从宝塔的一次次漏洞说起

用 Linux VPS 建站的人，十个里有八个装过宝塔。图形界面点点鼠标就能建站、装环境、管数据库，确实省事。

但这些年宝塔出的事故也不少。远的有 2020 年那场 phpMyAdmin 未授权访问漏洞，特定版本的面板数据库管理界面可以直接被外人打开，连密码都不用输；近的有 2025 年底披露的 CVE-2025-12914，官方专门发了公告修复。中间大大小小的 SQL 注入、越权访问就没断过。每次漏洞爆发，网上就多一批「服务器被打穿」的血泪帖。

问题的根源其实不在于宝塔代码写得烂——任何复杂软件都有漏洞——而在于Web 面板这个形态本身：

  • 面板要以 root 权限常驻运行，一个漏洞就是整台机器沦陷
  • 它必须在服务器上开放一个管理端口（8888、8080 之类），等于主动给全网扫描器递入口
  • 面板代码装在你服务器上，出事了你想清理干净都难，卸载脚本跑完总有残留

把这三条连起来读一遍就明白了：你为了省事装了个面板，面板自己成了服务器上最大的攻击面。

换个思路：面板不下蛋，SSH 就是全部接口

LeePanel（GitHub 开源，MIT 协议）的解法很干脆——干脆不在服务器上装任何东西。

它是一个跑在你自己电脑上的桌面客户端，Windows、macOS、Linux 都有安装包，体积 6MB 左右。所有对服务器的操作，全部通过你已经开着的 SSH 通道执行：装 Nginx 就下发 apt 命令，看负载就跑 top 那一套，改防火墙就调 ufw/firewalld 的命令行。

服务器那边呢？一行面板代码都没有，一个多余端口都不开，root 密码之外没有任何新增凭证。想「卸载」这个面板？关掉客户端窗口就行了，服务器保持你最初拿到手时的样子。

说白了，它就是把你平时敲的那一堆 SSH 命令，包了一层图形界面——操作在你桌面上发生，服务器上无痕。

这个项目来自 Linux DO 社区，用 Tauri 2（Rust）+ React 19 + TypeScript 构建，SSH 和 SFTP 走的是 Rust 生态的 russh 库，本地配置存在 SQLite 里。技术选型上能看出它就是奔着「轻 + 安全」去的：不架 Web 服务、不依赖 Node 常驻进程，桌面包做到 6MB。

功能盘点：一个客户端管完一整台 LNMP

别看体积小，功能覆盖面挺完整，基本对标传统面板的核心能力：

连接与终端 —— SSH 密码/密钥认证、凭证保存、基于 xterm.js 的完整终端（支持剪贴板和搜索）、断线自动重连。比较贴心的是多服务器管理：侧边栏一键切换，每个会话状态独立、互不阻塞，管几台机器不用来回重连。

文件管理 —— SFTP 远程文件浏览器，拖拽上传下载，大文件分块传输带进度条，zip/tar.gz 压缩包直接管理，chmod 权限修改、批量复制移动重命名都有，还有收藏夹和目录缓存加速。

建站全家桶 —— Nginx 虚拟主机创建、Let's Encrypt 免费 SSL 证书、反向代理（支持 WebSocket）、防盗链、Rewrite 规则，PHP 多版本共存与按站点切换，一键装 Nginx / MySQL / MariaDB / PHP-FPM / Redis。

数据库与缓存 —— MySQL/MariaDB 库和用户的增删改查、权限控制（可限定 localhost / 指定 IP）、zip 备份恢复、SQL 导入、root 密码管理；Redis 那边用 SCAN 浏览 Key（这点比 KEYS 稳，键多的时候不会卡死服务），支持 DB0–DB15 切换和 TTL。

Docker —— 容器生命周期、镜像拉取、日志查看、镜像源配置，没装 Docker 的话客户端里一键装。

系统层 —— CPU/内存/磁盘/网络实时监控、进程列表、防火墙规则管理（ufw / firewalld / iptables 都认）、BBR 拥塞控制开关、服务器重启。

界面是标准桌面应用的样子，中文英文都支持，应用内直接切换。

上手前要知道的几件事

服务器端目前只在 Ubuntu 和 Debian 上测过。 README 里写得明确，其他发行版「适配中」。CentOS、Alpine 用户暂时别急着换，先观望。

这是个年轻项目。 功能列表看着齐全，但新面板的稳定性都需要时间验证——尤其这种直接在生产机上执行命令的工具，建议先拿测试机跑跑，别一上来就托管重要业务。好在它是开源的，出问题至少能自己翻代码排查，这比闭源的宝塔强不少。

本地凭证安全要想清楚。 SSH 密码/密钥存在你电脑的 SQLite 里，等于把多台服务器的钥匙集中放了一处。个人电脑本身的锁屏密码、磁盘加密这些基本功还是得做好。

下载地址在 GitHub Releases，官网是 LeePanel.com。想自己编译也简单，Node.js 18+ 加 Rust 工具链，npm install 之后 npm run tauri dev 就能起来。

和宝塔、1Panel 怎么选

现在的面板格局大概是：宝塔老牌、功能最全但闭源、商业插件多、历史漏洞也多；1Panel 是 2022 年起来的开源后浪，走 Docker 云原生路线，口碑不错。这两个有个共同点——都是 Web 面板，都绕不开「服务器上装代码 + 开管理端口」这个前提。

所以选择逻辑其实很清晰：

  • 想要网页随时随地访问、团队多人共用一个面板 → 宝塔或 1Panel，这是 Web 面板的主场
  • 一个人管几台机器，看重安全、不想要任何服务端残留 → LeePanel 这种桌面客户端方案对路
  • 服务器是 Ubuntu/Debian、日常操作就是建站 + 运维 → LeePanel 的功能覆盖基本够了

我自己是这么看的：面板这种东西，用得越久越会发现，真正高频的操作就那几样——看监控、传文件、重启服务、改配置。为一个每天用五分钟的工具，让服务器 24 小时挂着一个 root 权限的 Web 服务，这笔账怎么算都不划算。

SSH 协议稳了快三十年，本身就带了认证、加密、审计的全套能力。LeePanel 做的事情，说到底就是让图形界面重新骑回 SSH 这匹老马上——服务器那头什么都不用变，风险自然也就少了一大截。