机器接入
要求
- Linux，x86_64 或 arm64。
- root 或 sudo 权限。
- 能访问 Moorline 面板的 HTTPS 地址（只需要出站连接，不需要公网 IP、不需要开端口）。
- 需要 Docker。机器上没有 Docker 时，安装脚本会用官方安装脚本（get.docker.com）装一个，这一步需要联网。
三种接入方式
- 一行命令（推荐）：在面板上复制命令，到机器上以 root 运行。令牌 60 分钟有效、只能用一次，过期了在机器详情里点「换新命令」。
- 账号密码：把机器的 SSH 地址、端口、用户和密码填进面板，由面板代你登录并安装。密码只用于这次安装，装完不保存。
- 公钥：面板给你一把公钥，你把它加进机器的
authorized_keys，面板用它登录并安装。
用后两种方式时，面板第一次连上去会记下这台机器的 SSH 主机指纹，之后指纹不符就拒绝连接，防止被中间人替换。
agent 做什么，不做什么
agent 是机器上唯一常驻的容器 moorline-agent，用 host 网络，挂载 Docker socket 和状态目录 /var/lib/moorline-agent。
它会：
- 主动连接面板，接收带签名的期望状态，据此创建、更新、删除名字以
moorline-开头的实例容器和数据卷； - 接管这些实例的网络出口（见 线路与出口检测）；
- 上报机器和实例状态、资源用量，按需读取实例日志，执行备份和还原。
它不会：
- 执行面板下发的任意命令。协议里只有「期望状态」和几种固定操作，没有「在机器上运行这条命令」；
- 动不是它创建的容器和卷。机器上其他容器会被列为「未知资源」，只上报、不动。
重新接入、移除、卸载
- 重新接入：机器重装系统或 agent 状态丢了，在机器详情里点「重新接入」。接入后线路和备份存储的凭证要重新填一次（凭证是加密给旧的 agent 的）。
- 移除机器：在面板里移除后，机器上的实例容器会被清理，数据卷保留。面板会给出卸载命令。
- 卸载：在机器上运行
curl -fsSL <面板地址>/uninstall.sh | sudo sh，删除 agent 和实例容器，数据卷默认保留；加--purge连数据卷和状态目录一起删。