Silo Console 设置

0903 之后的内嵌 Console 修复

正在修复的问题包括本机代理来源地址识别（#147）与 WebSocket 限额配置被忽略（#148）。以下行为要求所用构建包含这两项修复；0903 镜像尚不包含它们。

代理来源地址

内嵌 Console 使用 MINIO_API_TRUSTED_PROXIES；CONSOLE_TRUSTED_PROXIES 仍仅供独立 Console 使用。客户端地址会影响 aws:SourceIp 策略和 WebSocket 限额。

列表用逗号、分号或空白分隔。其他主机或容器中的代理需要配置其实际对端地址。本机代理无需额外配置，但必须清理转发来源头：这一行为基于对本机进程的信任。头部中的环回地址不会自动成为可信转发节点。独立 Console 仍要求显式配置代理信任。

Server 的 S3 策略保持不变。设置 none/off 时，S3 也会忽略内嵌 Console 转发的浏览器地址，因此经 Console 执行的 IP 策略看到的是内部对端。WebSocket Origin 检查仍要求匹配主机与端口；信任环回对端不代表允许任意来源。

WebSocket 连接限额

在 Server 环境变量或 MINIO_CONFIG_ENV_FILE 中设置：

公开浏览每个标签页使用一个 WebSocket。NAT 后的客户端共享一个地址；IPv6 客户端按 /64 共享限额。例如，设置 CONSOLE_WS_MAX_ANONYMOUS_CONNECTIONS_PER_CLIENT=16 可增加同一地址的匿名标签页容量。默认值和登录用户的预留容量保持不变。

数值必须为 1 到 1048576 的整数。匿名总量与匿名单客户端限额必须分别低于对应的共享限额，匿名单客户端限额不得超过匿名总量。未设置时使用默认值；显式空值、字面量 env:// 引用与不符合上述关系的配置均会报错。配置错误会在 Console 开始服务前退出 Server 进程，此时 S3 监听器可能已经启动。其他 CONSOLE_* 用户覆盖值仍会清除，并由 Server 配置生成。

对象分享

该修复无需新增配置，请求限制始终执行，正常分享继续可用。CONSOLE_SHARE_MINIO_URL 仍只选择生成的链接格式。匿名代理仅允许下载对象内容的 GET 请求：

S3 继续执行授权检查：公共对象按策略允许匿名读取，私有对象需要有效授权。URL 的原始编码和签名参数保持不变。手工利用此接口代理桶列表、对象子资源或依赖重定向的下载将不再可用。

分享可用时，请求边界始终生效。原型曾包含 CONSOLE_SHARE_ENABLED=off， 最终撤掉了该开关及配套前端状态和内嵌 Server 配置传递：彻底关闭分享是独立的 产品需求，代理自身应当无需额外配置就正确限制访问范围。 CONSOLE_SHARE_MINIO_URL 因而继续只选择链接格式，不承担访问控制职责。 只检查是否存在签名字段不能保护公开指标；针对限定为对象下载的代理，也没有 必要另建 Console MAC 或分享链接注册表。编码后的 URL 本身不保证由 Console 签发。

这些检查只增加本地解析和比较，不增加 S3／IAM 请求、令牌存储、签名密钥或 整个对象的内存缓冲。后续增加通过查询参数选择的 S3 操作时，需要同步审查 拒绝列表与回归测试。Issue 设计记录 说明了威胁范围、备选方案和兼容性权衡。感谢 Jiri Pejchal（@jiri-pejchal） 报告内部指标暴露问题。

Console 设置参考

本页介绍用于管理 MinIO Console 访问与行为的设置。

你可以通过以下方式建立或修改设置：

• 在启动或重启 MinIO Server 之前，在宿主机系统上定义 环境变量。 如何定义环境变量，请参考所用操作系统的文档。
• 使用 mc admin config set 定义 配置项。

如果同时定义了环境变量和对应的配置项，MinIO 使用环境变量的值。

有些设置只有环境变量或配置项中的一种，而不是两者同时存在。

浏览器设置

以下设置用于控制内嵌 MinIO Console 的行为。

MinIO Console

可选

动画

可选

浏览器重定向

可选

浏览器重定向 URL

可选

会话时长

可选

日志查询 URL

可选

内容安全策略

可选

将 MinIO Console 配置为在 HTTP 响应中生成 Content-Security-Policy 头。 默认为 default-src 'self' 'unsafe-eval' 'unsafe-inline';

export MINIO_BROWSER_CONTENT_SECURITY_POLICY="default-src 'self' 'unsafe-eval' 'unsafe-inline';"

mc admin config set browser \
   csp_policy="default-src 'self' 'unsafe-eval' 'unsafe-inline';" \
   [ARGUMENT=VALUE ...]

严格传输安全

可选

将 MinIO Console 配置为在 HTTP 响应中生成 Strict-Transport-Security 头。

要生成该头，你 必须 使用 MINIO_BROWSER_HSTS_SECONDS 或 hsts_seconds 设置持续时间。 其他 HSTS 设置是可选的。

export MINIO_BROWSER_HSTS_SECONDS=31536000

export MINIO_BROWSER_HSTS_INCLUDE_SUB_DOMAINS="on"

export MINIO_BROWSER_HSTS_PRELOAD="on"

mc admin config set browser \
   hsts_seconds="31536000" \
   [ARGUMENT=VALUE ...]

mc admin config set browser \
   hsts_include_subdomains="on" \
   hsts_seconds="31536000" \
   [ARGUMENT=VALUE ...]

mc admin config set browser \
   hsts_preload="on" \
   hsts_seconds="31536000" \
   [ARGUMENT=VALUE ...]

示例

以下示例展示了给定配置项对应的渲染后响应头。 等价的环境变量会生成相同结果。 所有示例均使用 31536000，即一个自然年（365 天）的秒数。

hsts_seconds

mc admin config set ALIAS browser hsts_seconds=31536000

Strict-Transport-Security: max-age=31536000

hsts_include_subdomains

mc admin config set ALIAS browser hsts_seconds=31536000 hsts_include_subdomains=on

Strict-Transport-Security: max-age=31536000; includeSubDomains

hsts_preload

mc admin config set ALIAS browser hsts_seconds=31536000 hsts_include_subdomains=on hsts_preload=on

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

来源策略

可选

将 MinIO Console 配置为在 HTTP 响应中生成 Referrer-Policy 头。 默认为 strict-origin-when-cross-origin。

export MINIO_BROWSER_REFERRER_POLICY="strict-origin-when-cross-origin"

mc admin config set browser \
   referrer_policy="strict-origin-when-cross-origin" \
   [ARGUMENT=VALUE ...]

Prometheus 设置

以下设置用于管理 MinIO 与你的 Prometheus 服务之间的交互方式。

Prometheus URL

可选

Prometheus Job ID

可选

Prometheus Auth Token

可选

eyJhbGciOiJIUzUxMiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJwcm9tZXRoZXVzIiwic3ViIjoibWluaW8iLCJleHAiOjQ4NTAwMzg0MDJ9.GZCKR3d0FH2TCvNHSd39HaVfSuQVVV0s8glICBDmhT51V6CQ_hw8gTYlKHJmcpR8aHkqiJwCqcYJhaMmqwe00XY