# 在你的本地电脑（Windows/Mac/Linux）运行
ssh-keygen -t ed25519 -C "hermes-server" -f ~/.ssh/hermes_do

# 一路回车（不设密码短语也可以，设了更安全）
# 生成两个文件：
#   ~/.ssh/hermes_do      (私钥，永远不要分享)
#   ~/.ssh/hermes_do.pub  (公钥，上传到服务器)

# macOS
cat ~/.ssh/hermes_do.pub | pbcopy

# Windows (Git Bash)
cat ~/.ssh/hermes_do.pub | clip.exe

# Linux
cat ~/.ssh/hermes_do.pub
# 手动复制输出

# 本地安装 doctl
brew install doctl  # macOS
# 或 snap install doctl  # Linux

# 认证
doctl auth init

# 创建 Droplet
doctl compute droplet create hermes-agent \
  --region sgp1 \
  --image ubuntu-24-04-x64 \
  --size s-2vcpu-4gb \
  --ssh-keys <your-ssh-key-fingerprint>

# 查看分配的 IP
doctl compute droplet list

Host hermes
    HostName <你的服务器IP>
    User root
    IdentityFile ~/.ssh/hermes_do
    ServerAliveInterval 60
    ServerAliveCountMax 3

ssh hermes
# 首次连接会提示 fingerprint，输入 yes
# 成功后看到 root@hermes-agent:~# 即连接成功

apt update && apt upgrade -y

apt install -y curl git build-essential ufw fail2ban tmux htop

# 创建用户 hermes
adduser hermes
# 输入密码（记下来！），其他信息一路回车

# 赋予 sudo 权限
usermod -aG sudo hermes

# 免密 sudo（可选但推荐 —— sudo 不再每次要密码）
echo "hermes ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/hermes
sudo chmod 440 /etc/sudoers.d/hermes

# 创建 .ssh 目录并复制授权密钥
mkdir -p /home/hermes/.ssh
cp /root/.ssh/authorized_keys /home/hermes/.ssh/
chown -R hermes:hermes /home/hermes/.ssh
chmod 700 /home/hermes/.ssh
chmod 600 /home/hermes/.ssh/authorized_keys

# 测试：新终端连接
# ssh hermes@<IP>  应该能用 hermes 用户登录

# 只开放必要端口（hermes 用户需要 sudo）
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp     # SSH
sudo ufw allow 80/tcp     # HTTP (Nginx)
sudo ufw allow 443/tcp    # HTTPS (Nginx)
# 8642 和 9119 不要开！通过 Nginx 反向代理访问
sudo ufw allow 22000/tcp   # Syncthing P2P 直连（TCP 数据传输）
sudo ufw allow 22000/udp   # Syncthing QUIC 加速（UDP 快速握手）
sudo ufw enable
# 提示 "proceed with operation"，输入 y

# 查看状态
sudo ufw status verbose

# Step 1: 创建本地配置（不要直接改 jail.conf，升级会覆盖）
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# Step 2: 配置 SSH 防护
sudo tee /etc/fail2ban/jail.d/sshd.local > /dev/null <<'EOF'
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 5
findtime = 600
bantime = 3600
EOF

# Step 3: 启动并设为开机自启
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

# Step 4: 验证状态
sudo fail2ban-client status sshd

# 确认 hermes 用户能 sudo 后再操作！
# 兼容 Ubuntu 24.04（默认 PermitRootLogin prohibit-password）和其他版本
sudo sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
sudo systemctl restart sshd

# 之后用 ssh hermes@<IP> 连接，再 sudo -i 获取 root

# 切换到 hermes 用户
su - hermes

# 安装 Docker（一键脚本）
curl -fsSL https://get.docker.com | sudo sh

# 将 hermes 用户加入 docker 组（免 sudo 运行 docker）
sudo usermod -aG docker hermes

# 重新登录使组生效
exit
su - hermes

# 验证
docker --version       # Docker version 27.x
docker compose version # Docker Compose version v2.x（已随 Docker 自带）
docker run hello-world

mkdir -p ~/.hermes
mkdir -p ~/hermes-deploy

# 运行 setup 向导（交互式，-it 必须）
# -v 把宿主机 ~/.hermes 挂载到容器内 /opt/data
docker run -it --rm \
  -v ~/.hermes:/opt/data \
  nousresearch/hermes-agent setup

cd ~/hermes-deploy

cat > docker-compose.yaml << 'EOF'
services:
  # ===== 主服务：Hermes Gateway =====
  hermes:
    image: nousresearch/hermes-agent:latest
    container_name: hermes
    restart: unless-stopped          # 崩溃或重启后自动恢复
    env_file:
      - ~/.hermes/.env               # API keys 和认证信息
    ports:
      - "127.0.0.1:8642:8642"        # Gateway API 端口（仅本地访问）
      - "127.0.0.1:9119:9119"        # Dashboard Web 端口（仅本地访问）
    volumes:
      - /home/hermes/.hermes:/opt/data  # 数据持久化（用绝对路径，见下方警告）
      # - /var/www/rss/digest:/opt/data/digest  # RSS 每日简报（装了 RSS 系统才加）
    environment:
      - HERMES_UID=${HERMES_UID:-1000}  # 对齐宿主机 UID，避免权限问题
      - HERMES_GID=${HERMES_GID:-1000}
      - PATH=/opt/hermes/.venv/bin:$PATH  # 让 hermes 命令直接可用
      - TZ=Asia/Shanghai               # 容器时区（宿主机改了时区，容器也要改）
      - HERMES_DASHBOARD=1             # 启用 Dashboard（s6 监督，与 Gateway 共存）
    networks:
      - hermes-net
      # - rss-stack_rss-net  # RSS 系统网络（装了 Miniflux 才加，见下方说明）
    deploy:
      resources:
        limits:
          memory: 4G                 # 内存上限，防止 OOM 影响宿主机
          cpus: "2.0"                # CPU 上限

  # ===== Syncthing（文件同步 — 手机/电脑/服务器三端同步 Obsidian）=====
  syncthing:
    image: linuxserver/syncthing:latest
    container_name: syncthing
    restart: unless-stopped
    network_mode: host               # P2P 需要 host 网络（UDP 打洞）
    environment:
      - PUID=1000
      - PGID=1000
    volumes:
      - /home/hermes/.hermes/syncthing-config:/config
      - /home/hermes/.hermes/obsidian-vault:/data/vault

  # ===== FileBrowser（Web 文件管理） =====
  filebrowser:
    image: filebrowser/filebrowser:latest
    container_name: filebrowser
    restart: unless-stopped
    ports:
      - "127.0.0.1:8080:80"
    volumes:
      - /opt/data/shared:/srv
      - /home/hermes/.hermes/filebrowser-config:/config
    networks:
      - hermes-net

networks:
  hermes-net:
    driver: bridge                   # 容器间通信网络
  # rss-stack_rss-net:              # RSS 系统外部网络（装了 Miniflux 才取消注释）
  #   external: true
EOF

cd ~/hermes-deploy

# 首次启动（拉取镜像 + 后台运行）
docker compose up -d

# 查看容器状态（应看到 hermes 是 running）
docker compose ps

NAME    IMAGE                              STATUS
hermes  nousresearch/hermes-agent:latest   Up 30 seconds

# 查看 Gateway 日志（确认启动成功）
docker compose logs hermes

# 检查 Gateway 健康状态
curl http://localhost:8642/health

# 检查 Dashboard（应返回 302 重定向到登录页）
curl -s -o /dev/null -w '%{http_code}' http://localhost:9119/

# 方式 A：在微信/Telegram 中给 bot 发消息（如果已配置消息平台）

# 方式 B：直接在终端聊天
docker exec -it hermes hermes chat

# 方式 C：单次查询（不进入交互模式）
docker exec -it hermes hermes chat -q "你好，你是谁？"

# ===== 在宿主机执行，管理容器 =====
docker compose up -d                    # 启动
docker compose down                     # 停止
docker compose restart                  # 重启
docker compose logs -f                  # 看日志

# ===== 推荐：先进入容器，再操作 hermes =====
docker exec -it hermes bash             # 进入容器 shell
hermes config set DEEPSEEK_API_KEY "sk-xxx"
hermes config show
hermes model
hermes gateway setup
hermes chat
hermes doctor
exit                                    # 退出容器，回到宿主机

# ===== 或者单条命令（不进容器）=====
docker exec -it hermes hermes config show
docker exec -it hermes hermes chat
docker exec -it hermes hermes doctor

cd ~/hermes-deploy

# 拉取最新镜像
docker compose pull

# 用新镜像重建容器（数据在 ~/.hermes/，不会丢失）
docker compose up -d

# 验证版本和时区
docker exec -it hermes hermes --version
docker exec -it hermes date

# macOS / Linux：已有 Hermes CLI 的用户
hermes desktop

# 或者从官网下载安装包
# https://hermes-agent.nousresearch.com/desktop
# macOS: .dmg  |  Windows: .exe  |  Linux: .AppImage / .deb

~/.hermes/
├── config.yaml         # 主配置（model、terminal、工具等）
├── .env                # API keys（不要提交到 git！）
├── auth.json           # OAuth tokens
├── SOUL.md             # Agent 人格定义
├── memories/           # 持久记忆（MEMORY.md, USER.md）
├── memory_store.db     # Holographic 本地 SQLite 记忆库
├── skills/             # Agent 创建的 skills
├── cron/               # 定时任务
├── sessions/           # 会话记录（SQLite + JSON）
└── logs/               # 日志（自动脱敏）

# 交互式 setup（首次）
docker run -it --rm \
  -v ~/.hermes:/opt/data \
  nousresearch/hermes-agent setup

# 后台常驻
docker run -d \
  --name hermes \
  --restart unless-stopped \
  -v ~/.hermes:/opt/data \
  -p 8642:8642 \
  nousresearch/hermes-agent gateway run

# 日常操作
docker logs -f hermes               # 查看日志
docker exec -it hermes hermes chat  # 进入聊天
docker restart hermes               # 重启
docker stop hermes && docker rm hermes  # 停止并删除

# Docker 用户（推荐先进容器）
docker exec -it hermes bash
hermes model          # 交互式选择模型
hermes setup          # 重新运行 setup 向导
exit

# 非 Docker 用户
hermes model
hermes setup

# 把你有的 key 全部添加（写入 ~/.hermes/.env，不用每次切换时重新设置）
hermes config set OPENROUTER_API_KEY "sk-or-v1-xxx"
hermes config set ANTHROPIC_API_KEY "sk-ant-xxx"
hermes config set OPENAI_API_KEY "sk-xxx"
hermes config set DEEPSEEK_API_KEY "sk-xxx"

# 设置默认模型（写入 ~/.hermes/config.yaml）
hermes config set model openrouter/anthropic/claude-sonnet-4

# 验证当前配置
hermes config

# ~/.hermes/config.yaml — 推荐起步配置

# 主模型：DeepSeek V4-Pro（$0.435/$0.87 促销价，1.6T 参数）
model: deepseek/deepseek-v4-pro

# 辅助模型：用 V4-Flash 省钱（$0.14/$0.28）
auxiliary:
  compress:
    provider: deepseek
    model: deepseek-v4-flash
  vision:
    provider: openrouter
    model: google/gemini-2.0-flash  # DeepSeek 不支持视觉，用 Gemini

# 需要省钱时，切换到 V4-Flash
# /model deepseek/deepseek-v4-flash

# 安装微信适配器依赖
pip install aiohttp cryptography

# 可选：终端 QR 码显示
pip install hermes-agent[messaging]

# 运行设置向导，选择 Weixin
hermes gateway setup

# 向导会：
# 1. 从 iLink Bot API 获取 QR 码
# 2. 在终端显示 QR 码（或提供 URL）
# 3. 等你用微信扫码
# 4. 手机确认登录
# 5. 自动保存凭证到 ~/.hermes/weixin/accounts/

# 成功后显示：微信连接成功，account_id=your-account-id

# ~/.hermes/.env
WEIXIN_ACCOUNT_ID=your-account-id          # 必填（QR 登录后自动保存）
# WEIXIN_TOKEN=your-bot-token              # 可选（通常自动保存）

# 访问控制
WEIXIN_DM_POLICY=open                      # open / allowlist / disabled
# WEIXIN_ALLOWED_USERS=user_id_1,user_id_2 # allowlist 模式下指定用户

# 群聊（默认禁用，iLink Bot 通常不推送群事件）
# WEIXIN_GROUP_POLICY=disabled             # open / allowlist / disabled
# WEIXIN_GROUP_ALLOWED_USERS=group_id_1,group_id_2

# Home Channel（Cron 任务推送目标）
# WEIXIN_HOME_CHANNEL=chat_id
# WEIXIN_HOME_CHANNEL_NAME=Home

hermes gateway          # 启动网关（微信 + 其他已配置的平台）

# === 步骤 1: 创建 Telegram Bot ===
# 在 Telegram 中找到 @BotFather
# 发送 /newbot
# 输入 bot 名称（如 "My Hermes Agent"）
# 输入 bot username（如 "my_hermes_bot"，必须以 _bot 或 Bot 结尾）
# BotFather 会给你一个 token，格式如：123456789:ABCdefGHIjklMNOpqrsTUVwxyz

# === 步骤 2: 获取你的 Telegram User ID ===
# 在 Telegram 中找到 @userinfobot，发送任意消息，它会回复你的 User ID

# === 步骤 3: 配置 Hermes ===
hermes config set TELEGRAM_BOT_TOKEN "你的token"
hermes config set TELEGRAM_ALLOWED_USERS "你的user_id"

# === 步骤 4: 设置 Gateway ===
hermes gateway setup

# === 步骤 5: 启动 ===
# 非 Docker 用户：
hermes gateway install    # 安装为 systemd 服务（推荐）
hermes gateway start      # 启动服务

# Docker 用户：跳过上面两行，直接用 docker compose：
# cd ~/hermes-deploy && docker compose up -d

hermes gateway status     # 检查状态

hermes gateway run          # 前台运行（调试用）
hermes gateway install      # 安装为 systemd 服务
hermes gateway start        # 启动服务
hermes gateway stop         # 停止服务
hermes gateway restart      # 重启
hermes gateway status       # 查看状态

# 1. 先在 .env 中添加密钥
echo 'MCP_INTERNAL_TOKEN=your-token' >> ~/.hermes/.env

# 2. config.yaml
mcp_servers:
  internal_api:
    url: "https://mcp.你的公司.com"    # 远程 MCP 服务器地址
    headers:
      Authorization: "Bearer ${MCP_INTERNAL_TOKEN}"
    tools:
      include: [query_data, list_items]   # 只暴露需要的工具
      resources: false

# 1. 在宿主机编辑配置文件（UID 对齐后可以直接编辑，不需要 sudo）
sudo nano ~/.hermes/config.yaml

# 2. 先在 .env 中添加密钥
#    echo 'BRAVE_API_KEY=你的Brave密钥' >> ~/.hermes/.env
#
# 3. 在文件末尾添加 mcp_servers 段（示例：Brave 搜索）
#    注意：必须是有效的 YAML，缩进用空格，不要用 Tab
#
# mcp_servers:
#   brave-search:
#     command: "npx"
#     args: ["-y", "@modelcontextprotocol/server-brave-search"]
#     env:
#       BRAVE_API_KEY: "${BRAVE_API_KEY}"

# 3. 修复权限（因为用了 nano/root 编辑）+ 重启
# 3. 重启容器
docker compose restart

# 1. 先在 .env 中添加所有密钥
# echo 'BRAVE_API_KEY=你的Brave密钥' >> ~/.hermes/.env
# echo 'GITHUB_PERSONAL_ACCESS_TOKEN=ghp_xxx' >> ~/.hermes/.env

# 2. 所有服务器都写在同一个 mcp_servers 下
mcp_servers:
  brave-search:
    command: "npx"
    args: ["-y", "@modelcontextprotocol/server-brave-search"]
    env:
      BRAVE_API_KEY: "${BRAVE_API_KEY}"
  github:
    command: "npx"
    args: ["-y", "@modelcontextprotocol/server-github"]
    env:
      GITHUB_PERSONAL_ACCESS_TOKEN: "${GITHUB_PERSONAL_ACCESS_TOKEN}"
    tools:
      include: [list_issues, create_issue, search_code]
      prompts: false
      resources: false

# 进容器查看已配置的 MCP 服务器
docker exec -it hermes bash
hermes mcp list
hermes mcp test brave-search
exit

# 在微信聊天中发送 /tools 或 /mcp 查看可用工具

hermes mcp serve

{
  "mcpServers": {
    "hermes": {
      "command": "hermes",
      "args": ["mcp", "serve"]
    }
  }
}

# 在聊天中
/skills                  # 浏览可用 skills
/skills install <name>   # 安装
/deploy-staging          # 直接调用已安装的 skill

# 完成一个复杂任务后说
"save what you just did as a skill called deploy-staging"

~/.hermes/memories/
├── MEMORY.md      # 项目知识、长期事实、偏好
└── USER.md        # 用户画像、工作方式、固定约束

Heroku Postgres (云端)           # Hindsight 的记忆库、向量索引、知识图谱
Docker: hindsight 容器            # Hindsight API，连 Heroku PG

cd ~/hermes-deploy
cat >> .env << 'EOF'
# === Hindsight ===
HINDSIGHT_DATABASE_URL=postgresql://user:***@host:5432/db?sslmode=require
OPENROUTER_API_KEY=sk-or-xxx
OPENCODE_GO_API_KEY=sk-xxx
EOF

nano docker-compose.yaml
# 找到 services: 段，在最后一个服务下方粘贴以下内容

  hindsight:
    image: ghcr.io/vectorize-io/hindsight:latest-slim
    container_name: hindsight
    restart: unless-stopped
    networks:
      - hermes-net
    ports:
      - "127.0.0.1:8888:8888"
    environment:
      # === Heroku Postgres ===
      - HINDSIGHT_API_DATABASE_URL=${HINDSIGHT_DATABASE_URL}
      # === LLM（deepseek 内置 provider，0.6.2 原生支持）===
      # 注：0.6.2 不含 opencode-go provider（PR#1652 5/19 合并，镜像 5/14 发布），
      # 直接用 deepseek 内置 provider。deepseek-chat 无 thinking 不会烧 token。
      # 等 0.6.3 发布后可改回 opencode-go 网关。
      - HINDSIGHT_API_LLM_PROVIDER=deepseek
      - HINDSIGHT_API_LLM_API_KEY=${OPENCODE_GO_API_KEY}
      - HINDSIGHT_API_LLM_MODEL=deepseek-chat
      # 备选：OpenRouter（默认 qwen/qwen3.5-9b，有 thinking 会烧 token）
      # - HINDSIGHT_API_LLM_PROVIDER=openrouter
      # - HINDSIGHT_API_LLM_API_KEY=${OPENROUTER_API_KEY}
      # === 向量 Embedding（slim 需显式设 provider）===
      - HINDSIGHT_API_EMBEDDINGS_PROVIDER=openrouter
      - HINDSIGHT_API_EMBEDDINGS_OPENROUTER_API_KEY=${OPENROUTER_API_KEY}
      - HINDSIGHT_API_EMBEDDINGS_OPENROUTER_MODEL=baai/bge-m3
      # === 数据库连接池（Heroku Essential 只有 20 连接，默认 100 会打满）===
      - HINDSIGHT_API_DB_POOL_MAX_SIZE=10
      - HINDSIGHT_API_DB_POOL_MIN_SIZE=2
      - HINDSIGHT_API_DB_COMMAND_TIMEOUT=120
      # === 重排序（已禁用，slim 默认 fallback 到 RRF passthrough）===
      # RRF passthrough：免费，用 semantic+BM25+graph 三路 RRF 融合排序，
      # 叠加 recency 时间衰减。2,200 条记忆库完全够用。
      # 如需更高精度，取消下面两行注释（cohere/rerank-v3.5 ≈ $0.001/search）：
      # - HINDSIGHT_API_RERANKER_PROVIDER=openrouter
      # - HINDSIGHT_API_RERANKER_OPENROUTER_API_KEY=${OPENROUTER_API_KEY}
    command: ["hindsight-api", "--host", "0.0.0.0"]
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost:8888/health"]
      interval: 10s
      start_period: 60s
    deploy:
      resources:
        limits:
          memory: 1g
          cpus: "0.5"

cd ~/hermes-deploy
docker compose up -d hindsight

# 等镜像拉取（首次 ~2-3min，~500MB）
docker logs hindsight --tail 20

# 健康检查
curl http://localhost:8888/health
# Expected: {"status":"ok"}

docker exec -it hermes hermes memory setup

docker exec -it hermes hermes memory status
# 应显示 provider: hindsight, mode: local_external

{
  "mode": "local_external",
  "api_url": "http://hindsight:8888",
  "auto_recall": true,
  "auto_retain": true,
  "retain_every_n_turns": 1,
  "recall_budget": "mid",
  "memory_mode": "hybrid"
}

hermes config set memory.provider hindsight
hermes gateway restart

# 检查插件加载
grep "hindsight" /opt/data/logs/agent.log | tail -5

# 发条测试消息，查数据库
heroku pg:psql -a hermes-memory -c "SELECT COUNT(*) FROM memories;"

# 查看 Hindsight 日志
docker logs hindsight --tail 30

# 方案：切回 OpenRouter（注意：qwen/qwen3.5-9b 有 thinking，会烧 token）
- HINDSIGHT_API_LLM_PROVIDER=openrouter
- HINDSIGHT_API_LLM_API_KEY=${OPENROUTER_API_KEY}
# 需要 .env 有 OPENROUTER_API_KEY

# 创建脚本（~/.hermes/scripts/ 已有其他维护脚本）
cat > ~/.hermes/scripts/hindsight-reaper.sh << 'SCRIPT'
#!/bin/bash
set -euo pipefail
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
log() { echo "$(date '+%Y-%m-%d %H:%M:%S') [reaper] $*" >&2; }
DB_URL=$(docker inspect hindsight --format '{{range .Config.Env}}{{println .}}{{end}}' 2>/dev/null | grep HINDSIGHT_API_DATABASE_URL | cut -d= -f2- || true)
if [ -z "$DB_URL" ]; then log "WARNING: container not found"; exit 0; fi
RESULT=$(docker run --rm postgres:alpine psql "$DB_URL" -t -c "
UPDATE async_operations SET status='pending', worker_id=NULL, claimed_at=NULL
WHERE status='processing' AND bank_id='hermes' AND claimed_at < NOW() - INTERVAL '30 minutes'
RETURNING id;" 2>/dev/null || true)
COUNT=$(echo "$RESULT" | grep -c '[0-9]' || true)
if [ "$COUNT" -gt 0 ]; then
    CLEAN_IDS=$(echo "$RESULT" | tr '\n' ',' | sed 's/,$//' | xargs)
    log "Reset $COUNT stuck operation(s): [$CLEAN_IDS]"
fi
SCRIPT

chmod +x ~/.hermes/scripts/hindsight-reaper.sh
docker pull postgres:alpine  # 预拉镜像

# 加入 crontab（每10分钟）
(crontab -l 2>/dev/null; echo "*/10 * * * * ~/.hermes/scripts/hindsight-reaper.sh >> ~/.hermes/hermes-deploy/reaper.log 2>&1") | crontab -

# 方式 1：SSH 进服务器用 sudo nano 编辑（推荐）
sudo nano ~/.hermes/SOUL.md
# UID 对齐后不需要修复权限

# 方式 2：Termius SFTP 拖拽编辑
# UID 对齐后 SFTP 直接可读写
# 先在 SSH 终端执行一次权限放行：
sudo chmod -R o+rX ~/.hermes/
# 然后在 SFTP 面板找到 ~/.hermes/SOUL.md，双击编辑
# 注意：每次执行 sudo chown 后需重新 chmod

# 编辑后不需要重启，开始新会话即可生效
# 或在聊天中用 /new 开始新会话

/personality teacher    # 临时切换为老师人格（需要 ~/.hermes/personalities/teacher.md）
/personality            # 切回默认 SOUL.md

# === 微信（推荐第一个配，主要平台）===
# DM 策略：open=所有人 / allowlist=仅白名单 / disabled=关闭
hermes config set WEIXIN_DM_POLICY "allowlist"
hermes config set WEIXIN_ALLOWED_USERS "你的微信user_id"

# === Telegram（推荐备用）===
hermes config set TELEGRAM_ALLOWED_USERS "你的telegram_user_id"

# === Discord（如果用的话）===
hermes config set DISCORD_ALLOWED_USERS "你的discord_user_id"

# 配好后再启动 gateway
hermes gateway start

# 1. 获取你的微信 user_id（在微信聊天中发 /whoami）
# 或查看日志：docker compose logs hermes 2>&1 | grep -i "user_id"

# 2. 进容器设置白名单模式
docker exec -it hermes bash
hermes config set WEIXIN_DM_POLICY "allowlist"
hermes config set WEIXIN_ALLOWED_USERS "你的微信user_id"
exit

# 3. 在宿主机删除 ALLOW_ALL + 重启
sed -i '/GATEWAY_ALLOW_ALL_USERS/d' ~/.hermes/.env
cd ~/hermes-deploy && docker compose restart

hermes pairing approve telegram XKGH5N7P

# 进容器设置
docker exec -it hermes bash
hermes config set approvals.mode off     # 关闭审批（Docker 推荐）
exit
cd ~/hermes-deploy && docker compose restart

# 进容器操作（推荐，权限自动正确）
docker exec -it hermes bash

# 查看当前配置（脱敏显示）
hermes config show

# 添加/修改 API key（自动写入 .env）
hermes config set OPENROUTER_API_KEY "sk-or-xxx"
hermes config set DEEPSEEK_API_KEY "sk-xxx"

# 编辑 config.yaml（模型、MCP 等）
# 容器内没 nano，用宿主机编辑：
exit
sudo nano ~/.hermes/config.yaml
sudo chown -R hermes:hermes ~/.hermes/
docker compose restart

# ~/.hermes/.env — 按需填入，不需要的注释掉

# === LLM Provider ===
DEEPSEEK_API_KEY=sk-xxx                  # DeepSeek（推荐，便宜好用）
# OPENROUTER_API_KEY=sk-or-v1-xxx        # OpenRouter（200+ 模型）
# ANTHROPIC_API_KEY=sk-ant-xxx           # Claude（质量最高）
# OPENAI_API_KEY=sk-xxx                  # GPT 系列

# === 工具 API ===
BRAVE_API_KEY=BSA_xxx                    # Brave Search（免费 2000 次/月）
# FAL_KEY=xxx                            # 图像生成

# === 消息平台 ===
WEIXIN_DM_POLICY=allowlist               # open / allowlist / disabled
WEIXIN_ALLOWED_USERS=YOUR_WEIXIN_ID      # allowlist 模式必填（用 /whoami 获取）
# TELEGRAM_BOT_TOKEN=YOUR_TELEGRAM_TOKEN # 从 @BotFather 获取
# TELEGRAM_ALLOWED_USERS=YOUR_TELEGRAM_ID

# === API Server（反向代理必须） ===
# API_SERVER_ENABLED=true
# API_SERVER_HOST=0.0.0.0
# API_SERVER_KEY=你的密码

sudo nano ~/.hermes/.env

# === API Server（反向代理必须） ===
API_SERVER_ENABLED=true
API_SERVER_HOST=0.0.0.0          # 允许外部访问（默认只监听 127.0.0.1）
API_SERVER_KEY=YOUR_STRONG_PASSWORD  # Bearer token（0.0.0.0 时必须设，换成你自己的强密码）

sudo chown -R hermes:hermes ~/.hermes/
cd ~/hermes-deploy && sudo docker compose restart hermes
sleep 10
curl -s http://localhost:8642/health
# 预期输出：{"status":"ok","platform":"hermes-agent"}

sudo apt install -y nginx

sudo tee /etc/nginx/sites-available/hermes << 'EOF'
server {
    listen 80;
    server_name hermes.treetree.tech;   # ← 改成你的子域名

    # 全部交给 Dashboard（它内部会转发 API 请求到 Gateway）
    location / {
        proxy_pass http://127.0.0.1:9119;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}
EOF

# 启用站点 + 测试 + 重载
sudo ln -s /etc/nginx/sites-available/hermes /etc/nginx/sites-enabled/
sudo nginx -t && sudo systemctl reload nginx

"每天早上 9 点给我发送技术新闻摘要，推送到 Telegram"
"每周一检查 GitHub issues 并汇总"

/cron list               # 查看所有任务
/cron delete <job-id>    # 删除

# 创建新 profile（从零开始）
hermes profile create coder

# 克隆当前配置到新 profile（推荐，继承现有设置）
hermes profile create researcher --clone

# 完整克隆（配置 + 记忆 + 会话 + skills，适合备份）
hermes profile create backup --clone-all

# 列出所有 profile
hermes profile list

# 切换默认 profile
hermes profile use coder

# 导出 profile 为压缩包（备份/迁移用）
hermes profile export coder

# 从压缩包导入 profile
hermes profile import coder-backup.tar.gz

# 删除 profile
hermes profile delete coder

# profile 名字直接作为命令使用
coder chat                    # 用 coder profile 聊天
coder gateway start           # 用 coder profile 启动 gateway
researcher chat               # 用 researcher profile 聊天

# 或者用 hermes 命令指定
hermes --profile coder chat
hermes --profile researcher gateway start

# docker-compose.yaml
# 注意：每个 profile 需要独立的数据目录，不能共享 ~/.hermes
services:
  hermes-coder:
    image: nousresearch/hermes-agent:latest
    container_name: hermes-coder
    restart: unless-stopped
    command: --profile coder gateway run
    ports:
      - "127.0.0.1:8642:8642"
    volumes:
      - /home/hermes/.hermes-coder:/opt/data

  hermes-researcher:
    image: nousresearch/hermes-agent:latest
    container_name: hermes-researcher
    restart: unless-stopped
    command: --profile researcher gateway run
    ports:
      - "127.0.0.1:8643:8642"        # 不同端口
    volumes:
      - /home/hermes/.hermes-researcher:/opt/data

# 全面诊断
hermes doctor
hermes status --all      # 查看所有状态

# 修复现有文件权限
sudo chown -R hermes:hermes ~/.hermes/

# 重启容器使更改生效
cd ~/hermes-deploy && docker compose restart

# 进入容器（之后所有 hermes 命令直接用，不用前缀，权限自动正确）
docker exec -it hermes bash

# 在容器里操作
hermes config set model "deepseek/deepseek-v4-flash"
hermes config set OPENROUTER_API_KEY "sk-or-..."
hermes config show
nano /opt/data/SOUL.md
exit    # 退出容器

docker exec -it hermes hermes config set model "deepseek/deepseek-v4-flash"

# UID 对齐后可以直接编辑，不需要 sudo
nano ~/.hermes/.env
nano ~/.hermes/config.yaml

# 或者用 hermes config set（推荐，不需要手动编辑）
docker exec -it hermes hermes config set KEY VALUE

# 已经用 sudo 改了文件？修复权限
sudo chown -R hermes:hermes ~/.hermes/
cd ~/hermes-deploy && docker compose restart

# 编辑 docker-compose.yaml，把所有 volumes 的 ~/.hermes 改成绝对路径
sudo nano ~/hermes-deploy/docker-compose.yaml

# 改成：
# volumes:
#   - /home/hermes/.hermes:/opt/data    # ← 绝对路径

# 重建容器
cd ~/hermes-deploy && sudo docker compose down && sudo docker compose up -d

# 验证容器内 .env 是否正确
sudo docker exec hermes cat /opt/data/.env | grep "WEIXIN_DM_POLICY"

sudo nano /etc/nginx/sites-available/hermes

# 只保留一个 location /，去掉 location /api/
server {
    listen 80;
    server_name hermes.treetree.tech;
    location / {
        proxy_pass http://127.0.0.1:9119;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

sudo nginx -t && sudo systemctl reload nginx

~/.hermes/logs/gateway.log   # Gateway 日志
~/.hermes/logs/errors.log    # 错误日志（自动脱敏）
docker compose logs -f       # Docker 日志
hermes logs --follow         # 实时日志

# 1. 旧服务器：用官方工具备份（SQLite 一致性安全）
ssh hermes@OLD_IP
cd ~/hermes-deploy
docker exec hermes hermes backup -o /opt/data/migration-backup.zip

# 2. 传到新服务器
scp hermes@OLD_IP:~/.hermes/migration-backup.zip /tmp/

# 3. 新服务器：恢复 + 启动
ssh hermes@NEW_IP
cp /tmp/migration-backup.zip ~/.hermes/
cd ~/hermes-deploy && docker compose up -d
docker exec hermes hermes import /opt/data/migration-backup.zip --force
docker compose restart hermes