Komari瘦身，希望对你有用

Tip

可能有的你能用上，你就保留，比如备份，可能很多兄弟需要，在面板端操作既简单又快，但是我可能是定时脚本去备份data；所以根据自己的需求去做，最重要事：要么你和我一样先拿出一台test主控+被控去测试，好了以后在上线，要么任何操作前尽可能先备份 /komari/data 以及你的docker-compose.yaml 即使你出现问题，也可以第一时间秒切换 一定在保证自己数据的前提下操作。

一、删减部分

前端

• 删除 Web Terminal、远程命令、文件管理、在线编辑器和命令剪贴板；


• 删除插件管理、插件市场及插件页面注入；


• 删除 OAuth/SSO 登录与配置；


• 删除数据库迁移、在线备份恢复和首次安装页面；


• 删除 pprof、后台大盘和指标配置页；


• 删除自定义 Head/Body 注入；


• 删除 PWA 安装、更新提示；


• 删除多语言资源，只保留简体中文；


• 移除 Monaco、Xterm、Markdown等关联依赖。

后端

• 删除 v1 Agent 协议及兼容路由，只保留 v2；


• 删除 Web SSH、远程命令、文件传输、任务和任务结果；


• 删除 Agent 自动发现与自动注册；


• 删除 API Key 管理员认证；


• 删除 OAuth/OIDC 及账户绑定；


• 删除内置 Cloudflared 和 Nezha 兼容层；


• 删除剪贴板、在线备份上传下载和 ZIP 自动恢复；


• 删除定时流量报告；


• 删除 Bark、Email、JavaScript、Webhook、Server 酱等通知，仅保留 Telegram；


• 删除自定义 Head/Body；


• 同步清理相关配置、接口、RPC、数据表、模型和依赖。

Agent

• 删除远程 Shell 和命令执行；


• 删除文件浏览、编辑和上传下载；


• 删除自动更新与自动发现；


• 删除 Windows、macOS、FreeBSD 支持，仅保留 Linux；


• 删除 v1 协议回退；


• 删除 exec、terminal、file、message 等远程事件能力；


• 构建目标缩减为 Linux AMD64 和 ARM64。

二、改进部分

前端

• 后台结构收敛为节点、Ping、告警、主题、设置、日志和账户管理；


• 登录统一为账号密码加可选2FA；


• 登录凭据只通过 HttpOnly Cookie 保存，不再向前端返回 Session Token；


• 保留实时监控和历史图表，改用受限的公共指标接口；


• 修复 Agent 安装命令的参数转义，避免 Shell 注入；


• 主题上传流程与后端接口统一。

后端

• 密码改用 bcrypt，旧密码在成功登录后自动升级；


• Agent Token 统一使用 Authorization: Bearer，不再出现在 URL 和请求体；


• 增加登录限流，防止密码暴力破解；


• 增加请求体、解压数据、WebSocket 和 JSON-RPC Batch 大小限制；


• 对 Agent 上报字段进行白名单、长度、类型和数值校验；


• 节点地区信息由服务端计算，不再信任 Agent 上报；


• 日志自动遮盖 Token、Session、Authorization 等敏感参数；


• 收紧 CORS、反向代理 Header 和 WebSocket Origin 信任范围；


• GeoIP、MMDB、字体等外部文件采用限时、限大小、格式校验和原子替换；


• 新增受权限和点数限制的历史指标查询接口；


• 自动清理已删除功能遗留的配置和数据表。

Agent

• 明确为“仅监控 Agent”，对外只提供监控上报和 Ping 能力；


• 使用 v2 协议和 Bearer Header 与主控通信；


• 使用专用非 root 用户运行，并启用 no_new_privs；


• ICMP Ping 改为无特权模式；


• 严格校验面板地址、Token、上报周期、IP 和流量重置日；


• 限制 HTTP 响应和 WebSocket 消息大小；


• Ping 事件增加确认、重试和去重机制；


• WebSocket 失败后保留 POST 降级上报；


• 安装、替换、卸载脚本支持校验、备份和失败回滚；


• 配置文件权限收紧，Token 输入默认不回显。