2026/9/13 11:18:01
FEATURED · 精选文章 
TencentDB Agent Memory 一键部署公网暴露前必须替换哪三个默认内部凭据【免费下载链接】TencentDB-Agent-MemoryTencentDB Agent Memory is a team-level memory hub for AI Agents — turning conversations, docs, and code into four reusable memory assets (Chat Memory, Skill, LLM-Wiki, Code-Graph) that are governed, shared, and equipped across agents and frameworks.项目地址: https://gitcode.com/GitHub_Trending/te/TencentDB-Agent-MemoryTencentDB Agent Memory 的deploy/global-images目录提供三件套镜像memory-core memory-hub proxy的一键部署脚本把.env.example复制为.env、填好两组 LLM 参数后执行./start-all.sh即可把三个服务全部拉起。为了零配置本地体验脚本给三件套之间互相认证用的内部凭据保留了弱默认值部署 README 明确要求这三个默认值只适合个人本地跑通流程生产/联调/公网暴露前必须替换成随机长串否则任何拿到端口的人都能拿到 system_admin 权限。这篇文章说明公网暴露前如何替换这三个凭据、替换后如何验证以及当前脚本中与 README 不一致的地方和已知限制。准备条件macOS / LinuxDockerDocker Desktop / colima / OrbStack 任一bash 4macOS 自带 3.2 也能跑三个镜像发布在 Docker Hub 的agentmemory命名空间下多架构linux/amd64linux/arm64公开可拉、无需登录。想固定版本时把.env里的 tag 从:latest换成具体版本例如:1.0.0-beta.1。先初始化配置文件以下命令都在deploy/global-images目录内执行cp .env.example .env随后编辑.env把两组 LLM 参数从REPLACE_ME换成真值MEMORY_LLM_*供 memory-core / memory-hub 内部使用PROXY_UPSTREAM_*是 proxy 转发用户请求的上游。参数缺失时脚本会在启动前一次性列出所有缺失项并exit 1不会跑到一半才失败。三个内部凭据及其默认值三件套之间用MEMORY_CORE_GATEWAY_API_KEY互相认证首次启动还会通过init-admin建一个system_admin账户。README 的内部凭据生产环境必看一节列出三个默认值变量默认值用途MEMORY_CORE_GATEWAY_API_KEYlocalmemory-hub / proxy → memory-core 的 BearerMEMORY_CORE_ADMIN_USERNAMEadmin初始化的 system_admin 用户名MEMORY_CORE_ADMIN_USER_KEYadmin该 admin 用户的登录 key两处文档对MEMORY_CORE_GATEWAY_API_KEY的默认值描述不一致以你手里的.env为准仓库当前的 .env.example 把它置为空注释说明留空默认即关闭 Bearer gate是本地零配置体验非空则所有请求必须带Authorization: Bearer keystart-memory-core.sh 也按空处理而 start-memory-hub.sh 和 start-proxy.sh 在未设置时回落为local。README 表格写的是local。在 .env 中替换三个凭据README 给出的操作方式是在.env里取消对应三行的注释并覆盖即可。逐项对照仓库现状替换方法如下。1. MEMORY_CORE_ADMIN_USERNAME.env.example中预置为adminstart-memory-core.sh 未设置时同样回落admin。直接改成你要使用的管理员用户名MEMORY_CORE_ADMIN_USERNAME你要的管理员用户名2. MEMORY_CORE_GATEWAY_API_KEY替换成随机长串MEMORY_CORE_GATEWAY_API_KEY随机长串设置非空后访问 memory-core 网关的请求都要携带Authorization: Bearer key.env.example 中该变量的注释说明。替换这一项前必须先了解一个已记录的限制当前开源版本里网关的 Bearer gate 与 proxy 的 auth 存在已知不兼容——proxy 调/v3/meta/auth/verify时不带 Bearer因此 key 非空时 proxy 的 auth / sessionInit 会失败。.env.example 的注释写明生产环境后续需在 proxy 侧修复后再启用非空 keystart-memory-core.sh 启动时也会打印警告提示本地体验请把该项留空。所以如果你的公网暴露包含 proxy 完整流水线auth / sessionInit这一项现在还不能直接换成长串如果是纯 memory-core 网关暴露则可以用非空 key 启用 Bearer gate。3. MEMORY_CORE_ADMIN_USER_KEYREADME 表格中该项默认值为admin但对照仓库现状.env.example没有预置这一行当前各启动脚本中也没有读取该变量的位置。admin 用户 key 的真实行为见 start-memory-core.sh 顶部注释首次启动时脚本生成一把sk-mem-前缀、32 位随机字符的 key通过init-admin接口传入并返回体读回持久化到宿主机侧的.admin-key文件用umask 077收紧权限每台机器、每次 purge 都是独立 key。因此这一项的保护动作不是把admin改成随机串而是保证宿主机上.admin-key文件不丢失、不被他人读取——它就是 admin 用户的登录 key.admin-key与数据 volume 必须同步volume 被清理后该文件要一并删掉否则重启时脚本无法恢复 user_key。若你拿到的 README 版本中.env确实存在MEMORY_CORE_ADMIN_USER_KEY的默认值行按 README 要求取消注释并覆盖成随机长串即可按当前仓库脚本.admin-key里的随机 key 才是事实来源。启动与验证先干跑校验再一键拉起verify.sh 校验的是 LLM 通路而不是内部凭据离线环境加--skip-llm./verify.sh ./start-all.shstart-all.sh依次拉起 memory-core、memory-hub、proxy任意一步失败会中止并打印容器日志。启动成功的判定看脚本输出其中与凭据直接相关的三行start-memory-core.sh 的实际输出格式admin user 已创建 admin user_key 已保存到 .../global-images/.admin-key admin user_key 校验通过auth/verify 200—— sk-mem-****…最后一行是脚本对 key 做脱敏后的打印前 11 位 **** 末 4 位整串不落终端历史。全部就绪后脚本还会打印服务地址表默认端口Panel UIhttp://localhost:8125/、Knowledge APIhttp://localhost:8424/v3/、Memory Gatewayhttp://localhost:8420/、Proxyhttp://localhost:8096/。要手动确认 key 生效可以用脚本verify_user_key里同样的调用端口取默认8420两处尖括号占位符分别替换为.env里的MEMORY_CORE_GATEWAY_API_KEY值和.admin-key文件内容gateway key 留空时省略Authorization那一行curl -sS -o /dev/null -w %{http_code} --max-time 5 \ -X POST -H Content-Type: application/json \ -H x-tdai-service-id: default \ -H Authorization: Bearer 你的 MEMORY_CORE_GATEWAY_API_KEY \ http://localhost:8420/v3/meta/auth/verify \ -d {user_key:.admin-key 文件内容}脚本以返回200判定 key 有效。限制与副作用三个默认值只适合个人本地跑通流程公网暴露前必须先完成替换否则拿到端口的人即可拿到 system_admin 权限README 原话。MEMORY_CORE_GATEWAY_API_KEY非空与 proxy 的 sessionInit / auth 目前不兼容属已知问题需在 proxy 侧修复后再启用公网暴露 proxy 完整流水线时不要把这一项简单换成长串后忽略该限制。重启遇到 409admin user 已存在且.admin-key缺失时脚本给出两个恢复选项A) 清理 volume 重建——./stop-all.sh --purge ./start-memory-core.shB) 手动创建新 admin user_key需要旧 key 或 gateway apiKey。./stop-all.sh --purge会停容器、删 volume、删网络tdai-memory-core-data与tdai-panel-data两个 volume 里的数据随之丢失只想停服务并保留数据时用./stop-all.sh。各start-*.sh重复执行会先幂等移除同名旧容器再启动volume 数据保留。排查 proxy 转发 401 时注意区分README 常见问题指出该现象是PROXY_UPSTREAM_API_KEY无效或PROXY_UPSTREAM_URL不匹配LLM 上游 key不是本文三个内部凭据用docker logs tdai-proxy看错误。【免费下载链接】TencentDB-Agent-MemoryTencentDB Agent Memory is a team-level memory hub for AI Agents — turning conversations, docs, and code into four reusable memory assets (Chat Memory, Skill, LLM-Wiki, Code-Graph) that are governed, shared, and equipped across agents and frameworks.项目地址: https://gitcode.com/GitHub_Trending/te/TencentDB-Agent-Memory创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
TencentDB Agent Memory 一键部署公网暴露前必须替换哪三个默认内部凭据
TencentDB Agent Memory 一键部署公网暴露前必须替换哪三个默认内部凭据【免费下载链接】TencentDB-Agent-MemoryTencentDB Agent Memory is a team-level memory hub for AI Agents — turning conversations, docs, and code into four reusable memory assets (Chat Memory, Skill, LLM-Wiki, Code-Graph) that are governed, shared, and equipped across agents and frameworks.项目地址: https://gitcode.com/GitHub_Trending/te/TencentDB-Agent-MemoryTencentDB Agent Memory 的deploy/global-images目录提供三件套镜像memory-core memory-hub proxy的一键部署脚本把.env.example复制为.env、填好两组 LLM 参数后执行./start-all.sh即可把三个服务全部拉起。为了零配置本地体验脚本给三件套之间互相认证用的内部凭据保留了弱默认值部署 README 明确要求这三个默认值只适合个人本地跑通流程生产/联调/公网暴露前必须替换成随机长串否则任何拿到端口的人都能拿到 system_admin 权限。这篇文章说明公网暴露前如何替换这三个凭据、替换后如何验证以及当前脚本中与 README 不一致的地方和已知限制。准备条件macOS / LinuxDockerDocker Desktop / colima / OrbStack 任一bash 4macOS 自带 3.2 也能跑三个镜像发布在 Docker Hub 的agentmemory命名空间下多架构linux/amd64linux/arm64公开可拉、无需登录。想固定版本时把.env里的 tag 从:latest换成具体版本例如:1.0.0-beta.1。先初始化配置文件以下命令都在deploy/global-images目录内执行cp .env.example .env随后编辑.env把两组 LLM 参数从REPLACE_ME换成真值MEMORY_LLM_*供 memory-core / memory-hub 内部使用PROXY_UPSTREAM_*是 proxy 转发用户请求的上游。参数缺失时脚本会在启动前一次性列出所有缺失项并exit 1不会跑到一半才失败。三个内部凭据及其默认值三件套之间用MEMORY_CORE_GATEWAY_API_KEY互相认证首次启动还会通过init-admin建一个system_admin账户。README 的内部凭据生产环境必看一节列出三个默认值变量默认值用途MEMORY_CORE_GATEWAY_API_KEYlocalmemory-hub / proxy → memory-core 的 BearerMEMORY_CORE_ADMIN_USERNAMEadmin初始化的 system_admin 用户名MEMORY_CORE_ADMIN_USER_KEYadmin该 admin 用户的登录 key两处文档对MEMORY_CORE_GATEWAY_API_KEY的默认值描述不一致以你手里的.env为准仓库当前的 .env.example 把它置为空注释说明留空默认即关闭 Bearer gate是本地零配置体验非空则所有请求必须带Authorization: Bearer keystart-memory-core.sh 也按空处理而 start-memory-hub.sh 和 start-proxy.sh 在未设置时回落为local。README 表格写的是local。在 .env 中替换三个凭据README 给出的操作方式是在.env里取消对应三行的注释并覆盖即可。逐项对照仓库现状替换方法如下。1. MEMORY_CORE_ADMIN_USERNAME.env.example中预置为adminstart-memory-core.sh 未设置时同样回落admin。直接改成你要使用的管理员用户名MEMORY_CORE_ADMIN_USERNAME你要的管理员用户名2. MEMORY_CORE_GATEWAY_API_KEY替换成随机长串MEMORY_CORE_GATEWAY_API_KEY随机长串设置非空后访问 memory-core 网关的请求都要携带Authorization: Bearer key.env.example 中该变量的注释说明。替换这一项前必须先了解一个已记录的限制当前开源版本里网关的 Bearer gate 与 proxy 的 auth 存在已知不兼容——proxy 调/v3/meta/auth/verify时不带 Bearer因此 key 非空时 proxy 的 auth / sessionInit 会失败。.env.example 的注释写明生产环境后续需在 proxy 侧修复后再启用非空 keystart-memory-core.sh 启动时也会打印警告提示本地体验请把该项留空。所以如果你的公网暴露包含 proxy 完整流水线auth / sessionInit这一项现在还不能直接换成长串如果是纯 memory-core 网关暴露则可以用非空 key 启用 Bearer gate。3. MEMORY_CORE_ADMIN_USER_KEYREADME 表格中该项默认值为admin但对照仓库现状.env.example没有预置这一行当前各启动脚本中也没有读取该变量的位置。admin 用户 key 的真实行为见 start-memory-core.sh 顶部注释首次启动时脚本生成一把sk-mem-前缀、32 位随机字符的 key通过init-admin接口传入并返回体读回持久化到宿主机侧的.admin-key文件用umask 077收紧权限每台机器、每次 purge 都是独立 key。因此这一项的保护动作不是把admin改成随机串而是保证宿主机上.admin-key文件不丢失、不被他人读取——它就是 admin 用户的登录 key.admin-key与数据 volume 必须同步volume 被清理后该文件要一并删掉否则重启时脚本无法恢复 user_key。若你拿到的 README 版本中.env确实存在MEMORY_CORE_ADMIN_USER_KEY的默认值行按 README 要求取消注释并覆盖成随机长串即可按当前仓库脚本.admin-key里的随机 key 才是事实来源。启动与验证先干跑校验再一键拉起verify.sh 校验的是 LLM 通路而不是内部凭据离线环境加--skip-llm./verify.sh ./start-all.shstart-all.sh依次拉起 memory-core、memory-hub、proxy任意一步失败会中止并打印容器日志。启动成功的判定看脚本输出其中与凭据直接相关的三行start-memory-core.sh 的实际输出格式admin user 已创建 admin user_key 已保存到 .../global-images/.admin-key admin user_key 校验通过auth/verify 200—— sk-mem-****…最后一行是脚本对 key 做脱敏后的打印前 11 位 **** 末 4 位整串不落终端历史。全部就绪后脚本还会打印服务地址表默认端口Panel UIhttp://localhost:8125/、Knowledge APIhttp://localhost:8424/v3/、Memory Gatewayhttp://localhost:8420/、Proxyhttp://localhost:8096/。要手动确认 key 生效可以用脚本verify_user_key里同样的调用端口取默认8420两处尖括号占位符分别替换为.env里的MEMORY_CORE_GATEWAY_API_KEY值和.admin-key文件内容gateway key 留空时省略Authorization那一行curl -sS -o /dev/null -w %{http_code} --max-time 5 \ -X POST -H Content-Type: application/json \ -H x-tdai-service-id: default \ -H Authorization: Bearer 你的 MEMORY_CORE_GATEWAY_API_KEY \ http://localhost:8420/v3/meta/auth/verify \ -d {user_key:.admin-key 文件内容}脚本以返回200判定 key 有效。限制与副作用三个默认值只适合个人本地跑通流程公网暴露前必须先完成替换否则拿到端口的人即可拿到 system_admin 权限README 原话。MEMORY_CORE_GATEWAY_API_KEY非空与 proxy 的 sessionInit / auth 目前不兼容属已知问题需在 proxy 侧修复后再启用公网暴露 proxy 完整流水线时不要把这一项简单换成长串后忽略该限制。重启遇到 409admin user 已存在且.admin-key缺失时脚本给出两个恢复选项A) 清理 volume 重建——./stop-all.sh --purge ./start-memory-core.shB) 手动创建新 admin user_key需要旧 key 或 gateway apiKey。./stop-all.sh --purge会停容器、删 volume、删网络tdai-memory-core-data与tdai-panel-data两个 volume 里的数据随之丢失只想停服务并保留数据时用./stop-all.sh。各start-*.sh重复执行会先幂等移除同名旧容器再启动volume 数据保留。排查 proxy 转发 401 时注意区分README 常见问题指出该现象是PROXY_UPSTREAM_API_KEY无效或PROXY_UPSTREAM_URL不匹配LLM 上游 key不是本文三个内部凭据用docker logs tdai-proxy看错误。【免费下载链接】TencentDB-Agent-MemoryTencentDB Agent Memory is a team-level memory hub for AI Agents — turning conversations, docs, and code into four reusable memory assets (Chat Memory, Skill, LLM-Wiki, Code-Graph) that are governed, shared, and equipped across agents and frameworks.项目地址: https://gitcode.com/GitHub_Trending/te/TencentDB-Agent-Memory创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 
