环境变量
JumpCLI 通过环境变量配置运行时行为。变量名称可能保留历史技术前缀，这是兼容性约束， 不代表公开品牌名称。
访问与安全
| 变量 | 用途 |
|---|---|
ACCESS_KEY | 可选的外层访问门禁，不替代账户认证 |
ADMIN_KEY | 运营二次验证密钥，必须与访问门禁不同 |
PUBLIC_ORIGIN | 公开应用来源，用于 Cookie 与 CSRF 约束 |
ALLOWED_HOSTS | 允许的 Host 请求头 |
TRUSTED_PROXY_IPS | 可提供受信任转发头的代理地址 |
REGISTRATION_APPROVAL_REQUIRED | false 为注册后立即使用；true 为进入运营审核且审核前不签发会话 |
PASSWORD_RESET_IDENTIFIER_ATTEMPTS | 单个规范化邮箱在密码重设时间窗内的请求上限 |
PASSWORD_RESET_SOURCE_ATTEMPTS | 单个来源 IP 在密码重设时间窗内的请求上限 |
PASSWORD_RESET_RATE_LIMIT_WINDOW_SECONDS | 密码重设限流时间窗，默认 900 秒 |
上游模型
| 变量 | 用途 |
|---|---|
DEFAULT_API_URL | 上游 API 基础地址 |
DEFAULT_API_KEY | 上游密钥或服务器端秘密引用 |
DEFAULT_API_PATH | 允许的默认接口路径 |
UPSTREAM_HOST_ALLOWLIST | 上游地址允许列表 |
工作队列与并发
| 变量 | 用途 |
|---|---|
PLATFORM_MAX_ACTIVE_IMAGE_UNITS | 进程级实际活跃上游图片调用上限（默认 4）；restart-required。 |
TENANT_MAX_ACTIVE_IMAGE_UNITS | 单个组织的活跃 unit 上限（默认 2）；restart-required。 |
ACCOUNT_MAX_ACTIVE_IMAGE_UNITS | 单个账户的活跃 unit 上限（默认 1）；restart-required。 |
PLATFORM_MAX_QUEUED_IMAGE_UNITS | 进程级可接受的排队 unit 上限（默认 60）；restart-required。 |
TENANT_MAX_QUEUED_IMAGE_UNITS | 单个组织的排队 unit 上限（默认 10）；restart-required。 |
ACCOUNT_MAX_QUEUED_IMAGE_UNITS | 单个账户的排队 unit 上限（默认 5）；restart-required。 |
UPSTREAM_MAX_ACTIVE_IMAGE_UNITS | 单个规范化上游主机/预设的并发 unit 上限（默认 4）；restart-required。 |
MODEL_MAX_ACTIVE_IMAGE_UNITS | 单个模型的并发 unit 上限（默认 3）；restart-required。 |
MAX_ACTIVE_GENERATE_JOBS | TENANT_MAX_ACTIVE_IMAGE_UNITS 的单版本租户兼容别名（默认 2）；restart-required。 |
MAX_QUEUED_GENERATE_JOBS | TENANT_MAX_QUEUED_IMAGE_UNITS 的单版本租户兼容别名（默认 20）；restart-required。 |
GENERATE_SOURCE_ATTEMPTS | 单来源 IP 每 15 分钟的生成/编辑提交上限（默认 120）；可通过 Overall Config 热更新。 |
MAX_SSE_SUBSCRIBERS_GLOBAL | 全局 SSE slot 上限（默认 200）；可通过 Overall Config 热更新，更新值仅作用于后续连接。 |
MAX_SSE_SUBSCRIBERS_PER_IP | 单 IP SSE slot 上限（默认 40），为约 10 位共享 NAT 用户的重连留出余量；可通过 Overall Config 热更新，更新值仅作用于后续连接。 |
SSE_CONNECTION_TTL_SECONDS | SSE 连接最长生命周期（默认 3600 秒）；可通过 Overall Config 热更新，更新值仅作用于后续连接。 |
GRANIAN_WORKERS | 生产环境硬性不变量：1。 |
以上 8 个 canonical 队列与并发设置都是 restart-required；n 按 image unit 计，不按父级 HTTP 请求计。默认由 4 个平台执行槽服务约 10 位同时提交的用户，其余任务进入容量为 60 的持久队列。3 个 SSE 设置和生成来源限制可通过 Overall Config 热更新。启动时会重建排队工作、维持公平 FIFO 顺序，并在可见任务历史之外保留 30 天幂等凭据；容量耗尽时回传 429 与 Retry-After。要扩到更大规模，需要外部共享队列/协调器和非 SQLite 共享资料层。
集成服务
| 变量组 | 用途 |
|---|---|
CASDOOR_* | OIDC、公开认证来源、允许列表和密钥引用 |
METEROID_* | 计费服务地址、凭据、允许列表和超时 |
BILLING_* | 计费投递、履约与容量控制 |
TUSAAS_MAINTENANCE_ROOT | 历史兼容名称的受保护维护日志根目录 |
完整字段应以与当前应用版本一起发布的 .env.example 和配置参考为准。修改前先备份并在 受控环境验证；任何秘密变量都不应写入 Git。