SiameseUIE Web界面部署教程：HTTPS反向代理与多用户隔离配置

SiameseUIE Web界面部署教程：HTTPS反向代理与多用户隔离配置

1. 为什么需要HTTPS反向代理和多用户隔离

当你在生产环境中部署SiameseUIE这样的信息抽取服务时，直接暴露7860端口存在明显风险：没有加密传输、无法统一域名管理、多个团队共用时缺乏权限边界。很多用户反馈“能跑通但不敢上线”，问题往往就出在这两个关键环节。

这就像给一辆性能出色的车只配了临时牌照和敞篷驾驶——功能完整，但离真正上路还差最后一步。本文不讲模型原理，也不重复基础启动命令，而是聚焦你部署后最常卡住的两个实操难点：如何让Web界面通过https://uie.yourcompany.com安全访问，以及如何让市场部、客服部、研发部各自拥有独立工作空间，互不干扰。

整个过程不需要修改一行模型代码，全部基于Nginx和Linux系统能力完成，5分钟内可验证效果。

2. 前置准备：确认基础服务已就绪

在配置反向代理前，请先确保SiameseUIE服务本身运行正常。这不是重复检查，而是排除后续问题的关键锚点。

2.1 验证原生服务状态

打开终端，执行以下命令：

supervisorctl status siamese-uie

正常输出应为：

siamese-uie RUNNING pid 1234, uptime 0:05:23

如果显示FATAL或STARTING超过90秒，说明模型加载失败。此时请先查看日志：

tail -50 /root/workspace/siamese-uie.log

常见原因：GPU显存不足（需≥8GB）、模型路径被误删、Python依赖缺失。解决后再继续本教程。

2.2 确认Web服务可本地访问

在服务器内部用curl测试，避免网络层干扰：

curl -s http://127.0.0.1:7860/health | jq .

预期返回：

{"status":"healthy","model":"iic/nlp_structbert_siamese-uie_chinese-base"}

注意：这里必须用http://127.0.0.1:7860，不能用localhost或0.0.0.0——某些镜像对host解析有严格限制。

2.3 检查端口监听状态

确认服务确实在监听7860端口：

ss -tlnp | grep ':7860'

正常应看到类似：

LISTEN 0 128 *:7860 *:* users:(("python",pid=1234,fd=5))

如果无输出，说明Web服务未启动或端口被占用。此时执行：

supervisorctl restart siamese-uie

等待15秒后重试。这三步验证看似简单，却能规避80%的后续配置失败。

3. HTTPS反向代理配置：从HTTP到HTTPS的平滑升级

3.1 为什么不用Gradio内置HTTPS

SiameseUIE Web界面基于Gradio构建，它确实支持--ssl-keyfile参数。但生产环境不推荐这样做，原因有三：

• 证书需手动更新，过期后服务直接中断
• Gradio的SSL实现不支持OCSP装订，影响浏览器兼容性
• 无法与现有企业CA体系集成（如内部根证书）

我们采用行业标准方案：Nginx作为前置反向代理，处理SSL卸载和HTTP/2支持。

3.2 获取免费HTTPS证书（以Let's Encrypt为例）

假设你的域名是uie.yourcompany.com，且DNS已解析到服务器IP：

# 安装certbot apt update && apt install -y certbot python3-certbot-nginx # 获取证书（自动配置Nginx） certbot --nginx -d uie.yourcompany.com # 如果Nginx未运行，用standalone模式 certbot certonly --standalone -d uie.yourcompany.com

证书将保存在：

• /etc/letsencrypt/live/uie.yourcompany.com/fullchain.pem
• /etc/letsencrypt/live/uie.yourcompany.com/privkey.pem

重要提醒：执行certbot前，确保80端口未被占用。若Gradio占用了80端口，请先停止它（supervisorctl stop siamese-uie），因为certbot需要临时监听80端口完成域名验证。

3.3 编写Nginx反向代理配置

创建配置文件/etc/nginx/sites-available/siamese-uie：

upstream siamese_uie_backend { server 127.0.0.1:7860; keepalive 32; } server { listen 443 ssl http2; server_name uie.yourcompany.com; # SSL证书配置 ssl_certificate /etc/letsencrypt/live/uie.yourcompany.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/uie.yourcompany.com/privkey.pem; ssl_trusted_certificate /etc/letsencrypt/live/uie.yourcompany.com/chain.pem; # 安全加固 ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256; ssl_prefer_server_ciphers off; ssl_session_cache shared:SSL:10m; ssl_session_timeout 10m; # Websocket支持（Gradio必需） proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection "upgrade"; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; # 超时设置（防止大文本处理超时） proxy_connect_timeout 300; proxy_send_timeout 300; proxy_read_timeout 300; location / { proxy_pass http://siamese_uie_backend; proxy_redirect off; } # 静态资源缓存 location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg)$ { expires 1y; add_header Cache-Control "public, immutable"; } } # HTTP重定向到HTTPS server { listen 80; server_name uie.yourcompany.com; return 301 https://$server_name$request_uri; }

启用配置并测试：

ln -sf /etc/nginx/sites-available/siamese-uie /etc/nginx/sites-enabled/ nginx -t && systemctl reload nginx

现在访问https://uie.yourcompany.com，应该能看到SiameseUIE界面，浏览器地址栏显示安全锁标志。

3.4 解决Gradio的URL路径问题

直接代理后可能出现CSS加载失败、WebSocket连接拒绝等问题。这是因为Gradio默认生成的静态资源URL包含/gradio/前缀，而我们的代理是根路径/。

在/opt/siamese-uie/app.py中找到Gradio启动代码（通常在末尾），修改为：

demo.launch( server_name="0.0.0.0", server_port=7860, share=False, root_path="/", # 关键：强制根路径 allowed_paths=["/opt/siamese-uie/model"] # 允许模型文件路径 )

然后重启服务：

supervisorctl restart siamese-uie

验证技巧：打开浏览器开发者工具（F12），切换到Network标签页，刷新页面。检查所有请求的Status是否为200，特别是/static/和/gradio_api/开头的请求。若仍有404，说明root_path未生效，需确认app.py已保存且服务已重启。

4. 多用户隔离配置：为不同团队分配独立工作区

4.1 为什么不能只靠登录认证

SiameseUIE原生Web界面不带用户系统。有人尝试用Nginx Basic Auth，但这只能控制“能否访问”，无法解决核心问题：

• A团队上传的文本和Schema会出现在B团队界面上
• 所有用户共享同一套缓存和会话状态
• 无法审计谁在什么时间抽取了哪些数据

真正的隔离需要在应用层实现，而非网关层。

4.2 基于Linux用户+进程隔离的轻量方案

我们不引入复杂数据库或OAuth，而是利用Linux原生能力：

1. 为每个团队创建独立系统用户
2. 为每个用户部署独立的SiameseUIE实例
3. 用不同端口区分服务
4. 通过Nginx按子域名路由

创建团队用户

# 创建市场部用户（密码设为market2024） useradd -m -s /bin/bash market echo "market:market2024" | chpasswd # 创建客服部用户 useradd -m -s /bin/bash service echo "service:service2024" | chpasswd # 创建研发部用户 useradd -m -s /bin/bash dev echo "dev:dev2024" | chpasswd

为每个用户部署独立实例

以市场部为例，复制并修改服务配置：

# 切换到market用户 su - market # 复制模型目录（节省磁盘空间，硬链接） mkdir -p ~/siamese-uie cp -rL /opt/siamese-uie/* ~/siamese-uie/ # 修改启动端口（市场部用7861） sed -i 's/7860/7861/g' ~/siamese-uie/app.py sed -i 's/7860/7861/g' ~/siamese-uie/start.sh # 创建专属日志目录 mkdir -p ~/workspace

同理为service用户配置7862端口，dev用户配置7863端口。

配置Supervisor管理多实例

编辑/etc/supervisor/conf.d/siamese-uie-multi.conf：

[program:siamese-uie-market] command=/home/market/siamese-uie/start.sh directory=/home/market/siamese-uie user=market autostart=true autorestart=true redirect_stderr=true stdout_logfile=/home/market/workspace/siamese-uie.log stopasgroup=true [program:siamese-uie-service] command=/home/service/siamese-uie/start.sh directory=/home/service/siamese-uie user=service autostart=true autorestart=true redirect_stderr=true stdout_logfile=/home/service/workspace/siamese-uie.log stopasgroup=true [program:siamese-uie-dev] command=/home/dev/siamese-uie/start.sh directory=/home/dev/siamese-uie user=dev autostart=true autorestart=true redirect_stderr=true stdout_logfile=/home/dev/workspace/siamese-uie.log stopasgroup=true

重新加载Supervisor：

supervisorctl reread supervisorctl update supervisorctl start all

Nginx子域名路由配置

在原有Nginx配置中添加三个server块：

# 市场部 - market.uie.yourcompany.com server { listen 443 ssl http2; server_name market.uie.yourcompany.com; # ... SSL配置同上 ... location / { proxy_pass http://127.0.0.1:7861; # ... 其他proxy设置 ... } } # 客服部 - service.uie.yourcompany.com server { listen 443 ssl http2; server_name service.uie.yourcompany.com; # ... SSL配置同上 ... location / { proxy_pass http://127.0.0.1:7862; # ... 其他proxy设置 ... } } # 研发部 - dev.uie.yourcompany.com server { listen 443 ssl http2; server_name dev.uie.yourcompany.com; # ... SSL配置同上 ... location / { proxy_pass http://127.0.0.1:7863; # ... 其他proxy设置 ... } }

重载Nginx：

nginx -t && systemctl reload nginx

现在三个团队可通过不同子域名访问完全隔离的实例：

• 市场部：https://market.uie.yourcompany.com
• 客服部：https://service.uie.yourcompany.com
• 研发部：https://dev.uie.yourcompany.com

每个实例的数据、缓存、会话、日志完全独立，互不影响。

5. 实用增强技巧：让部署更健壮

5.1 自动证书续期

Let's Encrypt证书90天过期，需自动续期：

# 编辑crontab crontab -e # 添加以下行（每月1号凌晨2:15执行） 15 2 1 * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

5.2 GPU资源按用户配额

避免某个团队独占GPU，用nvidia-smi限制：

# 为market用户分配4GB显存（假设总显存16GB） nvidia-smi -i 0 -pl 4000 # 为service用户分配6GB nvidia-smi -i 0 -pl 6000 # 注意：此命令需在各用户启动服务前执行，建议写入start.sh

5.3 日志审计与告警

在/etc/logrotate.d/siamese-uie中添加：

/home/*/workspace/siamese-uie.log { daily missingok rotate 30 compress delaycompress notifempty create 644 market market sharedscripts postrotate supervisorctl restart siamese-uie-market supervisorctl restart siamese-uie-service supervisorctl restart siamese-uie-dev endscript }

6. 总结：从能用到好用的关键跨越

部署SiameseUIE不是终点，而是业务落地的起点。本文带你完成了三个关键跨越：

• 从HTTP到HTTPS：通过Nginx反向代理实现企业级SSL，既保障数据安全，又兼容所有浏览器和移动端
• 从单实例到多租户：用Linux用户隔离+端口分离+子域名路由，零成本实现团队级数据隔离，无需修改任何模型代码
• 从可用到可控：通过证书自动续期、GPU配额、日志轮转等配置，让服务长期稳定运行，降低运维负担

你会发现，这些配置加起来不到100行代码，却解决了90%的生产环境痛点。真正的技术价值不在于多炫酷，而在于让复杂变得简单，让不可控变得确定。

下一步，你可以基于这个稳定基座，轻松接入企业微信机器人、钉钉审批流，或者把抽取结果自动写入CRM系统——那些才是创造业务价值的地方。

---

获取更多AI镜像

想探索更多AI镜像和应用场景？访问 CSDN星图镜像广场，提供丰富的预置镜像，覆盖大模型推理、图像生成、视频生成、模型微调等多个领域，支持一键部署。