一、 资源限制 (Resource Control)#

这部分利用 Linux 的 cgroups 机制，防止该服务消耗过多系统资源，影响其他程序运行。

• MemoryMax=1G
  • 作用： 将该服务所在 cgroup 的内存使用上限设为 1 GiB。
  • 结果： 当服务所在 cgroup 的内存使用达到限制且无法通过回收缓解时，可能触发该组内的 OOM 处理。1G 在这里表示 1 GiB。
• CPUQuota=150%
  • 作用： 限制该服务的 CPU 使用率最高为 150%。
  • 结果： 100% 代表一个完整的 CPU 核心。150% 意味着该服务最多可以占满一个核心，并使用第二个核心的一半（即最多使用 1.5 个 CPU 核心的算力）。
• TasksMax=200
  • 作用： 限制该服务可以创建的最大任务（进程或线程）数量为 200 个。
  • 结果： 防止服务因为遭遇漏洞或死循环（如 Fork Bomb）而无限创建子进程，从而耗尽系统 PID 资源使系统崩溃。
• IOWeight=50
  • 作用： 设置磁盘 I/O（输入/输出）的权重。默认值通常是 100。
  • 结果： 在底层设备和 I/O 控制器支持权重调度时，设置为 50 会降低它在竞争中的相对份额。这不是固定的读写速率上限，也不能保证其他服务不受影响。

二、 安全与隔离 (Security & Isolation)#

这部分限制服务对文件系统、设备和套接字的访问，用于减少误操作的影响及部分攻击路径。

• ProtectSystem=strict
  • 作用： 严格保护系统文件。
  • 结果： 将文件系统层级设为只读，特殊 API 文件系统及显式配置的可写路径除外。这里通过 ReadWritePaths 保留用户家目录的写入能力；这种挂载限制不能替代内核漏洞修补。
• PrivateTmp=yes
  • 作用： 为该服务提供独立的临时文件目录。
  • 结果： 服务会看到一个自己专属的 /tmp 和 /var/tmp 目录。它无法看到或修改其他用户/服务放在全局 /tmp 中的文件，反之亦然。这能有效防止基于临时文件的符号链接攻击或数据泄露。
• PrivateDevices=yes
  • 作用： 隔离物理设备。
  • 结果： 为服务提供一个只含必要伪设备的私有 /dev，例如 /dev/null、/dev/zero 和 /dev/urandom，限制直接访问宿主机设备节点。这不等于隔离了所有可能的硬件访问路径。
• NoNewPrivileges=yes
  • 作用： 限制通过执行新程序获得额外权限。
  • 结果： 服务及其子进程不能通过 execve() 利用 setuid/setgid 位或文件 capabilities 获得额外权限。它不能防住所有提权方式，例如直接利用内核漏洞修改进程凭据。
• RestrictAddressFamilies=AF_INET AF_INET6 AF_UNIX
  • 作用： 限制该服务可以使用的网络协议族。
  • 结果： 允许创建以下地址族的套接字：
    • AF_INET：IPv4 网络通信
    • AF_INET6：IPv6 网络通信
    • AF_UNIX：本地 UNIX 域套接字（用于本地进程间通信）
  • 在支持相应 seccomp 过滤的环境中，创建其他地址族套接字的调用会被限制。这可以缩小攻击面，但不限制 IPv4/IPv6 的连接目标，也不会撤销已经继承或传入的套接字。

创建新用户时直接：

1
adduser <username>
2
systemctl enable --now code-server@<username>

即可同时创建对应的CodeServer服务

第一步：启动监控 (由 .path 文件负责)#

1. 系统或管理员启动了code-server-restart@<username>.path。
2. systemd会解析这个.path文件，将%i替换为用户名。
3. PathChanged=/home/<username>/.config/code-server/config.yaml：systemd 会在内核层面（利用 inotify 机制）开始静默监听这个特定路径的 config.yaml 文件。

第二步：检测变更并触发#

1. 在 code-server 网页端修改了设置，或者通过命令行直接编辑了 config.yaml 并保存。
2. PathChanged 检测到文件被修改并且被关闭（这意味着写入已完成，避免读到写了一半的脏数据）。
3. 隐式绑定： 因为 .path 文件中没有使用 Unit= 显式指定要触发哪个服务，systemd 的默认行为是触发与它同名去掉后缀的 .service 文件。
4. 于是，systemd 自动拉起 code-server-restart@<username>.service。

第三步：执行动作 (由 .service 文件负责)#

1. systemd 开始执行 code-server-restart@<username>.service。同样，这里的 %i 也会被替换为用户名。
2. Type=oneshot：告诉系统这不是一个常驻后台的服务，而是一次性的任务。执行完就结束。
3. User=root：这个重启操作需要较高的权限，因此强制以 root 身份执行。
4. ExecStart=/usr/local/bin/safe-restart-codeserver.sh <user>：这是整个逻辑的最终落脚点。系统以 root 身份运行了这个自定义的 shell 脚本，并将用户名作为参数传递给它。

没有直接在restart.service里重启主daemon，因为考虑到CodeServer编辑文件是每修改一点就会自动保存，因此当用户修改密码过程中，可能会存在修改了一半就被触发重启，导致后面的部分没有成功写入的情况，因此编写了一个脚本，判断等文件没有修改之后才触发重启： /usr/local/bin/safe-restart-codeserver.sh

1
#!/bin/bash
2
USER_NAME=$1
3
CONFIG_FILE="/home/$USER_NAME/.config/code-server/config.yaml"
4
STAMP_FILE="/tmp/code-server-restart-${USER_NAME}.stamp"
5

6
# 1. 前置拦截：如果记录文件存在，且配置文件比记录文件旧（或时间相同）
7
# 说明这一次触发是 systemd 排队遗留下来的无意义事件，直接退出
8
if [ -f "$STAMP_FILE" ] && [ "$CONFIG_FILE" -ot "$STAMP_FILE" ]; then
9
    echo "Config hasn't changed since last restart, exiting."
10
    exit 0
11
fi
12

13
# 2. 原有的防抖等待逻辑（保持不变）
14
while true; do
15
    last_md5=$(md5sum "$CONFIG_FILE")
16
    sleep 5
17
    current_md5=$(md5sum "$CONFIG_FILE")
18

19
    if [ "$last_md5" == "$current_md5" ]; then
20
        # 文件稳定了，执行重启
21
        systemctl restart code-server@$USER_NAME
22

23
        # 3. 关键动作：重启成功后，更新时间戳文件的修改时间
24
        touch "$STAMP_FILE"
25
        break
26
    else
27
        echo "Config file for $USER_NAME is still changing, waiting..."
28
    fi
29
done

那个时间戳机制是为了防止多次触发导致无效重启，若检测到配置文件编辑时间早于上次重启时间则拒绝重启。

完成编辑后启用触发器：systemd enable --now code-server-restart@<username>.path（注意是.path不是.service），接着在web界面中尝试缓慢编辑config文件中的密码，查看日志就可以发现类似于如下记录：

1
○ code-server-restart@lyr.service - Triggered safe restart for lyr
2
     Loaded: loaded (/etc/systemd/system/code-server-restart@.service; disabled; preset: enabled)
3
     Active: inactive (dead) since Sat 2026-06-06 06:43:55 UTC; 29s ago
4
 Invocation: 0bd37fcb6ea44a58870c06b4fde5300c
5
TriggeredBy: ● code-server-restart@lyr.path
6
    Process: 6997 ExecStart=/usr/local/bin/safe-restart-codeserver.sh lyr (code=exited, status=0/SUCCESS)
7
   Main PID: 6997 (code=exited, status=0/SUCCESS)
8
   Mem peak: 2.5M
9
        CPU: 43ms
10

11
Jun 06 06:43:40 CodeServer systemd[1]: Starting code-server-restart@lyr.service - Triggered safe restart for lyr...
12
Jun 06 06:43:45 CodeServer safe-restart-codeserver.sh[6997]: Config file for lyr is still changing, waiting...
13
Jun 06 06:43:50 CodeServer safe-restart-codeserver.sh[6997]: Config file for lyr is still changing, waiting...
14
Jun 06 06:43:55 CodeServer systemd[1]: code-server-restart@lyr.service: Deactivated successfully.
15
Jun 06 06:43:55 CodeServer systemd[1]: Finished code-server-restart@lyr.service - Triggered safe restart for lyr.

当停止编辑5秒之后CodeServer才会重启，后续可以使用新密码登录。