3x-ui/docs/x-ui-logic.md

# x-ui.sh 逻辑文档

## 概述

`x-ui.sh` 是 3x-ui 面板的管理脚本，提供 26 个交互式菜单选项和 15 个子命令，涵盖面板的安装、更新、卸载、凭据管理、服务控制、SSL 证书、防火墙、Fail2ban IP 限制、BBR 加速、Geo 文件更新等功能。

---

## 全局配置

### 颜色变量

| 变量    | 值             | 用途     |
|---------|----------------|----------|
| `red`   | `\033[0;31m`   | 红色     |
| `green` | `\033[0;32m`   | 绿色     |
| `blue`  | `\033[0;34m`   | 蓝色     |
| `yellow`| `\033[0;33m`   | 黄色     |
| `plain` | `\033[0m`      | 重置     |

### 日志函数

| 函数    | 前缀      | 用途       |
|---------|-----------|------------|
| `LOGD()` | `[调试]`  | 调试信息   |
| `LOGE()` | `[错误]`  | 错误信息   |
| `LOGI()` | `[信息]`  | 普通信息   |

### 路径变量

| 变量                    | 默认值                    | 说明                    |
|-------------------------|---------------------------|-------------------------|
| `xui_folder`            | `/usr/local/x-ui`         | x-ui 安装目录           |
| `xui_service`           | `/etc/systemd/system`     | systemd 服务文件目录    |
| `log_folder`            | `/var/log/x-ui`           | 日志目录                |
| `iplimit_log_path`      | `.../3xipl.log`           | IP 限制日志             |
| `iplimit_banned_log_path`| `.../3xipl-banned.log`  | IP 封禁日志             |

### 辅助函数

| 函数                  | 功能                                         |
|-----------------------|----------------------------------------------|
| `confirm()`           | 通用确认提示，支持自定义默认值               |
| `confirm_restart()`   | 确认后重启面板（重启 x-ui 也会重启 xray）    |
| `before_show_menu()`  | 按回车返回主菜单                             |
| `gen_random_string()` | 通过 openssl 生成指定长度的随机字母数字字符串 |
| `is_port_in_use()`    | 端口占用检测（ss → netstat → lsof）          |
| `is_ipv4/is_ipv6/is_ip/is_domain()` | IP/域名格式验证              |

---

## 入口流程

```
x-ui.sh 被执行
  ├─ 检查 root 权限
  ├─ 检测操作系统发行版和版本号
  ├─ 初始化路径和日志目录
  │
  ├─ 有命令行参数 → 执行对应子命令（不显示菜单）
  └─ 无参数 → 显示交互式菜单 show_menu()
       ├─ 显示当前状态（运行/停止/未安装 + 开机自启 + xray 状态）
       ├─ 读取用户输入 [0-26]
       └─ 根据选择调用对应功能
```

---

## 主菜单 (show_menu)

```
╔────────────────────────────────────────────────╗
│  0.  退出脚本                                  │
│────────────────────────────────────────────────│
│  1.  安装          2.  更新          3.  更新菜单  │
│  4.  安装旧版本    5.  卸载                      │
│────────────────────────────────────────────────│
│  6.  重置用户名和密码  7.  重置 Web 路径         │
│  8.  重置设置          9.  修改端口              │
│ 10.  查看当前设置                                │
│────────────────────────────────────────────────│
│ 11.  启动    12.  停止    13.  重启              │
│ 14.  重启 Xray    15.  查看状态                  │
│ 16.  日志管理                                     │
│────────────────────────────────────────────────│
│ 17.  设置开机自启    18.  取消开机自启           │
│────────────────────────────────────────────────│
│ 19.  SSL 证书管理    20.  Cloudflare SSL         │
│ 21.  IP 限制管理     22.  防火墙管理              │
│ 23.  SSH 端口转发管理                            │
│────────────────────────────────────────────────│
│ 24.  BBR 管理    25.  更新 Geo 文件              │
│ 26.  网速测试 (Speedtest)                        │
╚────────────────────────────────────────────────╝
```

大部分选项在执行前调用 `check_install`（检查面板是否已安装）或 `check_uninstall`（检查面板是否未安装），防止误操作。

---

## 状态检测函数

| 函数                   | 返回值                    | 逻辑                                      |
|------------------------|---------------------------|-------------------------------------------|
| `check_status()`       | 0=运行中, 1=未运行, 2=未安装 | Alpine 检查 init.d，其他检查 systemd    |
| `check_enabled()`      | 0=已启用, 1=未启用        | Alpine 检查 rc-update，其他检查 systemctl |
| `check_xray_status()`  | 0=运行中, 1=未运行        | ps 查找 xray-linux 进程                  |
| `check_install()`      | 前置检查                  | 未安装则提示并返回菜单                    |
| `check_uninstall()`    | 前置检查                  | 已安装则提示"勿重复安装"并返回菜单        |

---

## 菜单选项详解

### 选项 0：退出脚本

```bash
exit 0
```

直接退出，无额外逻辑。

---

### 选项 1：安装

**函数**：`install()`

```
下载并执行 install.sh（从 GitHub raw 文件）
  └─ 成功后自动调用 start()
```

- 执行 `bash <(curl -Ls https://raw.githubusercontent.com/Sora39831/3x-ui/main/install.sh)`
- 安装成功后自动启动面板

---

### 选项 2：更新

**函数**：`update()`

```
确认提示："更新所有 x-ui 组件到最新版本，数据不会丢失"
  ├─ 取消 → 返回菜单
  └─ 确认 → 执行 update.sh（从 GitHub 下载）
       └─ 成功 → "更新完成，面板已自动重启"
```

---

### 选项 3：更新菜单

**函数**：`update_menu()`

```
确认提示
  └─ 确认 → 下载最新 x-ui.sh 到 /usr/bin/x-ui
       └─ 成功 → "更新成功" 并 exit 0
```

仅更新管理脚本自身，不影响面板程序。

---

### 选项 4：安装旧版本

**函数**：`legacy_version()`

```
提示用户输入版本号（如 2.4.0）
  ├─ 空 → 退出
  └─ 有效 → 执行对应版本的 install.sh，传入版本参数
```

- 下载指定 tag 的 install.sh：`v$tag_version/install.sh`
- 传入参数 `v$tag_version` 进行安装
- install.sh 内部会验证版本 ≥ v2.3.5

---

### 选项 5：卸载

**函数**：`uninstall()`

```
确认："卸载面板？xray 也会被卸载！"（默认 n）
  ├─ 取消 → 返回菜单
  └─ 确认 →
      Alpine: rc-service stop → rc-update del → rm init.d
      其他:   systemctl stop → disable → rm service → daemon-reload → reset-failed
      删除 /etc/x-ui/ 和 ${xui_folder}/
      显示重装命令
      删除脚本自身（trap SIGTERM → rm $0）
```

---

### 选项 6：重置用户名和密码

**函数**：`reset_user()`

```
确认提示（默认 n）
  └─ 确认 →
      输入用户名（默认随机 10 位）
      输入密码（默认随机 18 位）
      询问是否禁用双因素认证
        ├─ 是 → -resetTwoFactor true
        └─ 否 → -resetTwoFactor false
      应用设置：x-ui setting -username ... -password ...
      确认后重启面板
```

---

### 选项 7：重置 Web 路径

**函数**：`reset_webbasepath()`

```
确认提示
  └─ 确认 → 生成随机 18 位字符串
      应用：x-ui setting -webBasePath ...
      重启面板
```

---

### 选项 8：重置设置

**函数**：`reset_config()`

```
确认："重置所有面板设置？账户数据不会丢失，用户名和密码不会改变"（默认 n）
  └─ 确认 → x-ui setting -reset
      重启面板
```

仅重置面板配置，不影响账户数据库。

---

### 选项 9：修改端口

**函数**：`set_port()`

```
输入端口号 [1-65535]
  ├─ 空 → 取消
  └─ 有效 → x-ui setting -port ${port}
       确认后重启面板
```

---

### 选项 10：查看当前设置

**函数**：`check_config()`

```
获取面板设置（x-ui setting -show true）
获取公网 IP（api.ipify.org → 4.ident.me）

检查是否有证书：
  ├─ 有证书 → 从证书路径提取域名，显示 https://域名:端口/路径
  └─ 无证书 →
      显示警告
      询问是否为 IP 生成 SSL 证书
        ├─ 是 → 停止面板 → ssl_cert_issue_for_ip() → 启动面板
        └─ 否 → 显示 http://IP:端口/路径，建议使用选项 19
```

---

### 选项 11：启动

**函数**：`start()`

```
检查当前状态
  ├─ 运行中 → "面板正在运行，无需重复启动"
  └─ 未运行 →
      Alpine: rc-service x-ui start
      其他:   systemctl start x-ui
      等待 2 秒后再次检查状态
        ├─ 成功 → "x-ui 启动成功"
        └─ 失败 → "面板启动失败，可能是因为启动时间超过两秒"
```

---

### 选项 12：停止

**函数**：`stop()`

```
检查当前状态
  ├─ 已停止 → "面板已停止，无需重复停止！"
  └─ 运行中 →
      Alpine: rc-service x-ui stop
      其他:   systemctl stop x-ui
      等待 2 秒后检查状态
        ├─ 成功 → "x-ui 和 xray 已停止"
        └─ 失败 → "面板停止失败"
```

---

### 选项 13：重启

**函数**：`restart()`

```
Alpine: rc-service x-ui restart
其他:   systemctl restart x-ui
等待 2 秒后检查状态
  ├─ 成功 → "x-ui 和 xray 重启成功"
  └─ 失败 → "面板重启失败"
```

---

### 选项 14：重启 Xray

**函数**：`restart_xray()`

```
systemctl reload x-ui    ← 发送 reload 信号，不重启面板本身
"已发送重启信号，请查看日志确认"
等待 2 秒 → 显示 xray 运行状态
```

与选项 13 的区别：选项 13 重启整个 x-ui 服务，选项 14 仅重载 xray-core。

---

### 选项 15：查看状态

**函数**：`status()`

```
Alpine: rc-service x-ui status
其他:   systemctl status x-ui -l
```

显示完整的 systemd/服务状态信息。

---

### 选项 16：日志管理

**函数**：`show_log()`

```
Alpine:
  1. 调试日志 → grep 'x-ui[' /var/log/messages
  0. 返回

其他 (systemd):
  1. 调试日志 → journalctl -u x-ui -e --no-pager -f -p debug
  2. 清除所有日志 → journalctl --rotate → --vacuum-time=1s → 重启面板
  0. 返回
```

---

### 选项 17：设置开机自启

**函数**：`enable()`

```
Alpine: rc-update add x-ui default
其他:   systemctl enable x-ui
```

---

### 选项 18：取消开机自启

**函数**：`disable()`

```
Alpine: rc-update del x-ui
其他:   systemctl disable x-ui
```

---

### 选项 19：SSL 证书管理

**函数**：`ssl_cert_issue_main()` — 子菜单入口

#### 子菜单

```
1. 获取 SSL（域名）
2. 吊销证书
3. 强制续期
4. 查看已有域名
5. 为面板设置证书路径
6. 为 IP 地址获取 SSL（6 天证书，自动续期）
0. 返回主菜单
```

#### 子选项 1：获取 SSL（域名证书）

**函数**：`ssl_cert_issue()`

```
检查/安装 acme.sh
按发行版安装 socat

获取并验证域名（循环直到有效）
检查是否已有该域名的证书（acme.sh --list）

创建证书目录 /root/cert/${domain}/

选择端口（默认 80）

签发证书：
  acme.sh --issue -d ${domain} --listen-v6 --standalone --httpport ${WebPort} --force
  ↳ 失败 → 清理并退出

设置 reloadcmd：
  默认：x-ui restart
  可选：systemctl reload nginx ; x-ui restart
  可选：自定义命令

安装证书：
  acme.sh --installcert
    --key-file     /root/cert/${domain}/privkey.pem
    --fullchain-file /root/cert/${domain}/fullchain.pem
    --reloadcmd    ${reloadCmd}

启用自动续期：acme.sh --upgrade --auto-upgrade
设置文件权限：privkey.pem → 600, fullchain.pem → 644

询问是否为面板设置证书：
  ├─ 是 → x-ui cert -webCert ... -webCertKey ... → 重启
  └─ 否 → 跳过
```

#### 子选项 2：吊销证书

```
列出 /root/cert/ 下所有域名目录
选择域名 → acme.sh --revoke -d ${domain}
```

#### 子选项 3：强制续期

```
列出所有域名
选择域名 → acme.sh --renew -d ${domain} --force
```

#### 子选项 4：查看已有域名

```
遍历 /root/cert/ 下的域名目录
显示每个域名的 fullchain.pem 和 privkey.pem 路径
缺失文件的标记为"证书或密钥缺失"
```

#### 子选项 5：为面板设置证书路径

```
列出所有域名
选择域名 → 验证文件存在
  x-ui cert -webCert ... -webCertKey ...
  重启面板
```

#### 子选项 6：为 IP 地址获取 SSL

**函数**：`ssl_cert_issue_for_ip()`

```
获取服务器公网 IP（api.ipify.org → 4.ident.me）
询问是否包含 IPv6 地址
检查/安装 acme.sh
按发行版安装 socat

创建证书目录 /root/cert/ip/
构建域名参数：-d ${server_ip} [-d ${ipv6}]

选择 HTTP-01 监听端口（默认 80）
  └─ 循环检测端口占用，被占用则提示换端口

签发证书：
  acme.sh --issue
    -d ${server_ip} [-d ${ipv6}]
    --standalone --server letsencrypt
    --certificate-profile shortlived
    --days 6 --httpport ${WebPort} --force

安装证书（不依赖退出码，通过检查文件判断成功）
启用自动续期
设置文件权限

为面板设置证书路径 → 显示 https://IP:端口/路径 → 重启面板
```

---

### 选项 20：Cloudflare SSL 证书

**函数**：`ssl_cert_issue_CF()`

```
显示使用说明（需要：邮箱、全局 API 密钥、域名）
确认提示

检查/安装 acme.sh

输入域名 (CF_Domain)
输入 API 密钥 (CF_GlobalKey)
输入注册邮箱 (CF_AccountEmail)

设置 CA 为 Let's Encrypt
导出环境变量：CF_Key, CF_Email

签发通配符证书：
  acme.sh --issue --dns dns_cf -d ${domain} -d *.${domain} --force
  ↳ 使用 Cloudflare DNS 验证

创建证书目录 /root/cert/${domain}/

设置 reloadcmd（同域名证书流程）
安装证书（含 *.${domain} 通配符）
启用自动续期

询问是否为面板设置证书 → 同域名证书流程
```

**特点**：支持通配符证书 `*.domain.com`，不需要开放 80 端口（使用 DNS 验证）。

---

### 选项 21：IP 限制管理（Fail2ban）

**函数**：`iplimit_main()` — 子菜单入口

#### 子菜单

```
 1. 安装 Fail2ban 并配置 IP 限制
 2. 修改封禁时长
 3. 解封所有人
 4. 封禁日志
 5. 封禁指定 IP 地址
 6. 解封指定 IP 地址
 7. 实时日志
 8. 服务状态
 9. 重启服务
10. 卸载 Fail2ban 和 IP 限制
 0. 返回主菜单
```

#### 子选项 1：安装 Fail2ban

**函数**：`install_iplimit()`

```
检查 Fail2ban 是否已安装
  └─ 未安装 → 按发行版安装：
      Ubuntu ≥ 24: 额外安装 python3-pip + pyasynchat
      Debian ≥ 12: 额外安装 python3-systemd
      CentOS 7: 先装 epel-release

清除 jail 配置冲突（iplimit_remove_conflicts）
创建日志文件（3xipl.log, 3xipl-banned.log）
创建 jail 配置（create_iplimit_jails）
启动并启用 Fail2ban 服务
```

**Jail 配置详情** (`create_iplimit_jails`)：

```ini
# /etc/fail2ban/jail.d/3x-ipl.conf
[3x-ipl]
enabled=true
backend=auto
filter=3x-ipl
action=3x-ipl
logpath=/var/log/x-ui/3xipl.log
maxretry=2
findtime=32
bantime=30m          # 默认 30 分钟，可通过子选项 2 修改
```

**过滤器**：匹配 `[LIMIT_IP] Email=... || Disconnecting OLD IP=... || Timestamp=...` 格式的日志行。

**动作**：使用 iptables 封禁/解封 IP，同时写入封禁日志文件。

#### 子选项 2：修改封禁时长

```
输入新的封禁时长（分钟）
重新生成 jail 配置 → 重启 Fail2ban
```

#### 子选项 3：解封所有人

```
fail2ban-client reload --restart --unban 3x-ipl
清空封禁日志文件
```

#### 子选项 5/6：手动封禁/解封 IP

```
输入 IP 地址 → 正则验证（IPv4/IPv6）
  fail2ban-client set 3x-ipl banip/unbanip "$ip"
```

#### 子选项 10：卸载

```
选项 1：仅移除 IP 限制配置（保留 Fail2ban）
  删除 filter.d/3x-ipl.conf, action.d/3x-ipl.conf, jail.d/3x-ipl.conf
  重启 Fail2ban

选项 2：完全卸载
  删除 /etc/fail2ban
  停止服务
  按发行版卸载 fail2ban 包 + autoremove
```

---

### 选项 22：防火墙管理

**函数**：`firewall_menu()` — 子菜单入口（基于 UFW）

#### 子菜单

```
1. 安装防火墙
2. 端口列表 [带编号]
3. 开放端口
4. 删除列表中的端口
5. 启用防火墙
6. 禁用防火墙
7. 防火墙状态
0. 返回主菜单
```

#### 子选项 1：安装防火墙

**函数**：`install_firewall()`

```
检查 ufw 是否安装 → 未安装则 apt-get install ufw
检查防火墙是否激活 → 未激活则：
  ufw allow ssh
  ufw allow http
  ufw allow https
  ufw allow 2053/tcp   ← webPort
  ufw allow 2096/tcp   ← subport
  ufw --force enable
```

#### 子选项 3：开放端口

**函数**：`open_ports()`

```
输入端口（逗号分隔或范围，如 80,443,2053 或 400-500）
验证输入格式
逐个处理：
  范围 → ufw allow start:end/tcp + ufw allow start:end/udp
  单端口 → ufw allow port
确认显示已开放的端口
```

#### 子选项 4：删除端口

**函数**：`delete_ports()`

```
显示当前规则（ufw status numbered）
选择删除方式：
  1. 按规则编号删除 → ufw delete $number
  2. 按端口号删除 → ufw delete allow $port
确认显示已删除的端口
```

**注意**：原始代码中选项 4 有一个已知 bug（`firewall_wall_menu` 应为 `firewall_menu`），这会导致删除端口后不返回菜单。

---

### 选项 23：SSH 端口转发管理

**函数**：`SSH_port_forwarding()`

```
获取服务器公网 IP（多 API 轮询）
读取当前面板设置：
  - webBasePath, port, listenIP, cert, key

判断状态：
  ├─ 已有证书+密钥 → "面板已配置 SSL，安全" → 返回
  ├─ 无证书且 listenIP 为空或 0.0.0.0 → "面板不安全" 警告
  └─ listenIP 已设置且非 0.0.0.0 → 显示 SSH 转发命令

子菜单：
  1. 设置监听 IP
     ├─ 默认 127.0.0.1 或自定义
     ├─ x-ui setting -listenIP ${ip}
     └─ 显示 SSH 转发命令：
         ssh -L 2222:${listenIP}:${port} root@${server_ip}
         访问 http://localhost:2222${webBasePath}

  2. 清除监听 IP
     └─ x-ui setting -listenIP 0.0.0.0 → 重启

  0. 返回
```

**用途**：将面板绑定到 127.0.0.1，只能通过 SSH 隧道访问，提高安全性。

---

### 选项 24：BBR 管理

**函数**：`bbr_menu()` — 子菜单入口

#### 子菜单

```
1. 启用 BBR
2. 禁用 BBR
0. 返回主菜单
```

#### 启用 BBR

**函数**：`enable_bbr()`

```
检查是否已启用（tcp_congestion_control == bbr 且 default_qdisc 为 fq/cake）
  ├─ 已启用 → 直接返回
  └─ 未启用 →
      有 /etc/sysctl.d/ →
        创建 /etc/sysctl.d/99-bbr-x-ui.conf：
          net.core.default_qdisc = fq
          net.ipv4.tcp_congestion_control = bbr
        注释 sysctl.conf 中的旧设置
        sysctl --system
      无 /etc/sysctl.d/ →
        直接修改 /etc/sysctl.conf
        sysctl -p

验证：tcp_congestion_control == bbr → "BBR 已成功启用"
```

**特性**：启用前会备份当前设置（写入注释行 `#旧qdisc:旧拥塞控制`），以便禁用时恢复。

#### 禁用 BBR

**函数**：`disable_bbr()`

```
检查是否已启用 → 未启用则返回

有 99-bbr-x-ui.conf →
  读取备份的旧设置
  恢复 net.core.default_qdisc 和 net.ipv4.tcp_congestion_control
  删除配置文件
  sysctl --system

无 99-bbr-x-ui.conf →
  将 sysctl.conf 中的 fq→pfifo_fast, bbr→cubic
  sysctl -p

验证：tcp_congestion_control != bbr → "BBR 已成功替换为 CUBIC"
```

---

### 选项 25：更新 Geo 文件

**函数**：`update_geo()` — 子菜单入口

#### 子菜单

```
1. Loyalsoldier (geoip.dat, geosite.dat)
2. chocolate4u (geoip_IR.dat, geosite_IR.dat)
3. runetfreedom (geoip_RU.dat, geosite_RU.dat)
4. 全部更新
0. 返回主菜单
```

#### 数据源

| 选项 | 数据源                                | 文件                         | 用途             |
|------|---------------------------------------|------------------------------|------------------|
| 1    | Loyalsoldier/v2ray-rules-dat          | geoip.dat, geosite.dat       | 通用规则         |
| 2    | chocolate4u/Iran-v2ray-rules          | geoip_IR.dat, geosite_IR.dat | 伊朗规则         |
| 3    | runetfreedom/russia-v2ray-rules-dat   | geoip_RU.dat, geosite_RU.dat | 俄罗斯规则       |
| 4    | 以上全部                              | 全部 6 个文件                | 一键更新         |

**下载逻辑** (`update_geofiles`)：

```
每个文件：
  curl -fLRo ${xui_folder}/bin/${dat}.dat
       -z ${xui_folder}/bin/${dat}.dat    ← 仅在远程更新时下载
       https://github.com/${source}/releases/latest/download/${remote_file}.dat
```

`-z` 参数确保只有远程文件比本地新时才下载，节省带宽。

更新后自动重启面板以加载新规则。

---

### 选项 26：网速测试 (Speedtest)

**函数**：`run_speedtest()`

```
检查 speedtest 命令是否存在
  └─ 不存在 →
      有 snap → snap install speedtest
      无 snap → 按包管理器安装：
        dnf/yum → rpm 包源
        apt-get/apt → deb 包源
        curl 安装脚本 → 包管理器安装

执行 speedtest
```

---

## 子命令（命令行模式）

当脚本以参数调用时（如 `x-ui start`），跳过交互菜单直接执行：

| 子命令                 | 对应菜单 | 附加行为                      |
|------------------------|----------|-------------------------------|
| `start`                | 11       | 执行后不返回菜单              |
| `stop`                 | 12       | 执行后不返回菜单              |
| `restart`              | 13       | 执行后不返回菜单              |
| `restart-xray`         | 14       | 执行后不返回菜单              |
| `status`               | 15       | 执行后不返回菜单              |
| `settings`             | 10       | 执行后不返回菜单              |
| `enable`               | 17       | 执行后不返回菜单              |
| `disable`              | 18       | 执行后不返回菜单              |
| `log`                  | 16       | 执行后不返回菜单              |
| `banlog`               | 4(限制)  | 执行后不返回菜单              |
| `update`               | 2        | 执行后不返回菜单              |
| `legacy`               | 4        | 执行后不返回菜单              |
| `install`              | 1        | 使用 check_uninstall 前置检查 |
| `uninstall`            | 5        | 执行后不返回菜单              |
| `update-all-geofiles`  | 25-4     | 更新后自动重启                |
| 无效参数               | —        | 显示用法帮助                  |

所有子命令传递参数 `0` 给功能函数，使其执行后不调用 `before_show_menu()` 返回菜单。

---

## 调用关系总览

```
x-ui.sh
  │
  ├─ show_menu()
  │   ├─ show_status() → check_status() + show_enable_status() + show_xray_status()
  │   ├─ 0: exit
  │   ├─ 1: install() → install.sh → start()
  │   ├─ 2: update() → update.sh
  │   ├─ 3: update_menu() → 下载 x-ui.sh
  │   ├─ 4: legacy_version() → install.sh v$version
  │   ├─ 5: uninstall() → 停止服务 + 删除文件
  │   ├─ 6: reset_user() → x-ui setting -username/-password
  │   ├─ 7: reset_webbasepath() → x-ui setting -webBasePath
  │   ├─ 8: reset_config() → x-ui setting -reset
  │   ├─ 9: set_port() → x-ui setting -port
  │   ├─ 10: check_config() → x-ui setting -show + ssl_cert_issue_for_ip()
  │   ├─ 11: start() → systemctl/rc-service start
  │   ├─ 12: stop() → systemctl/rc-service stop
  │   ├─ 13: restart() → systemctl/rc-service restart
  │   ├─ 14: restart_xray() → systemctl reload
  │   ├─ 15: status() → systemctl/rc-service status
  │   ├─ 16: show_log() → journalctl/grep messages
  │   ├─ 17: enable() → systemctl/rc-update enable
  │   ├─ 18: disable() → systemctl/rc-update disable
  │   ├─ 19: ssl_cert_issue_main()
  │   │     ├─ 1: ssl_cert_issue() → acme.sh 域名证书
  │   │     ├─ 2: 吊销证书 → acme.sh --revoke
  │   │     ├─ 3: 强制续期 → acme.sh --renew --force
  │   │     ├─ 4: 查看已有域名
  │   │     ├─ 5: 设置面板证书路径
  │   │     └─ 6: ssl_cert_issue_for_ip() → acme.sh IP 短期证书
  │   ├─ 20: ssl_cert_issue_CF() → acme.sh Cloudflare DNS 通配符证书
  │   ├─ 21: iplimit_main()
  │   │     ├─ 1: install_iplimit() → install fail2ban + create_iplimit_jails()
  │   │     ├─ 2: 修改封禁时长
  │   │     ├─ 3: 解封所有人
  │   │     ├─ 4: show_banlog()
  │   │     ├─ 5/6: 手动封禁/解封 IP
  │   │     ├─ 7: tail -f fail2ban.log
  │   │     ├─ 8/9: 服务状态/重启
  │   │     └─ 10: remove_iplimit()
  │   ├─ 22: firewall_menu() → UFW 防火墙管理
  │   ├─ 23: SSH_port_forwarding() → 设置 listenIP 为 127.0.0.1
  │   ├─ 24: bbr_menu() → enable_bbr() / disable_bbr()
  │   ├─ 25: update_geo() → update_geofiles() → 下载 geoip/geosite .dat
  │   └─ 26: run_speedtest() → speedtest
  │
  └─ 子命令模式（$# > 0）
      └─ case $1 in "start"|"stop"|... → 对应函数 0
```

---

## 关键设计决策

1. **Alpine 兼容**：所有服务管理操作都区分 Alpine (OpenRC) 和其他系统 (systemd)，通过 `$release` 变量判断。

2. **操作确认**：危险操作（卸载、重置凭据等）默认为 "n"，防止误操作。安全操作（更新等）默认为 "y"。

3. **子命令模式**：支持 `x-ui start` 等非交互式调用，传递参数 `0` 抑制 `before_show_menu()` 的回车等待。

4. **状态前置检查**：大多数菜单选项先调用 `check_install` 或 `check_uninstall`，确保操作的前提条件满足。

5. **等待机制**：start/stop/restart 后等待 2 秒再检查状态，给 systemd/init.d 足够时间完成操作。

6. **Geo 文件条件下载**：使用 `curl -z` 参数，仅在远程文件比本地新时才下载，节省带宽和时间。

7. **BBR 备份恢复**：启用 BBR 前将当前设置备份到注释行中，禁用时精确恢复原始值。

8. **Fail2ban jail 隔离**：IP 限制使用独立的 `3x-ipl` jail，与系统默认 jail 分离，互不影响。