Leonardo AI 私有化部署教程：反向代理、HTTPS 与多用户权限配置
部署前需要先明确的边界
Leonardo AI 是面向图像生成、素材设计和创意生产的 AI绘画平台。实际部署时需要先确认一点：如果使用官方商业服务，应以官方提供的企业方案、接口授权或可交付安装包为准；如果没有获得可本地部署的授权包，不建议通过抓包、逆向或搬运线上服务的方式搭建所谓“私有化版本”。更常见、也更稳妥的做法，是在企业内网部署一套兼容 Leonardo AI 使用习惯的 AI绘画工作台，后端接入已授权的模型服务或自有推理服务，再通过反向袋里、HTTPS 和多用户权限完成生产环境配置。
这类方案适合设计团队、内容部门、教育实验室和企业内部素材生产场景。它的核心价值不是“把某个网页复制到本地”，而是把账号体系、生成任务、素材文件、模型调用、审计记录和访问入口统一管理，减少数据外流风险，并便于控制使用成本。
一、服务器与基础环境准备
建议至少准备一台 Linux 服务器作为应用节点，一台具备 GPU 的推理节点可选。如果只是通过已授权接口调用外部模型，应用节点配置可从 4 核 CPU、8GB 内存、100GB SSD 起步；如果本地跑文生图模型，需要根据模型大小准备显存，常见生产配置建议 16GB 显存以上，并预留足够的素材存储空间。
基础软件通常包括：Docker 或容器运行环境、数据库、对象存储或本地文件存储、Web 服务、任务队列以及日志组件。域名方面建议准备一个独立子域名，例如 ai.example.com，后续用于 HTTPS 证书申请和反向袋里绑定。内网使用也建议配置可信证书，避免浏览器安全提示影响团队使用。
部署前先规划目录结构，例如 /opt/ai-platform/app 存放应用配置，/opt/ai-platform/data 存放上传文件和生成结果，/opt/ai-platform/logs 存放运行日志。配置文件不要直接写死密钥，应使用环境变量或独立密钥文件，并设置最小可读权限。
二、应用服务安装思路
如果拿到的是官方或供应商提供的私有化安装包，通常会包含前端、后端、数据库初始化脚本和模型连接配置。安装流程一般为：解压部署包，填写环境变量，初始化数据库，启动后端服务，再启动前端服务。需要重点检查 API 地址、数据库连接、存储路径、模型服务地址和管理员初始账号。
如果是自建 Leonardo AI 风格的工作台，推荐采用前后端分离结构。前端负责提示词输入、风格选择、图片预览、任务历史和素材管理；后端负责账号鉴权、任务排队、模型调用、文件落盘和权限校验。不要让前端直接携带模型服务密钥，否则浏览器调试工具可能暴露敏感信息。
完成安装后，先在服务器本机访问应用端口，例如 http://127.0.0.1:3000 或 http://127.0.0.1:8080，确认页面、登录、生成任务、文件保存都正常，再接入反向袋里。生产环境不要直接开放应用原始端口，只保留袋里入口。
三、反向袋里配置要点
反向袋里的作用是把外部访问统一转发到内部应用端口，同时处理静态资源、上传限制、超时和安全头。常见选择包括 Nginx、Caddy 或 Traefik。以 Nginx 为例，需要把域名 ai.example.com 指向服务器公网或内网地址，然后在袋里配置中设置 server_name、proxy_pass、请求头转发和 WebSocket 支持。
AI绘画平台常见问题是生成任务耗时较长，默认袋里超时过短会导致前端显示失败。因此需要适当提高 proxy_read_timeout、proxy_send_timeout 和 client_max_body_size。上传参考图、训练素材或高清结果时，上传大小建议按业务设置为 50MB、100MB 或更高，但不要无限放开，以免被异常请求占满磁盘。
还需要转发真实来源信息，例如 X-Forwarded-For、X-Forwarded-Proto 和 Host，方便后端记录访问日志、生成正确回调地址，并判断是否处于 HTTPS 环境。若应用包含实时任务进度，需确认 Upgrade 与 Connection 头已正确配置，否则进度条可能不刷新。
四、HTTPS 证书与安全访问
HTTPS 是生产部署的基本要求。外网域名可使用自动证书工具申请证书，内网环境可使用企业证书体系或受信任的内部证书。证书配置完成后，应强制 HTTP 跳转到 HTTPS，并开启合理的 TLS 协议版本，关闭过旧协议。
证书文件权限要严格控制，私钥只允许 Web 服务进程或管理员读取。证书即将过期时要有提醒机制，最好配置自动续期，并在续期后自动重载袋里服务。很多“突然打不开”的故障，其实不是应用坏了，而是证书过期、域名解析变更或袋里服务未重载。
如果平台需要被外部团队访问，建议增加访问控制策略，例如仅允许固定网段访问、接入企业统一身份认证，或在袋里层增加二次校验。不要把管理后台、数据库面板、对象存储控制台暴露在同一个公开入口下。
五、多用户权限配置
多用户权限是私有化部署的重点。至少应设置四类角色：系统管理员、团队管理员、普通创作者和只读查看者。系统管理员负责全局配置、模型接入、存储策略和审计日志；团队管理员负责本团队成员、项目空间和配额；普通创作者可提交生成任务、管理自己的素材；只读查看者只能查看被授权的作品和项目。
权限设计建议围绕“空间、项目、素材、任务、模型、额度”展开。空间用于隔离不同部门；项目用于管理同一主题下的提示词、参考图和结果；素材权限决定谁能查看、下载或删除；任务权限决定谁能创建、取消或重跑；模型权限决定不同用户可用的模型和风格；额度用于限制每天或每月可生成的次数、分辨率和并发量。
初始管理员账号必须在首次登录后立即修改密码，并开启强密码策略。团队成员离职或项目结束后，应及时停用账号、转移资产归属并保留必要审计记录。共享账号不利于追踪问题，应尽量避免。对于涉及商业素材的项目，建议开启下载记录和操作日志。
六、常见问题与排查方法
问题一：页面能打开，但提交生成任务失败。优先检查后端是否能访问模型服务，密钥是否有效，任务队列是否运行，存储目录是否可写。还要查看后端日志中是否出现超时、鉴权失败或磁盘空间不足。
问题二：HTTPS 正常，但登录后跳回登录页。通常与反向袋里未正确传递协议头、Cookie 安全属性配置不匹配、前后端域名不一致有关。确认后端知道当前访问协议是 HTTPS，并检查 Cookie 的 SameSite、Secure 和 Domain 设置。
问题三：图片上传失败或大图无法下载。检查袋里层上传大小限制、后端请求体限制、对象存储策略和浏览器控制台报错。若生成结果较大，还要确认下载链接有效期和文件访问权限。
问题四：多人同时使用时速度明显下降。应查看 GPU 利用率、任务队列长度、数据库慢查询和存储读写性能。可以通过限制单用户并发、增加队列优先级、拆分推理节点和缓存常用模型来缓解。
七、实用建议与上线检查清单
正式上线前建议完成一次小范围试运行，邀请真实用户测试提示词输入、参考图上传、结果保存、项目协作和权限隔离。测试时不要只看“能不能生成图”，还要关注失败任务是否有提示、误删素材能否恢复、日志能否定位到具体用户。
上线检查清单包括：域名解析正确；HTTPS 证书有效；应用原始端口未直接开放；管理员密码已修改；普通用户无后台权限；上传大小和生成额度已设置；日志目录可写且有轮转策略；备份任务已配置；数据库、素材文件和配置密钥分开备份；模型服务密钥没有出现在前端代码中。
最后要建立更新机制。AI绘画平台会持续迭代模型、接口和安全补丁，建议先在测试环境验证新版本，再安排低峰期更新。每次升级前备份数据库、素材索引和配置文件，并保留可回退版本。私有化部署不是一次安装完就结束，稳定、安全、可追溯的运维，才是让 Leonardo AI 类平台真正服务团队生产的关键。
