当前位置：首页 > news >正文

Qwen2.5-1.5B Streamlit部署教程：HTTPS反向代理配置与公网访问安全加固

news 2026/7/5 8:39:09

Qwen2.5-1.5B Streamlit部署教程：HTTPS反向代理配置与公网访问安全加固

1. 为什么需要本地化AI对话助手？——从隐私、速度到可控性

你有没有过这样的体验：在写周报时卡壳，想让AI帮忙润色，却犹豫要不要把敏感业务数据发到公网上？或者在调试一段Python代码，需要快速解释错误信息，但每次都要等云端模型响应几秒，打断思路？又或者，你只有一块RTX 3060显卡，却想试试真正属于自己的大模型——不依赖API密钥、不看服务商脸色、不担心账单突增。

Qwen2.5-1.5B就是为这类真实需求而生的。它不是动辄几十GB的庞然大物，而是一个仅1.5B参数的轻量级模型，官方优化过的Instruct版本，专为指令理解和对话生成打磨。它能在一块入门级GPU上跑起来，推理快、显存省、响应稳；更重要的是，它完全运行在你自己的机器里——模型文件躺在你的硬盘上，对话全程在本地内存中流转，连网络请求都不发一条。

但这还不够。一个真正可用的本地AI助手，不能只满足于“在本机localhost:8501打开”。当你想用手机在地铁上继续和它聊项目方案，或让同事通过链接快速试用这个工具，甚至把它嵌入内部知识库系统时，你就需要让它走出局域网，安全、稳定、体面地被外部访问。而这，正是本教程要解决的核心问题：如何把一个纯本地的Streamlit聊天应用，变成一个可通过公网HTTPS安全访问的服务。

我们不讲空泛概念，不堆砌术语。接下来，你会看到一套完整、可复制、已在多台不同配置设备（Ubuntu 22.04 + RTX 3060 / 4070 / M2 Mac）实测通过的操作流程：从Streamlit服务启动，到Nginx反向代理配置，再到Let’s Encrypt免费SSL证书自动签发与续期，最后完成防火墙与权限加固。每一步都附带可直接粘贴执行的命令，以及关键配置项的通俗解释。

2. 快速启动：让Qwen2.5-1.5B在Streamlit里“活”起来

2.1 环境准备与依赖安装

确保你已安装Python 3.10+（推荐3.10或3.11），并创建独立虚拟环境避免包冲突：

python3 -m venv qwen-env source qwen-env/bin/activate pip install --upgrade pip

安装核心依赖。注意：我们使用transformers4.41+、accelerate和torchCPU/GPU双适配版本，无需手动区分：

pip install torch torchvision torchaudio --index-url https://download.pytorch.org/whl/cu118 pip install transformers accelerate streamlit sentencepiece bitsandbytes

小贴士：如果你没有NVIDIA GPU，或想先用CPU测试，把第一行换成pip install torch torchvision torchaudio --index-url https://download.pytorch.org/whl/cpu即可。Qwen2.5-1.5B在CPU上也能流畅运行，只是响应稍慢（约3–8秒/轮）。

2.2 模型文件准备与路径确认

从Hugging Face官方仓库下载Qwen2.5-1.5B-Instruct模型（需登录HF账号并同意许可）：

# 安装huggingface-hub pip install huggingface-hub # 登录（按提示输入token） huggingface-cli login # 下载模型到本地指定路径（推荐/root/qwen1.5b） mkdir -p /root/qwen1.5b huggingface-cli download --resume-download Qwen/Qwen2.5-1.5B-Instruct --local-dir /root/qwen1.5b

下载完成后，请确认该目录下包含以下关键文件：

config.json
model.safetensors（或pytorch_model.bin）
tokenizer.model、tokenizer_config.json、special_tokens_map.json

注意：代码中MODEL_PATH必须严格指向这个完整路径（如/root/qwen1.5b），不能是父目录或子目录。路径错误是启动失败最常见的原因。

2.3 启动Streamlit应用：三行代码搞定

新建文件app.py，内容如下（已整合全部亮点功能，含缓存、清空按钮、模板适配）：

# app.py import streamlit as st from transformers import AutoTokenizer, AutoModelForCausalLM, pipeline import torch st.set_page_config( page_title="Qwen2.5-1.5B 本地助手", page_icon="🧠", layout="centered" ) @st.cache_resource def load_model(): st.info(" 正在加载模型: /root/qwen1.5b") tokenizer = AutoTokenizer.from_pretrained("/root/qwen1.5b", trust_remote_code=True) model = AutoModelForCausalLM.from_pretrained( "/root/qwen1.5b", device_map="auto", torch_dtype="auto", trust_remote_code=True ) return tokenizer, model tokenizer, model = load_model() # 初始化历史记录 if "messages" not in st.session_state: st.session_state.messages = [] # 清空对话按钮 with st.sidebar: st.title("⚙ 控制面板") if st.button("🧹 清空对话"): st.session_state.messages = [] # 强制释放GPU显存（适用于Linux） if torch.cuda.is_available(): torch.cuda.empty_cache() st.success("对话已重置，显存已清理") # 显示历史消息 for msg in st.session_state.messages: with st.chat_message(msg["role"]): st.markdown(msg["content"]) # 用户输入 if prompt := st.chat_input("你好，我是Qwen2.5-1.5B，有什么可以帮您？"): # 添加用户消息 st.session_state.messages.append({"role": "user", "content": prompt}) with st.chat_message("user"): st.markdown(prompt) # 构建对话历史（使用官方模板） messages = [ {"role": "system", "content": "You are a helpful assistant."} ] + st.session_state.messages text = tokenizer.apply_chat_template( messages, tokenize=False, add_generation_prompt=True ) # 推理 inputs = tokenizer(text, return_tensors="pt").to(model.device) with torch.no_grad(): outputs = model.generate( **inputs, max_new_tokens=1024, temperature=0.7, top_p=0.9, do_sample=True, pad_token_id=tokenizer.eos_token_id ) response = tokenizer.decode(outputs[0][inputs.input_ids.shape[1]:], skip_special_tokens=True) # 添加AI回复 st.session_state.messages.append({"role": "assistant", "content": response}) with st.chat_message("assistant"): st.markdown(response)

保存后，在终端中运行：

streamlit run app.py --server.port=8501 --server.address=0.0.0.0

成功标志：终端输出You can now view your Streamlit app in your browser.，并在浏览器打开http://localhost:8501或http://<你的内网IP>:8501能正常进入聊天界面。

验证小技巧：首次启动后，再开一个终端执行nvidia-smi（Linux）或htop，能看到Python进程占用显存约2.1–2.4GB（RTX 3060），证明模型确实在GPU上运行；若无GPU，则显示为CPU占用，显存占用几乎为0。

3. 从局域网到公网：Nginx反向代理配置详解

3.1 为什么不能直接暴露Streamlit端口？

Streamlit默认监听0.0.0.0:8501，看似已绑定所有接口，但直接将此端口映射到公网存在严重风险：

Streamlit未内置HTTPS支持，明文HTTP传输对话内容（含你输入的所有问题）；
缺乏访问控制，任何知道IP+端口的人都能连接；
无请求限流，恶意刷请求可能导致GPU过载或服务崩溃；
URL丑陋（http://xxx:8501），不专业，难记忆。

解决方案：用Nginx作为反向代理层，它像一位守门人，接收外部HTTPS请求，解密后转给本地Streamlit，再把响应加密返回。它还自带负载均衡、缓存、限流、日志等企业级能力。

3.2 安装与基础配置（Ubuntu/Debian）

sudo apt update sudo apt install nginx -y sudo systemctl enable nginx sudo systemctl start nginx

测试Nginx是否工作：浏览器访问http://<你的服务器IP>，应看到“Welcome to nginx!”页面。

3.3 创建专属站点配置

新建配置文件/etc/nginx/sites-available/qwen-chat：

upstream qwen_backend { server 127.0.0.1:8501; } server { listen 80; server_name chat.yourdomain.com; # ← 替换为你的域名（如无域名，先用IP，后续再配） # 强制跳转HTTPS return 301 https://$server_name$request_uri; } server { listen 443 ssl http2; server_name chat.yourdomain.com; # SSL证书路径（由Certbot自动生成，暂留空，下一步填充） ssl_certificate /etc/letsencrypt/live/chat.yourdomain.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/chat.yourdomain.com/privkey.pem; # 安全加固头 add_header X-Frame-Options "DENY" always; add_header X-XSS-Protection "1; mode=block" always; add_header X-Content-Type-Options "nosniff" always; add_header Referrer-Policy "no-referrer-when-downgrade" always; add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data:;" always; # Streamlit专用代理设置 location / { proxy_pass http://qwen_backend; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection "upgrade"; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; # 防止WebSocket断连 proxy_read_timeout 300; proxy_send_timeout 300; } # 静态资源缓存（提升UI加载速度） location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg)$ { expires 1y; add_header Cache-Control "public, immutable"; } }

启用配置：

sudo ln -sf /etc/nginx/sites-available/qwen-chat /etc/nginx/sites-enabled/ sudo nginx -t # 检查语法 sudo systemctl reload nginx

关键说明：
upstream定义了后端服务地址（即Streamlit）；
第一个server块监听80端口，强制301跳转到HTTPS，杜绝HTTP访问；
add_header系列是现代Web安全最佳实践，防止点击劫持、XSS等攻击；
proxy_*配置确保WebSocket长连接（Streamlit聊天依赖它）不被Nginx中断；
proxy_read_timeout设为300秒，足够应对1.5B模型生成长文本（如1024 tokens）。

4. 免费HTTPS：Let’s Encrypt证书自动签发与续期

4.1 安装Certbot并获取证书

sudo apt install certbot python3-certbot-nginx -y sudo certbot --nginx -d chat.yourdomain.com

前提：你的域名chat.yourdomain.com必须已解析到这台服务器的公网IP（A记录）。如暂无域名，可先用nip.io临时方案：chat.123.45.67.89.nip.io（将IP替换为你的实际IP）。

Certbot会自动：

验证域名所有权（通过HTTP挑战）；
申请并安装SSL证书；
修改Nginx配置，填入ssl_certificate和ssl_certificate_key路径；
配置自动续期任务（每日凌晨2:13检查，到期前30天自动更新）。

验证HTTPS生效：浏览器访问https://chat.yourdomain.com，地址栏显示锁图标，且无“不安全”警告。

4.2 手动续期测试（可选）

sudo certbot renew --dry-run

如输出Congratulations, all simulated renewals succeeded，说明自动续期机制已就绪。

5. 最后一道防线：防火墙与权限加固

5.1 限制仅开放必要端口

默认UFW（Uncomplicated Firewall）可能未启用。开启并精简规则：

sudo ufw enable sudo ufw default deny incoming sudo ufw allow OpenSSH sudo ufw allow 'Nginx Full' # 开放80/443 # ❌ 禁止开放8501！Streamlit只应被Nginx本地访问 sudo ufw status verbose

此时，nmap -sT <你的IP>应只显示22（SSH）和80/443（Nginx）端口开放，8501端口对外不可见。

5.2 Streamlit服务以非root用户运行

切勿用root运行Streamlit。创建专用用户：

sudo adduser --disabled-password --gecos "" qwenuser sudo usermod -aG sudo qwenuser sudo chown -R qwenuser:qwenuser /root/qwen1.5b /home/qwenuser/app.py

切换用户并后台运行（使用systemd实现开机自启）：

sudo -u qwenuser bash -c 'cd /home/qwenuser && nohup streamlit run app.py --server.port=8501 --server.address=127.0.0.1 > /home/qwenuser/streamlit.log 2>&1 &'