部署上線與雲端服務商

「在我電腦上明明可以跑」

第 04 課是用 SSH 登入主機、一個指令一個指令把網站架起來。這樣做一次很有收穫，但要每次改版都這樣做，問題就來了：

這一課介紹兩個解法：用容器把環境打包起來，用 CI/CD 把部署的步驟自動化。最後介紹有哪些雲端服務可以選，以及最重要的：怎麼保護你的金鑰。

容器：把環境一起打包

容器映像檔（image）裡包含了作業系統的檔案、Python 版本、套件與你的程式。同一份映像檔，在你的筆電、組員的電腦、雲端主機上執行，環境都一樣。

所以現代的部署流程，常常是「把程式建立成映像檔、推送到映像檔倉庫（registry）、再讓伺服器拉下來執行」。 Dockerfile、build、push 的細節請看 Docker 容器軌道。

CI/CD：每次 push 都自動測試、自動部署

CI（Continuous Integration，持續整合）：每次有人把程式碼推上 Git，系統就自動執行測試，及早發現問題。 CD（Continuous Delivery／Deployment，持續交付／持續部署）：測試通過後，自動建立可部署的版本；持續部署更進一步，自動上線。

一條常見的部署流程（pipeline）：

git push ──▶ 自動測試 ──▶ 建立映像檔 ──▶ 推送到 registry ──▶ 部署到伺服器
               │
               └─ 失敗就停在這裡，線上的版本不受影響

觸發點就是 Git 軌道 學過的 git push。以 GitHub Actions 為例，流程寫成儲存庫裡的一份設定檔（示意，實際步驟依專案而定）：

# .github/workflows/deploy.yml
on:
  push:
    branches: [main]          # 推到 main 分支時觸發
jobs:
  test-and-deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: pip install -r requirements.txt
      - run: pytest           # 測試失敗，後面的步驟就不會執行
      - run: docker image build -t app:${{ github.sha }} .
      # 接著推送映像檔並通知伺服器更新（依你使用的平台而定）

GitLab、Bitbucket 等 Git 平台也有類似的功能。重點不是哪一套工具，而是：部署變成一個可以重複、可以檢查的流程，不再靠某個人記得步驟。

換版本的方式：滾動更新、藍綠部署與回滾

網站有好幾台伺服器時，新版本要怎麼換上去，才不會讓使用者看到網站停擺？

不管哪一種方式，測試都不可能抓到所有 bug。新版本上線後錯誤率升高，就要回滾（rollback）：退回上一個正常的版本，先止血，再慢慢找原因。 能夠快速回滾的前提是：每個版本都有保存下來（例如有版本標籤的映像檔），而不是直接覆蓋掉舊檔案。

PaaS 一鍵部署：讓平台替你跑流程

自己搭 CI/CD、管伺服器很有學習價值，但專題時間有限時，PaaS 平台可以替你做掉大部分的事。常見的使用方式：

1. 把程式碼放在 GitHub 上
2. 在 PaaS 平台登入並連結這個儲存庫
3. 設定建置與啟動方式，例如 Flask 專案要有 requirements.txt，啟動指令設成 gunicorn app:app（或提供 Dockerfile）
4. 在平台的設定頁填入環境變數（資料庫網址、API 金鑰）
5. 之後每次 git push 到 main，平台就自動建置、部署新版本，失敗時可以從介面退回上一版

要注意的事：

• 有些平台的免費方案在一段時間沒人使用後會休眠，下一個請求要等它醒來，第一次開啟會比較慢
• 平台替你決定了很多事（作業系統、可用的區域、能不能常駐背景程式），遇到限制時要看文件或改用 IaaS
• 平台上的檔案系統常常是暫時的，重新部署就會清空；資料要放在資料庫或物件儲存

主要的雲端服務商

雲端服務商很多，概念都是這幾課學過的：虛擬機、儲存、資料庫、負載平衡、自動擴展，只是名稱與介面不同。

綜合型雲端服務商（IaaS 到 PaaS 都有，服務項目最多）：

PaaS 與網站託管平台（連結 GitHub 儲存庫就能部署，適合學生專題）：

台灣的學術資源：

以上只整理定位，不列價格與免費額度：各家的價格、免費方案與限制常常調整，也依區域而不同，使用前請以官方網站的最新說明為準。

學生可以利用的資源

多數服務商都有給學生的方案，但資格與內容各不相同，申請前先讀清楚官方條款：

申請任何免費方案時，都要留意：

• 免費期限或額度用完之後會不會自動開始收費？綁了信用卡的帳號尤其要注意
• 一定要設定預算警示（第 05 課），並開啟帳號的兩步驟驗證
• 學生身分到期後，資源可能被停用或刪除，重要的資料記得備份

怎麼選？從需求出發

其他要一起考慮的事：

• 使用者在哪裡：選離使用者近的區域
• 資料能不能出國：若處理個資或研究資料，先確認學校、研究倫理或計畫對資料存放位置的規定
• 組員會不會用：選大家都能操作的平台，避免只有一個人會部署
• 避免綁死：用容器、標準的資料庫，日後要換平台比較容易
• 費用：先估算（第 05 課），並設好預算警示

金鑰安全：最常見、代價也最高的錯誤

雲端帳號的存取金鑰、資料庫密碼、AI 服務的 API key，等於你的錢包和鑰匙。 有自動掃描程式專門在公開的 GitHub 儲存庫裡找金鑰，找到就拿去開機器、呼叫付費服務，帳單寄給你。

原則：金鑰不寫在程式碼裡，也不提交到 Git。

把金鑰放在專案根目錄的 .env 檔，程式從環境變數讀取：

# .env（只留在自己電腦或伺服器上，不提交）
DATABASE_URL=postgresql://app:密碼@db.example.com/app
OPENAI_API_KEY=sk-請換成你的金鑰

import os
from dotenv import load_dotenv   # pip install python-dotenv

load_dotenv()                     # 讀取 .env，放進環境變數
api_key = os.environ['OPENAI_API_KEY']

在 .gitignore 加上 .env，Git 就不會追蹤它；另外提供一份不含真實值的 .env.example 給組員參考。 部署到 PaaS 或 CI/CD 時，金鑰填在平台的「環境變數」或「Secrets」設定頁，不放進儲存庫。

如果金鑰不小心推上去了：

1. 立刻到服務商的主控台撤銷（revoke）這把金鑰，產生新的一把，這是最重要的一步
2. 只刪掉檔案再 commit 沒有用：舊的提交紀錄裡還看得到，別人也可能早就複製走了
3. 檢查帳單與使用紀錄，看有沒有不認得的資源或呼叫；有異常就聯絡服務商
4. 更新所有用到這把金鑰的地方

其他好習慣：雲端帳號開啟兩步驟驗證；日常操作不要用最高權限的主帳號，另外建立權限只夠用的帳號；設定預算警示，異常花費能及早發現。

重點精華回顧

• 容器映像檔把環境與程式一起打包，讓每台機器的環境一致，每個版本也能保存下來。
• CI/CD：git push → 自動測試 → 建立映像檔 → 推送到 registry → 部署；測試失敗就停下，線上版本不受影響。
• 滾動更新一台一台換、藍綠部署整組切換、金絲雀部署先給少數人用；出問題時回滾到上一版。
• PaaS 連結 GitHub 儲存庫就能自動部署，適合專題；留意休眠、平台限制與暫時性的檔案系統。
• 主要服務商有 AWS、Azure、Google Cloud、Oracle Cloud，PaaS 有 Render、Vercel、Netlify、Fly.io 等；學生方案與學術資源各有資格限制，價格與額度以官方網站為準。
• 金鑰不寫進程式、不提交到 Git：用 .env＋.gitignore＋環境變數；外流時立刻撤銷並更換，並設定兩步驟驗證與預算警示。