Stable Diffusion CentOS部署安全问题

Stable Diffusion 在 CentOS 的安全部署要点
一 系统层加固

• 最小权限与身份鉴别
• 创建非 root专用用户（如：sduser）运行服务，禁止直接用 root 启动 WebUI；必要时通过 sudo 授权最小命令集。
• 配置SSH 空闲超时：/etc/ssh/sshd_config 设置 ClientAliveInterval 60、ClientAliveCountMax 10（约 10 分钟无响应自动断开）；设置 TMOUT=180（控制台 3 分钟无操作退出）。
• 防暴力破解：在 /etc/pam.d/sshd 增加 auth required pam_tally2.so deny=3 unlock_time=300 even_deny_root root_unlock_time=10；查看/解锁失败计数可用 pam_tally2 --user 与 pam_tally2 -r -u 。
• 建议重命名 root 账户并保留一个应急 sudo 用户，降低定向爆破成功率。
• 防火墙与端口最小化
• 仅放行必要端口（如 22/SSH、7860/WebUI），使用 firewalld：firewall-cmd --permanent --add-port=7860/tcp && firewall-cmd --reload；云环境同步在安全组仅放行业务所需来源网段。
• 系统与审计
• 启用并持久化 auditd：systemctl enable --now auditd；在 /etc/auditd/rules.d/audit.rules 增加关键文件监控，例如：-w /etc/passwd -p rwxa、-w /opt/stable-diffusion-webui -p rwxa -k sdwebui；审计日志位于 /var/log/audit/audit.log。

二 网络与访问控制

• 默认仅本地访问，外网访问需显式开启
• WebUI 默认只监听 127.0.0.1；如需远程访问，启动参数加 --listen（监听所有接口）。不建议直接对公网开放，优先走内网或跳板机。
• 反向代理与加密传输
• 使用 Nginx/Apache 反向代理 7860，启用 TLS/HTTPS（Let’s Encrypt/certbot），对外仅暴露 443，将 7860 限制为 127.0.0.1 访问；对外域名强制 HSTS。
• 访问控制细化
• 反向代理或防火墙层对来源 IP/CIDR 做白名单；如需认证，启用 Basic Auth 或 OIDC；禁用目录浏览与默认欢迎页。
• 安全启动参数取舍
• 避免使用 --enable-insecure-extension-access（该开关放宽扩展对本地文件系统和执行操作的权限，仅在完全信任扩展时临时启用）。如需远程扩展管理，优先在内网通过受控代理访问。

三 运行环境与权限隔离

• 虚拟环境隔离
• 使用 venv/conda 创建独立环境，避免污染系统 Python；容器内亦建议以非 root 用户运行，降低被攻陷后的横向权限提升风险。
• 容器化部署要点（可选）
• 使用 nvidia-docker2 与 --gpus all 提供 GPU；网络优先 --net host（简化端口管理），或 -p 7860:7860；挂载持久化卷分离 /models、/outputs 与代码目录，便于备份与回滚。
• 启动与最小暴露面
• 以 非 root 用户启动服务；仅开启必要端口；如需对外服务，通过反向代理与 TLS 终止；定期更新 Python/依赖/容器镜像 并校核哈希。

四 模型与数据安全

• 模型与数据路径管控
• 将 模型、LoRA、输出 放在独立目录（如 /data/models、/data/outputs），通过挂载或专用用户属主/权限隔离；审计规则覆盖这些目录的读写与属性变更。
• 传输与来源可信
• 模型下载优先使用 HTTPS；国内可设置 HF_ENDPOINT=https://hf-mirror.com 提升可达性与速度，但务必校验 模型文件哈希/签名，避免篡改与投毒。
• 备份与恢复
• 定期备份 模型权重、配置、输出 与数据库/元数据；保留多版本与校验值，演练恢复流程，确保业务连续性。

五 监控审计与合规

• 日志集中与留痕
• 应用日志写入独立文件（如 /var/log/sdwebui/），由 logrotate 按日轮转并压缩；审计关键系统文件与配置目录（见上节 auditd 规则）。
• 入侵检测与基线核查
• 部署 fail2ban 监控 SSH/Web 登录失败；定期执行 yum update 与安全基线检查（账户、权限、服务、端口、内核参数）。
• 合规提示
• 涉及生成内容的系统应建立内容审核与使用合规流程；对外提供服务的组织需完善隐私政策与数据处理说明，并保留必要的审计证据。