tests/ # 自动化测试
├── DEPLOYMENT.md # 部署与验收指南
└── wrangler.toml # Worker 与资源绑定配置
安全与限制
安全边界
- 不是端到端加密：Worker 是实际的 SSH 客户端，会在会话内处理明文凭据。请仅部署到可信账户，并使用最小权限的 SSH 账号或密钥。
- 主机资料绑定 Access 身份；会话使用一次性票据，辅助通道使用附着令牌，并检查同源请求。
- 连接目标仅限公网地址；域名解析后校验目标 IP，降低 SSRF 与 DNS 重绑定风险。
- 地理定位会向外部定位服务发送服务器公网 IP，不发送 SSH 凭据或命令；位置点位不代表在线状态。
workers.dev与自定义域名都可以作为正式入口，但所选入口必须由对应的 Cloudflare Access 应用保护；不要把未受 Access 保护的地址当作公开 SSH 入口。
当前支持范围
| 类别 | 支持情况 |
|---|---|
| 会话 | SSH 2.0、交互式 Shell、PTY、窗口尺寸同步、Keepalive |
| 文件协议 | SFTP v3；单文件上传与下载上限 64 MiB；仅删除空目录 |
| 私钥认证 | 未加密 OpenSSH Ed25519、RSA、ECDSA P-256/P-384/P-521 |
| 主机管理 | 每个身份最多 200 台；不支持团队共享 |
| 终端编码 | UTF-8、GB18030、Big5，取决于浏览器解码支持 |
暂不支持加密私钥、PEM/PKCS#8 私钥、SSH Agent、多因素键盘交互认证、SCP、端口转发、ProxyJump、SSH 压缩与会话内 rekey；不支持出站 TCP 25 端口。
参与贡献
欢迎通过 Issue 反馈问题或通过 Pull Request 提交改进。提交前请运行 npm run check；涉及连接、文件传输或进程面板的改动，请使用真实且已获授权的 SSH 目标验证。
反馈时请附上复现步骤和必要的环境信息，不要上传密码、私钥、Access Token 或未脱敏的日志。
贡献者
- CM / cmliu：原作者，完成项目的初始设计与核心实现。
- aozorae：当前维护者。
致谢
- Worker Web SSH / cmliu/CF-Workers-WebSSH：本项目的直接上游与开发基础。
- huashengdun/webssh：WebSSH 终端与前端兼容 API 参考。
- newbietan/CloudSSH：Cloudflare Workers SSH 实现参考。
- crazypeace/huashengdun-webssh：WebSSH 二次开发与前端兼容性参考。
许可证
本项目采用 Apache License 2.0。使用、修改与分发时，请保留适用的许可证与版权声明。