CloudSSH —— 浏览器里的 Serverless Web SSH，打开即连
基于 Cloudflare Workers + Durable Objects 构建的开源 Web SSH 工具，自研纯 TypeScript SSH-2.0 协议栈，零服务器运维成本。
视频演示：Bilibili | 在线体验：生产版 · 测试版 | GitHub：newbietan/CloudSSH
起因
手机收到服务器告警，手边没有 SSH 客户端；临时借台电脑，装工具、配密钥，最佳处理窗口已经过了。又或者只是想快速看一眼服务器状态，却要在终端和配置之间来回切换——尤其是在手机上，软键盘遮挡、中文吞字更是常态。
所以做了 CloudSSH：打开浏览器，连上服务器，开干。
核心能力一览
- SSH-2.0 全协议自研：纯 TypeScript 实现，基于 Web Crypto API，支持 Curve25519/ECDH 密钥交换、AES-256-GCM 加密、Ed25519/ECDSA/RSA 私钥认证，以及 keyboard-interactive（兼容 Serv00/2FA）。
- 多级跳板机穿透：基于 RFC 4254
direct-tcpip标准隧道，最多 3 级跳板无缝穿透内网，终端、SFTP、AI Agent 完整复用，无需跳板安装额外工具。 - 一次性分享链接：为已保存服务器生成单次可领的能力链接，设备绑定、全程审计、实时撤销、到期自动收回——临时交给同事排查故障，无需交出密码或私钥。
- SFTP 图形化文件管理：多选/Shift 连选/批量上传下载删除，独立通道与终端互不干扰；终端内还支持 trzsz 拖拽上传与断点续传。
- AI Agent 运维助手：BYOK 接入任意 OpenAI 规范服务，7 大运维专用工具，终端选区一键提问，两层安全防线拦截高危命令。
- 移动端深度优化：动态视口防遮挡、单指滚动历史、iOS 中文输入法修复、触屏快捷键栏、后台切回心跳自愈。
- Theme V3 主题系统：7 款内置主题 + 在线主题编辑器，支持背景渐变/扫描线/辉光/噪点自定义，云端跨设备同步。
安全设计要点
- TOFU 指纹防篡改：首次连接记录主机指纹，密钥变更时阻断连接并弹窗对比，防范中间人攻击。
- 凭据全生命周期隔离：登录用户的服务端密码经 AES-256-GCM 加密存储，连接时生成 60 秒一次性 Token，已解密凭据绝不回传浏览器。
- SSRF 与 DNS Rebinding 防护：拦截私有/回环地址，通过 Cloudflare DoH 解析域名并校验全部解析 IP。
- 可选 GitHub 数字 ID 白名单 + 强制登录模式，轻松打造个人私有运维堡垒。
部署方式
- Fork 仓库 → Cloudflare Dashboard → Workers & Pages → Connect to Git
- 构建命令填
pnpm run build:frontend，保存部署即可 - 获得
*.workers.dev域名，可绑自定义域名
全部后端跑在 Cloudflare Workers + Durable Objects 上，不需要自己维护任何 VPS 或容器。
相关链接
| 资源 | 地址 |
|---|---|
| GitHub 仓库 | https://github.com/newbietan/CloudSSH |
| 生产环境体验 | https://ssh.newbietan.cn/ |
| 测试版（最新功能预览） | https://sshtest.newbietan.cn/ |
| 在线主题编辑器 | https://newbietan.github.io/CloudSSH/theme-editor/ |
| 视频演示 | https://www.bilibili.com/video/BV1UgMt6UEdF |
觉得有用的话，欢迎去 GitHub 点个 Star 支持一下！
看上去不错
@sinstar #2 代码全部开源，可部署在自己的cloudflare账户，所有数据都保存在你的cloudflare，项目有天然用户隔离，保存的服务器隐私信息只在worker中流转，以下情况会被入侵：1.攻破Cloudflare 平台；2.你的 Cloudflare 账号被盗；3.你电脑的本身的输入环境就不可信，与项目无关系。总结一下：这个项目与你的服务器安全没直接关系，当且仅当你将你的服务器凭证等信息保存在这个项目（即保存到你自己cloudflare的DO中）存在风险。
这个好东西
好项目star了
字太多了，我如何信任这个软件？而不是让它成为一个额外的攻击面？
太复杂 还是ttyd最香喷喷了
能否支持 ed25519_sk 密钥
@A7urT6s9dmV3pR8 #4 这个项目和ttyd准确来说不算一个赛道，ttyd属于本地ssh的一种，这个是云端的，主打免下载0部署成本，服务器信息同步，应急使用
@Metz #5 不行，架构上很难实现，这个项目是一个WebSSH工具，属于服务器代理类型，只不过由cloudflare进行转发而已
之前用过类似的worker wenshh，但没有手机优化，这个有手机触摸优化，看看能不能抛弃termius
@81-physics #8 基于CF Worker部署的WebSSH应该全网最先采用这种方案的就是我的仓库了，也是刚探索出来不久，几个月不到，不过我一直在维护，短时间内也会一直维护
@81-physics #8 不用抛弃termius，显然termius具备更多的优势，不过就是收费，这个可以自己部署一个留着备用，反正也不需要自己维护，我仓库配置有自动同步的工作流，配置好了，可以同步我发布的版本自动更新