Skip to content
导航

将 Compose 文件导入为项目的服务

模型是 docker compose config --format json 输出的文件（值中的每个 $ 写作 $$），调用之前已读入其 configs 的内容，并把其 secrets 设置为项目的机密（PUT /v1/secrets/{name}，使用报告为每个机密给出的名称），与 glac compose up 的做法相同。每个顶层元素和每个服务的每个属性都会标为 done、adapted、ignored 或 refused，并附原因（control/README.md，「导入 Compose」）；strict 会把被忽略的也拒绝掉。模型中有任何被拒绝的内容时，什么都不会写入：返回 400 compose_refused，报告与错误并列。否则，每个服务按其名称成为项目的一个应用，按文件内容创建或写入（文件没有提到的保留应用自己的设置），其具名卷成为项目的存储卷，创建在项目其他资源所在的节点上；下一个版本与当前版本构成不同的那些服务，会作为项目的一次部署 (cause: compose) 一起部署：再次导入同一个文件既不写入也不部署 (deploy: null)。项目中有而模型中没有的服务会保留，并在 absent 中列出。dry_run 只返回报告，不写入任何东西。所需权限范围：write；为服务指定它还没有的机密时还需要 admin。

POST
https://api.glac.ai/v1/compose

授权

  • apiKeyHTTPrequired

请求头参数

  • Idempotency-Keyoptionalstring

    1 到 255 个字符：用相同的键和请求体再次请求会得到相同的响应，不会重复创建任何东西。

    maxLength: 255 · minLength: 1

请求体JSON必填

  • modelobjectrequired

    Compose 模型，即 docker compose config --format json 输出的内容：其 services（1 到 100 个），以及其 volumes、networks、configs（各带其 content）、secrets 等。最大 4 MiB。

  • profilesoptional数组，元素为string

    启用的 profile：所属 profile 都不在这里的服务会被略去 (left_out)，与 docker compose --profile 的做法一样。不给出时：没有。

    maxLength: 128 · minLength: 1
  • dry_runoptionalboolean

    true：只返回报告；不写入任何东西，机密也不必存在。不给出时：false。

  • strictoptionalboolean

    true：被忽略的内容也会被拒绝。不给出时：false。

Returns

200

报告，以及导入触发的部署。

JSON
  • objectcompose_importrequired
  • namestring | nullrequired

    模型的 name：即每个服务的标签 compose.project。null：模型没有名称。

  • dry_runbooleanrequired
  • strictbooleanrequired
  • profiles数组，元素为stringrequired
  • treatmentsobjectrequired

    报告中每种处理方式各有多少项。

    • doneintegerrequired
      minimum: 0
    • adaptedintegerrequired
      minimum: 0
    • ignoredintegerrequired
      minimum: 0
    • refusedintegerrequired
      minimum: 0
  • items数组，元素为objectrequired

    模型的顶层元素：name，以及每个卷、网络、config、secret 和扩展。

    • atstringrequired

      在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

    • treatmentdone或adapted或ignored或refusedrequired

      done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

    • whystringrequired
    • changestring | nullrequired

      被拒绝的项：要改什么。其他情况为 null。

  • services数组，元素为objectrequired

    导入所采纳的服务，按模型中的顺序。

    • namestringrequired

      服务的名称，也是其应用的名称。

    • app_idstring | nullrequired

      其应用。null：试运行，且项目中没有该服务。

      pattern: ^app-
    • statuscreated或changed或unchangedrequired

      导入对其应用做了（试运行时为将会做）什么：创建、写入变化的部分，或什么都不做。

    • kindservice或jobrequired

      job：模型中有服务等待它完成，它会在每次需要它的部署中运行到结束。

    • statefulbooleanrequired

      它挂载自己的存储卷：只有一个实例，由该实例持有存储卷。

    • versionbooleanrequired

      导入的部署是否为它创建版本：即解析引用后其版本的构成与当前版本不同。

    • items数组，元素为objectrequired
      • atstringrequired

        在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

      • treatmentdone或adapted或ignored或refusedrequired

        done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

      • whystringrequired
      • changestring | nullrequired

        被拒绝的项：要改什么。其他情况为 null。

    • appobjectrequired

      导入写入的服务应用字段：其版本的构成，以及立即生效的设置。

      • imagestring | nullrequired

        应用下一个版本的构成，连同其后的七个字段：即其最新版本的构成，加上此后的修改。null：应用没有镜像，也没有版本。

      • image_pull_secretstring | nullrequired

        保存镜像仓库凭据的机密的名称。任何响应都不包含其值。null：没有。

      • start_commandrequired

        以下之一：

        • StartCommand
        • null
      • start_argsrequired

        放在镜像 ENTRYPOINT 之后、取代其 CMD 的内容。null：使用镜像的 CMD，或者整个 start_command。

        以下之一：

        • array<string>
        • null
      • portinteger | nullrequired
      • readyobjectrequired

        判断实例已启动的方式，版本的模板会在实例启动后保存：三者必须恰好给出一个。前两种从实例外部检查，所以服务必须监听所有地址 (0.0.0.0)。

        • httpoptionalstring

          一个以 / 开头的路径：在应用端口上对它发起 GET，返回 200 到 399 之间的状态码。

        • tcpoptionaltrue

          应用端口接受连接。

        • commandoptional

          在实例中执行成功的一条命令。由实例的 shell 运行：参数列表会被写成一行交给它。

          以下之一：

          • string
          • array<string>
      • env映射，值为stringrequired
      • secrets映射，值为stringrequired

        机密的名称。任何响应都不包含值。

      • sizeobjectrequired

        单个实例最多能使用的资源。按实际用量计费。

        • vcpusintegerrequired
          minimum: 1
        • memory_bytesintegerrequired

          偶数个 MiB（即节点为虚拟机加载内存所用的 2 MiB 页的整数倍），以字节表示。其他任何大小都返回 400 invalid_field（param 为 size.memory_bytes）：没有节点会创建这种大小的实例，正如没有节点会创建这种大小的沙箱（节点的 SandboxLimitsCreate.memory_bytes）。

          minimum: 134217728
      • volumes数组，元素为objectrequired
        • volumestringrequired
        • pathstringrequired
        • read_onlybooleanrequired
        • nocopyoptionalunknown

          只有给出为 true 时才会出现。

      • kindstringrequired
      • files数组，元素为objectrequired
        • pathstringrequired
        • modeintegerrequired
        • uidintegerrequired
        • gidintegerrequired
        • contentoptionalstring
        • secretoptionalstring
      • userstring | nullrequired
      • working_dirstring | nullrequired
      • stoprequired

        以下之一：

        • ServiceStop
          • signalstring | nullrequired
          • grace_msinteger | nullrequired
        • null
      • hostnamestring | nullrequired
      • regions数组，元素为stringrequired

        按 na、eu、ap 的顺序。

      • scaleobjectrequired
        • min_instancesintegerrequired

          无论有没有请求，应用在一个区域内保持运行的实例数：即下限。该区域服务该应用的节点按分摊 max_instances 的方式分摊它（两个节点、下限为 2：各一个；下限为 1：一个，在最先尝试的节点上；下限为 5：三个和两个），不在线的节点由其他节点补足。节点在收到通知时就创建自己那部分，而不是等到第一个请求，也不会因为空闲而停止或删除这些实例；它们按运行中的实例计量。0（未设置时的值）：没有下限。调低后，超出部分的实例从那一刻起视为空闲，并像空闲实例一样被停止和删除。最多为 max_instances（如果给出），且不超过账户套餐允许应用在一个区域请求的数量（caps.app_instances.limit：5、50 和 500）：超出会被拒绝，返回 403 plan_cap_reached。

          minimum: 0
        • max_instancesinteger | nullrequired

          应用在一个区域内最多有多少个实例：由该区域服务该应用的节点分摊。最多为账户套餐允许应用请求的数量（caps.app_instances.limit：免费版 5，付费版 500）：超出会被拒绝，返回 403 plan_cap_reached；在允许的套餐上请求的数值会保留，但受当前套餐数值的限制。null：未指定数量的应用使用套餐的数值（caps.app_instances.default：免费版 2，付费版 50），如果 min_instances 更大则用它。告诉节点的数值，不超过账户除其他运行中资源外还能容纳的运行量，也不少于应用当前运行的实例数。

          minimum: 1
        • concurrencyinteger | nullrequired

          单个实例同时处理的上限：边缘节点发给它的请求，加上它在项目网络上打开的连接（经由其服务的地址，节点会按连接把它们分给各个实例；或者直接连到它自己的地址）。达到上限的实例即为已满，更多的请求会创建新实例。null（未设置时的值）：没有上限。此时节点会在现有实例的 CPU 或内存接近其规格时增加实例，应用不必猜一个数字；一次只处理一个请求的服务应设为 1。

          maximum: 1000 · minimum: 1
        • sleep_after_msinteger | nullrequired

          实例在没有请求时最多等待多久就停止，单位为毫秒。在这个上限以内，节点根据应用自己的流量选择等待时间：在应用最近一段时间里两次请求之间的间隔上，比较多运行一秒空闲与停止再恢复所花的 CPU 时间，选出成本最低的等待时间；这样，请求间隔比停止成本还短的应用会一直运行，请求间隔很长的应用则在最后一个响应结束后立即停止（0：总是立即停止）。null（未设置时的值）：平台的上限，三秒。设置过 100（2026年10月28日之前的默认值）的应用，从那天起视为 null。持续停止的实例会在 delete_after_ms 后被其节点删除，下一个需要实例的请求会得到一个新实例；min_instances 保持运行的实例既不会停止也不会删除。

          maximum: 600000 · minimum: 0
        • sleep_notice_msinteger | nullrequired

          在实例因空闲而停止之前多久，向连接到其客户机 /run/sbx/awake 的程序发送一行 sleep N，单位为毫秒：程序可以借此写出手头的数据、关闭连接，或者发起保持，从而推迟停止。无论它们是否响应，停止都会在这段时间之后到来；没有程序连接时，不会推迟。键控实例也会收到通知。0 或 null：不通知（默认）。

          maximum: 60000 · minimum: 0
        • sleep_hold_max_msintegerrequired

          实例中的程序发起的保持，在空闲时间到期后最多还能让实例运行多久，单位为毫秒：程序连接 /run/sbx/awake，如果某个请求在响应之后还有后续工作，就在响应它之前发送 +，工作完成后发送 -（或关闭连接，或退出）；最后一个保持解除 sleep_after_ms 之后，实例停止。超过这个时间，无论有什么保持，实例都会停止；如果 sleep_notice_ms 要求通知，会先向已连接的程序发送 sleep N cap。保持期间实例在运行，并按运行计量。0：不理会保持。null：30000（默认）。

          maximum: 900000 · minimum: 0
        • delete_after_msinteger | nullrequired

          实例空闲多久后被删除，与停止使用同一个起算点：下一个需要实例的请求会得到一个新实例，即版本模板的克隆，不含被删除的实例在内存和磁盘中积累的东西（需要长久保存的数据请放在存储卷或数据库中）。一秒到一小时，一小时是平台的时间，也是上限：超出会被拒绝 (400 invalid_field)，需要保持预热的实例应计入 min_instances。null（未设置时的值）：节点的一小时 (--app-delete-after-seconds)。修改对应用现有的实例和之后创建的实例同样有效：每个节点至少每秒按应用当前的时间检查一次每个实例。不适用于应用的键控实例，键控实例用 keys.delete_after_idle_ms。

          maximum: 3600000 · minimum: 1000
        • suspend_after_msoptionalinteger | null

          已停止的实例在保存内存并真正休眠之前保持暂停多久，单位为毫秒：暂停时，下一个请求在一两毫秒内得到响应，内存照常计量；休眠时，唤醒要多几毫秒，只计量它保存的数据。节点会把它限制在节点让任何实例保持暂停的最长时间内（十分钟）；宿主机内存不足、其他虚拟机需要占用槽位，或者有人请求休眠，都会让它更早休眠。null（默认）：节点的最长时间。数据库的 suspend_after_seconds 就是其应用的这一设置。

          maximum: 86400000 · minimum: 1000
        • wake_daily_atoptionalstring | null

          每天的某个 UTC 时刻 (HH:MM)，在此时唤醒应用中处于休眠状态的键控实例和有状态服务的实例，让它们完成等待唤醒才能做的工作（比如数据库维护）；节点根据应用请求创建和删除的实例只会被请求唤醒。唤醒本身不算活动：唤醒后运行的东西才算，运行完毕后实例会再次休眠。此外，无论这里怎么设置，有状态服务的实例都会为其 PostgreSQL 服务器 pg_cron 任务的下一次运行而被唤醒。null（默认）：不唤醒。数据库的 wake_daily_at 就是其应用的这一设置。

          pattern: ^([01][0-9]|2[0-3]):[0-5][0-9]$
      • keysrequired

        以下之一：

        • object
        • null
      • egressobject | nullrequired

        与沙箱相同的出站规则（default、allow、deny、http、inject），没有时为 null；按调用给出的原样保存（PATCH 会像节点那样按键逐个合并）。规则立即生效，不产生新版本：服务该应用的节点会把它们应用到其组内的每个实例上，包括现有的实例（运行中的实例对其已有连接也生效）和之后创建的实例；键控实例不受这些规则约束。控制平面只检查它们是不是由这些键组成、不超过 256 KiB 的对象：规则的内容由节点在应用时检查，节点读不懂其规则的实例，所有出站流量都会被拒绝（节点日志会说明原因）。

        • defaultoptionalallow或deny或null
        • allowoptionalarray | null
        • denyoptionalarray | null
        • httpoptionalarray | null
        • injectoptionalarray | null
        • deny_portsoptionalarray | null

          任何连接都到达不了的端口，TCP 或 UDP，无论连往哪里，也无论规则的其他部分怎么说。浏览器会话的规则总是包含 25、465、587 以及矿池监听的端口（3333、4444、5555、7777、14444、45700）：无论其规则如何修改，控制平面都会把它们加上。

      • metadata映射，值为stringrequired
      • logsobjectrequired

        应用日志包含哪些内容，每一项为给出的值或默认值 (AppLogSettings)。

        • outputbooleanrequired
        • keepbooleanrequired
        • requestsobjectrequired
          • sample_ratenumberrequired
            maximum: 1 · minimum: 0
          • keep_errorsbooleanrequired
      • publicbooleanrequired

        是否在其默认域名 (url) 上响应。

      • depends_on数组，元素为objectrequired
        • servicestringrequired
        • conditionstringrequired
      • networkobjectrequired
        • aliases数组，元素为stringrequired
        • endpoint_modestringrequired
      • drivesoptional数组，元素为object

        其实例挂载的云盘 (AppCreate.drives)：没有指定时为空列表 []。

        • drivestringrequired
        • pathstringrequired
        • modestringrequired
      • key_drivesoptional数组，元素为object

        每个键的实例自有的云盘 (AppCreate.key_drives)：没有给出时为空列表 []。

        • namestringrequired
        • pathstringrequired
        • size_bytesinteger | nullrequired
          format: int64
        • nocopyoptionalunknown

          只有给出为 true 时才会出现。

      • runtimeoptional

        运行时设置 (AppCreate.runtime)。null：没有。

        以下之一：

        • Runtime
          • ulimits映射，值为RuntimeLimitGivenrequired
          • sysctls映射，值为stringrequired
          • tmpfs数组，元素为objectrequired
            • pathstringrequired
            • size_bytesinteger | nullrequired
            • modeintegerrequired
          • dnsobjectrequired
            • servers数组，元素为stringrequired
            • search数组，元素为stringrequired
            • options数组，元素为stringrequired
          • shm_size_bytesinteger | nullrequired
        • null
      • tracesoptionalobject

        应用请求的链路追踪包含哪些内容，每一项为给出的值或默认值 (AppTraceSettings)：sample_rate 为 0 时不产生任何 span。

        • sample_ratenumberrequired
          maximum: 1 · minimum: 0
        • trust_incomingbooleanrequired
  • volumes数组，元素为objectrequired

    服务挂载的项目存储卷。

    • modelstring | nullrequired

      它在模型中的名称。null：为有状态服务挂载但未命名卷的路径创建的。

    • namestringrequired

      它在项目中的名称。

    • idstring | nullrequired

      null：尚未创建 (to_make)。

      pattern: ^vol-
    • sharedbooleanrequired

      有多个服务挂载它，或者某个服务有多个实例：每个服务的每个实例同时挂载它。

    • statusto_make或made或there或externalrequired

      to_make：导入会创建它（试运行时对将要创建的存储卷这样说明）；made：本次导入创建了它；there：之前的导入创建了它，或者已有同名的存储卷；external：模型把它标为 external，而项目中已有它。

    • used_by数组，元素为stringrequired
  • secrets数组，元素为objectrequired

    模型中授予服务的 secrets。

    • modelstringrequired

      它在模型中的名称。

    • namestringrequired

      保存它的项目机密：即模型中的名称，其中机密名称不允许的每个字符都写成下划线。

    • therebooleanrequired

      项目中是否已有它。导入（非试运行）时如果它还不存在，会被拒绝，返回 404 secret_not_found。

    • used_by数组，元素为stringrequired
  • left_out数组，元素为objectrequired

    属于未启用 profile 的服务，导入不会处理它们。

    • namestringrequired
    • profiles数组，元素为stringrequired
  • absent数组，元素为stringrequired

    项目中有而模型中没有的服务：保持原样。

  • deploystring | nullrequired

    导入触发的部署 (GET /v1/deploys/{id})。null：试运行，或者没有服务需要新版本。

    pattern: ^dpl-

400

compose_refused：模型中有被拒绝的内容，与错误并列的 report 说明是什么、为什么以及要改什么（param 为 model）；invalid_field：model 不是对象，其 services 不是含 1 到 100 项的对象，profiles 不是名称列表，dry_run 或 strict 不是布尔值；dependency_cycle：服务之间循环等待，引用也计算在内（param 为 model.services.<name>.depends_on）；unknown_field、invalid_json、invalid_idempotency_key。
JSON
  • errorobjectrequired
    • typestringrequired
    • codestringrequired
    • messagestringrequired
    • paramstring | nullrequired
    • retryablebooleanrequired
    • request_idstringrequired
    • docs_urlstring | nullrequired
  • move_idoptionalstring

    随 already_moving 返回：该沙箱正在进行的迁移。

  • upgrade_idoptionalstring

    随 upgrade_in_progress（该键尚未结束的升级）、upgrade_started（已开始的升级）和 rollback_gone（回退被拒绝的那次升级）返回：即那次升级。

    pattern: ^upg-[0-9a-hjkmnp-tv-z]{16}$
  • moveoptionalobject

    随 move_over、move_going_back 和 move_taken_over 返回 (POST /internal/moves/{id}/cancel)：迁移的当前状态。

    • objectstringrequired
    • idstringrequired
      pattern: ^mov-[0-9a-hjkmnp-tv-z]{16}$
    • sandbox_idstringrequired
    • project_idstringrequired
    • fromobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • toobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • epochintegerrequired

      迁移开始时表中记录的沙箱纪元：旧节点在这个纪元释放它，新节点在纪元加一时接管它，旧节点在纪元加二时收回它，从对象存储接管则在纪元加三时。

      minimum: 1
    • stepstringrequired

      迁移的进展：releasing（正在请旧节点释放它；表中记录它在旧节点上）、taking_over（正在请新节点接管它；表中记录它在新节点上）、reclaiming（新节点拒绝了它，正在请旧节点收回）、restoring（旧节点没有保留它的任何东西，正从对象存储接管）、done（已在新节点上）、failed（留在原处，或回到了原处，或停在某个时间无法消除的故障或运营方的取消发生时所在的位置：error 说明原因）。

    • whystringrequired

      发起迁移的原因：运营方的迁移、撤离或恢复。

    • wakebooleanrequired

      新节点是否唤醒它：按调用的指定，或按迁移开始时它的状态（是否在运行）。

    • from_storebooleanrequired

      新节点只从对象存储接管它。

    • releaseobject | nullrequired

      旧节点释放时的响应（sandboxd/openapi/openapi.json，releaseSandbox），不含释放所用的密钥；响应之前为 null。

    • takeoverobject | nullrequired

      结束迁移的那次接管的响应（节点文档中的 takeoverSandbox）：磁盘和内存来自哪里 (source)、各用了多长时间 (ms)、memory；之前为 null。

    • errorrequired

      失败的迁移：失败原因（如果被带回旧节点，则为新节点的拒绝原因）；已完成的迁移：null；进行中的迁移：如果当前步骤要再次请求，则为该步骤上次得到的答复。

      以下之一：

      • object
      • null
    • attemptsintegerrequired

      当前步骤已请求了多少次，仍没有得到确定的答复。

      minimum: 0
    • next_attempt_atstring | nullrequired

      该步骤何时再次请求；不在等待时为 null。

      format: date-time
    • batchstring | nullrequired

      它所属的撤离 (evc-…) 或恢复 (rcv-…)。

    • created_atstringrequired
      format: date-time
    • updated_atstringrequired
      format: date-time
    • ended_atstring | nullrequired
      format: date-time
  • lease_untiloptionalstring

    随 lease_held 返回：节点最后获得的租约最晚可以持有到何时，再加上让节点察觉租约到期所需的时间（在此之前 recoverNode 会被拒绝）。

    format: date-time
  • activeoptionalobject | null

    随 standby 返回：备用副本最后一次读取租约时的活动副本；没有副本持有租约时为 null。

    • namestringrequired
    • urlstringrequired
    • termintegerrequired
      minimum: 1
  • allowed_hostsoptionalarray | null

    随 secret_host_not_allowed 返回：机密可以发往的主机，即机密上设置的主机；没有设置时为 null（节点的 SecretHosts）。

  • problemsoptional数组，元素为object

    随 invalid_definition 返回：定义中的每个问题，各附其位置和内容。

    • atstringrequired

      在定义中的位置，用点分隔的路径 (services.web.port)；针对整个定义时为空。

    • messagestringrequired
  • reportoptionalobject

    随 compose_refused 返回：导入的报告，说明拒绝了什么、为什么以及要改什么。

    • objectcompose_importrequired
    • namestring | nullrequired

      模型的 name：即每个服务的标签 compose.project。null：模型没有名称。

    • dry_runbooleanrequired
    • strictbooleanrequired
    • profiles数组，元素为stringrequired
    • treatmentsobjectrequired

      报告中每种处理方式各有多少项。

      • doneintegerrequired
        minimum: 0
      • adaptedintegerrequired
        minimum: 0
      • ignoredintegerrequired
        minimum: 0
      • refusedintegerrequired
        minimum: 0
    • items数组，元素为objectrequired

      模型的顶层元素：name，以及每个卷、网络、config、secret 和扩展。

      • atstringrequired

        在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

      • treatmentdone或adapted或ignored或refusedrequired

        done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

      • whystringrequired
      • changestring | nullrequired

        被拒绝的项：要改什么。其他情况为 null。

    • services数组，元素为objectrequired

      导入所采纳的服务，按模型中的顺序。

      • namestringrequired

        服务的名称，也是其应用的名称。

      • app_idstring | nullrequired

        其应用。null：试运行，且项目中没有该服务。

        pattern: ^app-
      • statuscreated或changed或unchangedrequired

        导入对其应用做了（试运行时为将会做）什么：创建、写入变化的部分，或什么都不做。

      • kindservice或jobrequired

        job：模型中有服务等待它完成，它会在每次需要它的部署中运行到结束。

      • statefulbooleanrequired

        它挂载自己的存储卷：只有一个实例，由该实例持有存储卷。

      • versionbooleanrequired

        导入的部署是否为它创建版本：即解析引用后其版本的构成与当前版本不同。

      • items数组，元素为objectrequired
        • atstringrequired

          在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

        • treatmentdone或adapted或ignored或refusedrequired

          done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

        • whystringrequired
        • changestring | nullrequired

          被拒绝的项：要改什么。其他情况为 null。

      • appobjectrequired

        导入写入的服务应用字段：其版本的构成，以及立即生效的设置。

        • imagestring | nullrequired

          应用下一个版本的构成，连同其后的七个字段：即其最新版本的构成，加上此后的修改。null：应用没有镜像，也没有版本。

        • image_pull_secretstring | nullrequired

          保存镜像仓库凭据的机密的名称。任何响应都不包含其值。null：没有。

        • start_commandrequired

          以下之一：

          • StartCommand
          • null
        • start_argsrequired

          放在镜像 ENTRYPOINT 之后、取代其 CMD 的内容。null：使用镜像的 CMD，或者整个 start_command。

          以下之一：

          • array<string>
          • null
        • portinteger | nullrequired
        • readyobjectrequired

          判断实例已启动的方式，版本的模板会在实例启动后保存：三者必须恰好给出一个。前两种从实例外部检查，所以服务必须监听所有地址 (0.0.0.0)。

          • httpoptionalstring

            一个以 / 开头的路径：在应用端口上对它发起 GET，返回 200 到 399 之间的状态码。

          • tcpoptionaltrue

            应用端口接受连接。

          • commandoptional

            在实例中执行成功的一条命令。由实例的 shell 运行：参数列表会被写成一行交给它。

            以下之一：

            • string
            • array<string>
        • env映射，值为stringrequired
        • secrets映射，值为stringrequired

          机密的名称。任何响应都不包含值。

        • sizeobjectrequired

          单个实例最多能使用的资源。按实际用量计费。

          • vcpusintegerrequired
            minimum: 1
          • memory_bytesintegerrequired

            偶数个 MiB（即节点为虚拟机加载内存所用的 2 MiB 页的整数倍），以字节表示。其他任何大小都返回 400 invalid_field（param 为 size.memory_bytes）：没有节点会创建这种大小的实例，正如没有节点会创建这种大小的沙箱（节点的 SandboxLimitsCreate.memory_bytes）。

            minimum: 134217728
        • volumes数组，元素为objectrequired
          • volumestringrequired
          • pathstringrequired
          • read_onlybooleanrequired
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • kindstringrequired
        • files数组，元素为objectrequired
          • pathstringrequired
          • modeintegerrequired
          • uidintegerrequired
          • gidintegerrequired
          • contentoptionalstring
          • secretoptionalstring
        • userstring | nullrequired
        • working_dirstring | nullrequired
        • stoprequired

          以下之一：

          • ServiceStop
            • signalstring | nullrequired
            • grace_msinteger | nullrequired
          • null
        • hostnamestring | nullrequired
        • regions数组，元素为stringrequired

          按 na、eu、ap 的顺序。

        • scaleobjectrequired
          • min_instancesintegerrequired

            无论有没有请求，应用在一个区域内保持运行的实例数：即下限。该区域服务该应用的节点按分摊 max_instances 的方式分摊它（两个节点、下限为 2：各一个；下限为 1：一个，在最先尝试的节点上；下限为 5：三个和两个），不在线的节点由其他节点补足。节点在收到通知时就创建自己那部分，而不是等到第一个请求，也不会因为空闲而停止或删除这些实例；它们按运行中的实例计量。0（未设置时的值）：没有下限。调低后，超出部分的实例从那一刻起视为空闲，并像空闲实例一样被停止和删除。最多为 max_instances（如果给出），且不超过账户套餐允许应用在一个区域请求的数量（caps.app_instances.limit：5、50 和 500）：超出会被拒绝，返回 403 plan_cap_reached。

            minimum: 0
          • max_instancesinteger | nullrequired

            应用在一个区域内最多有多少个实例：由该区域服务该应用的节点分摊。最多为账户套餐允许应用请求的数量（caps.app_instances.limit：免费版 5，付费版 500）：超出会被拒绝，返回 403 plan_cap_reached；在允许的套餐上请求的数值会保留，但受当前套餐数值的限制。null：未指定数量的应用使用套餐的数值（caps.app_instances.default：免费版 2，付费版 50），如果 min_instances 更大则用它。告诉节点的数值，不超过账户除其他运行中资源外还能容纳的运行量，也不少于应用当前运行的实例数。

            minimum: 1
          • concurrencyinteger | nullrequired

            单个实例同时处理的上限：边缘节点发给它的请求，加上它在项目网络上打开的连接（经由其服务的地址，节点会按连接把它们分给各个实例；或者直接连到它自己的地址）。达到上限的实例即为已满，更多的请求会创建新实例。null（未设置时的值）：没有上限。此时节点会在现有实例的 CPU 或内存接近其规格时增加实例，应用不必猜一个数字；一次只处理一个请求的服务应设为 1。

            maximum: 1000 · minimum: 1
          • sleep_after_msinteger | nullrequired

            实例在没有请求时最多等待多久就停止，单位为毫秒。在这个上限以内，节点根据应用自己的流量选择等待时间：在应用最近一段时间里两次请求之间的间隔上，比较多运行一秒空闲与停止再恢复所花的 CPU 时间，选出成本最低的等待时间；这样，请求间隔比停止成本还短的应用会一直运行，请求间隔很长的应用则在最后一个响应结束后立即停止（0：总是立即停止）。null（未设置时的值）：平台的上限，三秒。设置过 100（2026年10月28日之前的默认值）的应用，从那天起视为 null。持续停止的实例会在 delete_after_ms 后被其节点删除，下一个需要实例的请求会得到一个新实例；min_instances 保持运行的实例既不会停止也不会删除。

            maximum: 600000 · minimum: 0
          • sleep_notice_msinteger | nullrequired

            在实例因空闲而停止之前多久，向连接到其客户机 /run/sbx/awake 的程序发送一行 sleep N，单位为毫秒：程序可以借此写出手头的数据、关闭连接，或者发起保持，从而推迟停止。无论它们是否响应，停止都会在这段时间之后到来；没有程序连接时，不会推迟。键控实例也会收到通知。0 或 null：不通知（默认）。

            maximum: 60000 · minimum: 0
          • sleep_hold_max_msintegerrequired

            实例中的程序发起的保持，在空闲时间到期后最多还能让实例运行多久，单位为毫秒：程序连接 /run/sbx/awake，如果某个请求在响应之后还有后续工作，就在响应它之前发送 +，工作完成后发送 -（或关闭连接，或退出）；最后一个保持解除 sleep_after_ms 之后，实例停止。超过这个时间，无论有什么保持，实例都会停止；如果 sleep_notice_ms 要求通知，会先向已连接的程序发送 sleep N cap。保持期间实例在运行，并按运行计量。0：不理会保持。null：30000（默认）。

            maximum: 900000 · minimum: 0
          • delete_after_msinteger | nullrequired

            实例空闲多久后被删除，与停止使用同一个起算点：下一个需要实例的请求会得到一个新实例，即版本模板的克隆，不含被删除的实例在内存和磁盘中积累的东西（需要长久保存的数据请放在存储卷或数据库中）。一秒到一小时，一小时是平台的时间，也是上限：超出会被拒绝 (400 invalid_field)，需要保持预热的实例应计入 min_instances。null（未设置时的值）：节点的一小时 (--app-delete-after-seconds)。修改对应用现有的实例和之后创建的实例同样有效：每个节点至少每秒按应用当前的时间检查一次每个实例。不适用于应用的键控实例，键控实例用 keys.delete_after_idle_ms。

            maximum: 3600000 · minimum: 1000
          • suspend_after_msoptionalinteger | null

            已停止的实例在保存内存并真正休眠之前保持暂停多久，单位为毫秒：暂停时，下一个请求在一两毫秒内得到响应，内存照常计量；休眠时，唤醒要多几毫秒，只计量它保存的数据。节点会把它限制在节点让任何实例保持暂停的最长时间内（十分钟）；宿主机内存不足、其他虚拟机需要占用槽位，或者有人请求休眠，都会让它更早休眠。null（默认）：节点的最长时间。数据库的 suspend_after_seconds 就是其应用的这一设置。

            maximum: 86400000 · minimum: 1000
          • wake_daily_atoptionalstring | null

            每天的某个 UTC 时刻 (HH:MM)，在此时唤醒应用中处于休眠状态的键控实例和有状态服务的实例，让它们完成等待唤醒才能做的工作（比如数据库维护）；节点根据应用请求创建和删除的实例只会被请求唤醒。唤醒本身不算活动：唤醒后运行的东西才算，运行完毕后实例会再次休眠。此外，无论这里怎么设置，有状态服务的实例都会为其 PostgreSQL 服务器 pg_cron 任务的下一次运行而被唤醒。null（默认）：不唤醒。数据库的 wake_daily_at 就是其应用的这一设置。

            pattern: ^([01][0-9]|2[0-3]):[0-5][0-9]$
        • keysrequired

          以下之一：

          • object
          • null
        • egressobject | nullrequired

          与沙箱相同的出站规则（default、allow、deny、http、inject），没有时为 null；按调用给出的原样保存（PATCH 会像节点那样按键逐个合并）。规则立即生效，不产生新版本：服务该应用的节点会把它们应用到其组内的每个实例上，包括现有的实例（运行中的实例对其已有连接也生效）和之后创建的实例；键控实例不受这些规则约束。控制平面只检查它们是不是由这些键组成、不超过 256 KiB 的对象：规则的内容由节点在应用时检查，节点读不懂其规则的实例，所有出站流量都会被拒绝（节点日志会说明原因）。

          • defaultoptionalallow或deny或null
          • allowoptionalarray | null
          • denyoptionalarray | null
          • httpoptionalarray | null
          • injectoptionalarray | null
          • deny_portsoptionalarray | null

            任何连接都到达不了的端口，TCP 或 UDP，无论连往哪里，也无论规则的其他部分怎么说。浏览器会话的规则总是包含 25、465、587 以及矿池监听的端口（3333、4444、5555、7777、14444、45700）：无论其规则如何修改，控制平面都会把它们加上。

        • metadata映射，值为stringrequired
        • logsobjectrequired

          应用日志包含哪些内容，每一项为给出的值或默认值 (AppLogSettings)。

          • outputbooleanrequired
          • keepbooleanrequired
          • requestsobjectrequired
            • sample_ratenumberrequired
              maximum: 1 · minimum: 0
            • keep_errorsbooleanrequired
        • publicbooleanrequired

          是否在其默认域名 (url) 上响应。

        • depends_on数组，元素为objectrequired
          • servicestringrequired
          • conditionstringrequired
        • networkobjectrequired
          • aliases数组，元素为stringrequired
          • endpoint_modestringrequired
        • drivesoptional数组，元素为object

          其实例挂载的云盘 (AppCreate.drives)：没有指定时为空列表 []。

          • drivestringrequired
          • pathstringrequired
          • modestringrequired
        • key_drivesoptional数组，元素为object

          每个键的实例自有的云盘 (AppCreate.key_drives)：没有给出时为空列表 []。

          • namestringrequired
          • pathstringrequired
          • size_bytesinteger | nullrequired
            format: int64
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • runtimeoptional

          运行时设置 (AppCreate.runtime)。null：没有。

          以下之一：

          • Runtime
            • ulimits映射，值为RuntimeLimitGivenrequired
            • sysctls映射，值为stringrequired
            • tmpfs数组，元素为objectrequired
              • pathstringrequired
              • size_bytesinteger | nullrequired
              • modeintegerrequired
            • dnsobjectrequired
              • servers数组，元素为stringrequired
              • search数组，元素为stringrequired
              • options数组，元素为stringrequired
            • shm_size_bytesinteger | nullrequired
          • null
        • tracesoptionalobject

          应用请求的链路追踪包含哪些内容，每一项为给出的值或默认值 (AppTraceSettings)：sample_rate 为 0 时不产生任何 span。

          • sample_ratenumberrequired
            maximum: 1 · minimum: 0
          • trust_incomingbooleanrequired
    • volumes数组，元素为objectrequired

      服务挂载的项目存储卷。

      • modelstring | nullrequired

        它在模型中的名称。null：为有状态服务挂载但未命名卷的路径创建的。

      • namestringrequired

        它在项目中的名称。

      • idstring | nullrequired

        null：尚未创建 (to_make)。

        pattern: ^vol-
      • sharedbooleanrequired

        有多个服务挂载它，或者某个服务有多个实例：每个服务的每个实例同时挂载它。

      • statusto_make或made或there或externalrequired

        to_make：导入会创建它（试运行时对将要创建的存储卷这样说明）；made：本次导入创建了它；there：之前的导入创建了它，或者已有同名的存储卷；external：模型把它标为 external，而项目中已有它。

      • used_by数组，元素为stringrequired
    • secrets数组，元素为objectrequired

      模型中授予服务的 secrets。

      • modelstringrequired

        它在模型中的名称。

      • namestringrequired

        保存它的项目机密：即模型中的名称，其中机密名称不允许的每个字符都写成下划线。

      • therebooleanrequired

        项目中是否已有它。导入（非试运行）时如果它还不存在，会被拒绝，返回 404 secret_not_found。

      • used_by数组，元素为stringrequired
    • left_out数组，元素为objectrequired

      属于未启用 profile 的服务，导入不会处理它们。

      • namestringrequired
      • profiles数组，元素为stringrequired
    • absent数组，元素为stringrequired

      项目中有而模型中没有的服务：保持原样。

    • deploystring | nullrequired

      导入触发的部署 (GET /v1/deploys/{id})。null：试运行，或者没有服务需要新版本。

      pattern: ^dpl-
  • accountsoptional数组，元素为object

    随 sole_owner 返回：该用户是唯一所有者的那些账户。

    • idstringrequired
      pattern: ^acct-[0-9a-hjkmnp-tv-z]{16}$
    • namestringrequired

401

missing_api_key, invalid_api_key, expired_api_key, invalid_token.
JSON
  • errorobjectrequired
    • typestringrequired
    • codestringrequired
    • messagestringrequired
    • paramstring | nullrequired
    • retryablebooleanrequired
    • request_idstringrequired
    • docs_urlstring | nullrequired
  • move_idoptionalstring

    随 already_moving 返回：该沙箱正在进行的迁移。

  • upgrade_idoptionalstring

    随 upgrade_in_progress（该键尚未结束的升级）、upgrade_started（已开始的升级）和 rollback_gone（回退被拒绝的那次升级）返回：即那次升级。

    pattern: ^upg-[0-9a-hjkmnp-tv-z]{16}$
  • moveoptionalobject

    随 move_over、move_going_back 和 move_taken_over 返回 (POST /internal/moves/{id}/cancel)：迁移的当前状态。

    • objectstringrequired
    • idstringrequired
      pattern: ^mov-[0-9a-hjkmnp-tv-z]{16}$
    • sandbox_idstringrequired
    • project_idstringrequired
    • fromobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • toobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • epochintegerrequired

      迁移开始时表中记录的沙箱纪元：旧节点在这个纪元释放它，新节点在纪元加一时接管它，旧节点在纪元加二时收回它，从对象存储接管则在纪元加三时。

      minimum: 1
    • stepstringrequired

      迁移的进展：releasing（正在请旧节点释放它；表中记录它在旧节点上）、taking_over（正在请新节点接管它；表中记录它在新节点上）、reclaiming（新节点拒绝了它，正在请旧节点收回）、restoring（旧节点没有保留它的任何东西，正从对象存储接管）、done（已在新节点上）、failed（留在原处，或回到了原处，或停在某个时间无法消除的故障或运营方的取消发生时所在的位置：error 说明原因）。

    • whystringrequired

      发起迁移的原因：运营方的迁移、撤离或恢复。

    • wakebooleanrequired

      新节点是否唤醒它：按调用的指定，或按迁移开始时它的状态（是否在运行）。

    • from_storebooleanrequired

      新节点只从对象存储接管它。

    • releaseobject | nullrequired

      旧节点释放时的响应（sandboxd/openapi/openapi.json，releaseSandbox），不含释放所用的密钥；响应之前为 null。

    • takeoverobject | nullrequired

      结束迁移的那次接管的响应（节点文档中的 takeoverSandbox）：磁盘和内存来自哪里 (source)、各用了多长时间 (ms)、memory；之前为 null。

    • errorrequired

      失败的迁移：失败原因（如果被带回旧节点，则为新节点的拒绝原因）；已完成的迁移：null；进行中的迁移：如果当前步骤要再次请求，则为该步骤上次得到的答复。

      以下之一：

      • object
      • null
    • attemptsintegerrequired

      当前步骤已请求了多少次，仍没有得到确定的答复。

      minimum: 0
    • next_attempt_atstring | nullrequired

      该步骤何时再次请求；不在等待时为 null。

      format: date-time
    • batchstring | nullrequired

      它所属的撤离 (evc-…) 或恢复 (rcv-…)。

    • created_atstringrequired
      format: date-time
    • updated_atstringrequired
      format: date-time
    • ended_atstring | nullrequired
      format: date-time
  • lease_untiloptionalstring

    随 lease_held 返回：节点最后获得的租约最晚可以持有到何时，再加上让节点察觉租约到期所需的时间（在此之前 recoverNode 会被拒绝）。

    format: date-time
  • activeoptionalobject | null

    随 standby 返回：备用副本最后一次读取租约时的活动副本；没有副本持有租约时为 null。

    • namestringrequired
    • urlstringrequired
    • termintegerrequired
      minimum: 1
  • allowed_hostsoptionalarray | null

    随 secret_host_not_allowed 返回：机密可以发往的主机，即机密上设置的主机；没有设置时为 null（节点的 SecretHosts）。

  • problemsoptional数组，元素为object

    随 invalid_definition 返回：定义中的每个问题，各附其位置和内容。

    • atstringrequired

      在定义中的位置，用点分隔的路径 (services.web.port)；针对整个定义时为空。

    • messagestringrequired
  • reportoptionalobject

    随 compose_refused 返回：导入的报告，说明拒绝了什么、为什么以及要改什么。

    • objectcompose_importrequired
    • namestring | nullrequired

      模型的 name：即每个服务的标签 compose.project。null：模型没有名称。

    • dry_runbooleanrequired
    • strictbooleanrequired
    • profiles数组，元素为stringrequired
    • treatmentsobjectrequired

      报告中每种处理方式各有多少项。

      • doneintegerrequired
        minimum: 0
      • adaptedintegerrequired
        minimum: 0
      • ignoredintegerrequired
        minimum: 0
      • refusedintegerrequired
        minimum: 0
    • items数组，元素为objectrequired

      模型的顶层元素：name，以及每个卷、网络、config、secret 和扩展。

      • atstringrequired

        在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

      • treatmentdone或adapted或ignored或refusedrequired

        done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

      • whystringrequired
      • changestring | nullrequired

        被拒绝的项：要改什么。其他情况为 null。

    • services数组，元素为objectrequired

      导入所采纳的服务，按模型中的顺序。

      • namestringrequired

        服务的名称，也是其应用的名称。

      • app_idstring | nullrequired

        其应用。null：试运行，且项目中没有该服务。

        pattern: ^app-
      • statuscreated或changed或unchangedrequired

        导入对其应用做了（试运行时为将会做）什么：创建、写入变化的部分，或什么都不做。

      • kindservice或jobrequired

        job：模型中有服务等待它完成，它会在每次需要它的部署中运行到结束。

      • statefulbooleanrequired

        它挂载自己的存储卷：只有一个实例，由该实例持有存储卷。

      • versionbooleanrequired

        导入的部署是否为它创建版本：即解析引用后其版本的构成与当前版本不同。

      • items数组，元素为objectrequired
        • atstringrequired

          在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

        • treatmentdone或adapted或ignored或refusedrequired

          done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

        • whystringrequired
        • changestring | nullrequired

          被拒绝的项：要改什么。其他情况为 null。

      • appobjectrequired

        导入写入的服务应用字段：其版本的构成，以及立即生效的设置。

        • imagestring | nullrequired

          应用下一个版本的构成，连同其后的七个字段：即其最新版本的构成，加上此后的修改。null：应用没有镜像，也没有版本。

        • image_pull_secretstring | nullrequired

          保存镜像仓库凭据的机密的名称。任何响应都不包含其值。null：没有。

        • start_commandrequired

          以下之一：

          • StartCommand
          • null
        • start_argsrequired

          放在镜像 ENTRYPOINT 之后、取代其 CMD 的内容。null：使用镜像的 CMD，或者整个 start_command。

          以下之一：

          • array<string>
          • null
        • portinteger | nullrequired
        • readyobjectrequired

          判断实例已启动的方式，版本的模板会在实例启动后保存：三者必须恰好给出一个。前两种从实例外部检查，所以服务必须监听所有地址 (0.0.0.0)。

          • httpoptionalstring

            一个以 / 开头的路径：在应用端口上对它发起 GET，返回 200 到 399 之间的状态码。

          • tcpoptionaltrue

            应用端口接受连接。

          • commandoptional

            在实例中执行成功的一条命令。由实例的 shell 运行：参数列表会被写成一行交给它。

            以下之一：

            • string
            • array<string>
        • env映射，值为stringrequired
        • secrets映射，值为stringrequired

          机密的名称。任何响应都不包含值。

        • sizeobjectrequired

          单个实例最多能使用的资源。按实际用量计费。

          • vcpusintegerrequired
            minimum: 1
          • memory_bytesintegerrequired

            偶数个 MiB（即节点为虚拟机加载内存所用的 2 MiB 页的整数倍），以字节表示。其他任何大小都返回 400 invalid_field（param 为 size.memory_bytes）：没有节点会创建这种大小的实例，正如没有节点会创建这种大小的沙箱（节点的 SandboxLimitsCreate.memory_bytes）。

            minimum: 134217728
        • volumes数组，元素为objectrequired
          • volumestringrequired
          • pathstringrequired
          • read_onlybooleanrequired
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • kindstringrequired
        • files数组，元素为objectrequired
          • pathstringrequired
          • modeintegerrequired
          • uidintegerrequired
          • gidintegerrequired
          • contentoptionalstring
          • secretoptionalstring
        • userstring | nullrequired
        • working_dirstring | nullrequired
        • stoprequired

          以下之一：

          • ServiceStop
            • signalstring | nullrequired
            • grace_msinteger | nullrequired
          • null
        • hostnamestring | nullrequired
        • regions数组，元素为stringrequired

          按 na、eu、ap 的顺序。

        • scaleobjectrequired
          • min_instancesintegerrequired

            无论有没有请求，应用在一个区域内保持运行的实例数：即下限。该区域服务该应用的节点按分摊 max_instances 的方式分摊它（两个节点、下限为 2：各一个；下限为 1：一个，在最先尝试的节点上；下限为 5：三个和两个），不在线的节点由其他节点补足。节点在收到通知时就创建自己那部分，而不是等到第一个请求，也不会因为空闲而停止或删除这些实例；它们按运行中的实例计量。0（未设置时的值）：没有下限。调低后，超出部分的实例从那一刻起视为空闲，并像空闲实例一样被停止和删除。最多为 max_instances（如果给出），且不超过账户套餐允许应用在一个区域请求的数量（caps.app_instances.limit：5、50 和 500）：超出会被拒绝，返回 403 plan_cap_reached。

            minimum: 0
          • max_instancesinteger | nullrequired

            应用在一个区域内最多有多少个实例：由该区域服务该应用的节点分摊。最多为账户套餐允许应用请求的数量（caps.app_instances.limit：免费版 5，付费版 500）：超出会被拒绝，返回 403 plan_cap_reached；在允许的套餐上请求的数值会保留，但受当前套餐数值的限制。null：未指定数量的应用使用套餐的数值（caps.app_instances.default：免费版 2，付费版 50），如果 min_instances 更大则用它。告诉节点的数值，不超过账户除其他运行中资源外还能容纳的运行量，也不少于应用当前运行的实例数。

            minimum: 1
          • concurrencyinteger | nullrequired

            单个实例同时处理的上限：边缘节点发给它的请求，加上它在项目网络上打开的连接（经由其服务的地址，节点会按连接把它们分给各个实例；或者直接连到它自己的地址）。达到上限的实例即为已满，更多的请求会创建新实例。null（未设置时的值）：没有上限。此时节点会在现有实例的 CPU 或内存接近其规格时增加实例，应用不必猜一个数字；一次只处理一个请求的服务应设为 1。

            maximum: 1000 · minimum: 1
          • sleep_after_msinteger | nullrequired

            实例在没有请求时最多等待多久就停止，单位为毫秒。在这个上限以内，节点根据应用自己的流量选择等待时间：在应用最近一段时间里两次请求之间的间隔上，比较多运行一秒空闲与停止再恢复所花的 CPU 时间，选出成本最低的等待时间；这样，请求间隔比停止成本还短的应用会一直运行，请求间隔很长的应用则在最后一个响应结束后立即停止（0：总是立即停止）。null（未设置时的值）：平台的上限，三秒。设置过 100（2026年10月28日之前的默认值）的应用，从那天起视为 null。持续停止的实例会在 delete_after_ms 后被其节点删除，下一个需要实例的请求会得到一个新实例；min_instances 保持运行的实例既不会停止也不会删除。

            maximum: 600000 · minimum: 0
          • sleep_notice_msinteger | nullrequired

            在实例因空闲而停止之前多久，向连接到其客户机 /run/sbx/awake 的程序发送一行 sleep N，单位为毫秒：程序可以借此写出手头的数据、关闭连接，或者发起保持，从而推迟停止。无论它们是否响应，停止都会在这段时间之后到来；没有程序连接时，不会推迟。键控实例也会收到通知。0 或 null：不通知（默认）。

            maximum: 60000 · minimum: 0
          • sleep_hold_max_msintegerrequired

            实例中的程序发起的保持，在空闲时间到期后最多还能让实例运行多久，单位为毫秒：程序连接 /run/sbx/awake，如果某个请求在响应之后还有后续工作，就在响应它之前发送 +，工作完成后发送 -（或关闭连接，或退出）；最后一个保持解除 sleep_after_ms 之后，实例停止。超过这个时间，无论有什么保持，实例都会停止；如果 sleep_notice_ms 要求通知，会先向已连接的程序发送 sleep N cap。保持期间实例在运行，并按运行计量。0：不理会保持。null：30000（默认）。

            maximum: 900000 · minimum: 0
          • delete_after_msinteger | nullrequired

            实例空闲多久后被删除，与停止使用同一个起算点：下一个需要实例的请求会得到一个新实例，即版本模板的克隆，不含被删除的实例在内存和磁盘中积累的东西（需要长久保存的数据请放在存储卷或数据库中）。一秒到一小时，一小时是平台的时间，也是上限：超出会被拒绝 (400 invalid_field)，需要保持预热的实例应计入 min_instances。null（未设置时的值）：节点的一小时 (--app-delete-after-seconds)。修改对应用现有的实例和之后创建的实例同样有效：每个节点至少每秒按应用当前的时间检查一次每个实例。不适用于应用的键控实例，键控实例用 keys.delete_after_idle_ms。

            maximum: 3600000 · minimum: 1000
          • suspend_after_msoptionalinteger | null

            已停止的实例在保存内存并真正休眠之前保持暂停多久，单位为毫秒：暂停时，下一个请求在一两毫秒内得到响应，内存照常计量；休眠时，唤醒要多几毫秒，只计量它保存的数据。节点会把它限制在节点让任何实例保持暂停的最长时间内（十分钟）；宿主机内存不足、其他虚拟机需要占用槽位，或者有人请求休眠，都会让它更早休眠。null（默认）：节点的最长时间。数据库的 suspend_after_seconds 就是其应用的这一设置。

            maximum: 86400000 · minimum: 1000
          • wake_daily_atoptionalstring | null

            每天的某个 UTC 时刻 (HH:MM)，在此时唤醒应用中处于休眠状态的键控实例和有状态服务的实例，让它们完成等待唤醒才能做的工作（比如数据库维护）；节点根据应用请求创建和删除的实例只会被请求唤醒。唤醒本身不算活动：唤醒后运行的东西才算，运行完毕后实例会再次休眠。此外，无论这里怎么设置，有状态服务的实例都会为其 PostgreSQL 服务器 pg_cron 任务的下一次运行而被唤醒。null（默认）：不唤醒。数据库的 wake_daily_at 就是其应用的这一设置。

            pattern: ^([01][0-9]|2[0-3]):[0-5][0-9]$
        • keysrequired

          以下之一：

          • object
          • null
        • egressobject | nullrequired

          与沙箱相同的出站规则（default、allow、deny、http、inject），没有时为 null；按调用给出的原样保存（PATCH 会像节点那样按键逐个合并）。规则立即生效，不产生新版本：服务该应用的节点会把它们应用到其组内的每个实例上，包括现有的实例（运行中的实例对其已有连接也生效）和之后创建的实例；键控实例不受这些规则约束。控制平面只检查它们是不是由这些键组成、不超过 256 KiB 的对象：规则的内容由节点在应用时检查，节点读不懂其规则的实例，所有出站流量都会被拒绝（节点日志会说明原因）。

          • defaultoptionalallow或deny或null
          • allowoptionalarray | null
          • denyoptionalarray | null
          • httpoptionalarray | null
          • injectoptionalarray | null
          • deny_portsoptionalarray | null

            任何连接都到达不了的端口，TCP 或 UDP，无论连往哪里，也无论规则的其他部分怎么说。浏览器会话的规则总是包含 25、465、587 以及矿池监听的端口（3333、4444、5555、7777、14444、45700）：无论其规则如何修改，控制平面都会把它们加上。

        • metadata映射，值为stringrequired
        • logsobjectrequired

          应用日志包含哪些内容，每一项为给出的值或默认值 (AppLogSettings)。

          • outputbooleanrequired
          • keepbooleanrequired
          • requestsobjectrequired
            • sample_ratenumberrequired
              maximum: 1 · minimum: 0
            • keep_errorsbooleanrequired
        • publicbooleanrequired

          是否在其默认域名 (url) 上响应。

        • depends_on数组，元素为objectrequired
          • servicestringrequired
          • conditionstringrequired
        • networkobjectrequired
          • aliases数组，元素为stringrequired
          • endpoint_modestringrequired
        • drivesoptional数组，元素为object

          其实例挂载的云盘 (AppCreate.drives)：没有指定时为空列表 []。

          • drivestringrequired
          • pathstringrequired
          • modestringrequired
        • key_drivesoptional数组，元素为object

          每个键的实例自有的云盘 (AppCreate.key_drives)：没有给出时为空列表 []。

          • namestringrequired
          • pathstringrequired
          • size_bytesinteger | nullrequired
            format: int64
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • runtimeoptional

          运行时设置 (AppCreate.runtime)。null：没有。

          以下之一：

          • Runtime
            • ulimits映射，值为RuntimeLimitGivenrequired
            • sysctls映射，值为stringrequired
            • tmpfs数组，元素为objectrequired
              • pathstringrequired
              • size_bytesinteger | nullrequired
              • modeintegerrequired
            • dnsobjectrequired
              • servers数组，元素为stringrequired
              • search数组，元素为stringrequired
              • options数组，元素为stringrequired
            • shm_size_bytesinteger | nullrequired
          • null
        • tracesoptionalobject

          应用请求的链路追踪包含哪些内容，每一项为给出的值或默认值 (AppTraceSettings)：sample_rate 为 0 时不产生任何 span。

          • sample_ratenumberrequired
            maximum: 1 · minimum: 0
          • trust_incomingbooleanrequired
    • volumes数组，元素为objectrequired

      服务挂载的项目存储卷。

      • modelstring | nullrequired

        它在模型中的名称。null：为有状态服务挂载但未命名卷的路径创建的。

      • namestringrequired

        它在项目中的名称。

      • idstring | nullrequired

        null：尚未创建 (to_make)。

        pattern: ^vol-
      • sharedbooleanrequired

        有多个服务挂载它，或者某个服务有多个实例：每个服务的每个实例同时挂载它。

      • statusto_make或made或there或externalrequired

        to_make：导入会创建它（试运行时对将要创建的存储卷这样说明）；made：本次导入创建了它；there：之前的导入创建了它，或者已有同名的存储卷；external：模型把它标为 external，而项目中已有它。

      • used_by数组，元素为stringrequired
    • secrets数组，元素为objectrequired

      模型中授予服务的 secrets。

      • modelstringrequired

        它在模型中的名称。

      • namestringrequired

        保存它的项目机密：即模型中的名称，其中机密名称不允许的每个字符都写成下划线。

      • therebooleanrequired

        项目中是否已有它。导入（非试运行）时如果它还不存在，会被拒绝，返回 404 secret_not_found。

      • used_by数组，元素为stringrequired
    • left_out数组，元素为objectrequired

      属于未启用 profile 的服务，导入不会处理它们。

      • namestringrequired
      • profiles数组，元素为stringrequired
    • absent数组，元素为stringrequired

      项目中有而模型中没有的服务：保持原样。

    • deploystring | nullrequired

      导入触发的部署 (GET /v1/deploys/{id})。null：试运行，或者没有服务需要新版本。

      pattern: ^dpl-
  • accountsoptional数组，元素为object

    随 sole_owner 返回：该用户是唯一所有者的那些账户。

    • idstringrequired
      pattern: ^acct-[0-9a-hjkmnp-tv-z]{16}$
    • namestringrequired

402

account_in_debt：账户欠费（余额低于零），付清之前账户的任何东西都不能使用：其密钥以及其沙箱令牌的每个调用都会这样被拒绝，以下除外：读取欠款和付款的调用；列出和读取其存储卷的备份，以及从备份创建存储卷的调用（POST /v1/volumes，带上 from_backup，正在删除账户存储的数据时除外），这是停止付款的账户最需要的；此外，除非控制平面以 --debt-allows-delete false 启动，还有列出、读取和删除账户存储的存储卷、快照和沙箱，以及删除其备份的调用。新建备份始终不行。在检查密钥的权限范围之前就拒绝，无论路径是什么。错误信息会说明欠款金额、起始时间、账户存储的数据何时会被删除、如何付款、可以删除存储的数据以免金额继续增长，以及仍然可以从备份创建存储卷（GET /v1/billing、debt）。
JSON
  • errorobjectrequired
    • typestringrequired
    • codestringrequired
    • messagestringrequired
    • paramstring | nullrequired
    • retryablebooleanrequired
    • request_idstringrequired
    • docs_urlstring | nullrequired
  • move_idoptionalstring

    随 already_moving 返回：该沙箱正在进行的迁移。

  • upgrade_idoptionalstring

    随 upgrade_in_progress（该键尚未结束的升级）、upgrade_started（已开始的升级）和 rollback_gone（回退被拒绝的那次升级）返回：即那次升级。

    pattern: ^upg-[0-9a-hjkmnp-tv-z]{16}$
  • moveoptionalobject

    随 move_over、move_going_back 和 move_taken_over 返回 (POST /internal/moves/{id}/cancel)：迁移的当前状态。

    • objectstringrequired
    • idstringrequired
      pattern: ^mov-[0-9a-hjkmnp-tv-z]{16}$
    • sandbox_idstringrequired
    • project_idstringrequired
    • fromobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • toobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • epochintegerrequired

      迁移开始时表中记录的沙箱纪元：旧节点在这个纪元释放它，新节点在纪元加一时接管它，旧节点在纪元加二时收回它，从对象存储接管则在纪元加三时。

      minimum: 1
    • stepstringrequired

      迁移的进展：releasing（正在请旧节点释放它；表中记录它在旧节点上）、taking_over（正在请新节点接管它；表中记录它在新节点上）、reclaiming（新节点拒绝了它，正在请旧节点收回）、restoring（旧节点没有保留它的任何东西，正从对象存储接管）、done（已在新节点上）、failed（留在原处，或回到了原处，或停在某个时间无法消除的故障或运营方的取消发生时所在的位置：error 说明原因）。

    • whystringrequired

      发起迁移的原因：运营方的迁移、撤离或恢复。

    • wakebooleanrequired

      新节点是否唤醒它：按调用的指定，或按迁移开始时它的状态（是否在运行）。

    • from_storebooleanrequired

      新节点只从对象存储接管它。

    • releaseobject | nullrequired

      旧节点释放时的响应（sandboxd/openapi/openapi.json，releaseSandbox），不含释放所用的密钥；响应之前为 null。

    • takeoverobject | nullrequired

      结束迁移的那次接管的响应（节点文档中的 takeoverSandbox）：磁盘和内存来自哪里 (source)、各用了多长时间 (ms)、memory；之前为 null。

    • errorrequired

      失败的迁移：失败原因（如果被带回旧节点，则为新节点的拒绝原因）；已完成的迁移：null；进行中的迁移：如果当前步骤要再次请求，则为该步骤上次得到的答复。

      以下之一：

      • object
      • null
    • attemptsintegerrequired

      当前步骤已请求了多少次，仍没有得到确定的答复。

      minimum: 0
    • next_attempt_atstring | nullrequired

      该步骤何时再次请求；不在等待时为 null。

      format: date-time
    • batchstring | nullrequired

      它所属的撤离 (evc-…) 或恢复 (rcv-…)。

    • created_atstringrequired
      format: date-time
    • updated_atstringrequired
      format: date-time
    • ended_atstring | nullrequired
      format: date-time
  • lease_untiloptionalstring

    随 lease_held 返回：节点最后获得的租约最晚可以持有到何时，再加上让节点察觉租约到期所需的时间（在此之前 recoverNode 会被拒绝）。

    format: date-time
  • activeoptionalobject | null

    随 standby 返回：备用副本最后一次读取租约时的活动副本；没有副本持有租约时为 null。

    • namestringrequired
    • urlstringrequired
    • termintegerrequired
      minimum: 1
  • allowed_hostsoptionalarray | null

    随 secret_host_not_allowed 返回：机密可以发往的主机，即机密上设置的主机；没有设置时为 null（节点的 SecretHosts）。

  • problemsoptional数组，元素为object

    随 invalid_definition 返回：定义中的每个问题，各附其位置和内容。

    • atstringrequired

      在定义中的位置，用点分隔的路径 (services.web.port)；针对整个定义时为空。

    • messagestringrequired
  • reportoptionalobject

    随 compose_refused 返回：导入的报告，说明拒绝了什么、为什么以及要改什么。

    • objectcompose_importrequired
    • namestring | nullrequired

      模型的 name：即每个服务的标签 compose.project。null：模型没有名称。

    • dry_runbooleanrequired
    • strictbooleanrequired
    • profiles数组，元素为stringrequired
    • treatmentsobjectrequired

      报告中每种处理方式各有多少项。

      • doneintegerrequired
        minimum: 0
      • adaptedintegerrequired
        minimum: 0
      • ignoredintegerrequired
        minimum: 0
      • refusedintegerrequired
        minimum: 0
    • items数组，元素为objectrequired

      模型的顶层元素：name，以及每个卷、网络、config、secret 和扩展。

      • atstringrequired

        在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

      • treatmentdone或adapted或ignored或refusedrequired

        done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

      • whystringrequired
      • changestring | nullrequired

        被拒绝的项：要改什么。其他情况为 null。

    • services数组，元素为objectrequired

      导入所采纳的服务，按模型中的顺序。

      • namestringrequired

        服务的名称，也是其应用的名称。

      • app_idstring | nullrequired

        其应用。null：试运行，且项目中没有该服务。

        pattern: ^app-
      • statuscreated或changed或unchangedrequired

        导入对其应用做了（试运行时为将会做）什么：创建、写入变化的部分，或什么都不做。

      • kindservice或jobrequired

        job：模型中有服务等待它完成，它会在每次需要它的部署中运行到结束。

      • statefulbooleanrequired

        它挂载自己的存储卷：只有一个实例，由该实例持有存储卷。

      • versionbooleanrequired

        导入的部署是否为它创建版本：即解析引用后其版本的构成与当前版本不同。

      • items数组，元素为objectrequired
        • atstringrequired

          在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

        • treatmentdone或adapted或ignored或refusedrequired

          done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

        • whystringrequired
        • changestring | nullrequired

          被拒绝的项：要改什么。其他情况为 null。

      • appobjectrequired

        导入写入的服务应用字段：其版本的构成，以及立即生效的设置。

        • imagestring | nullrequired

          应用下一个版本的构成，连同其后的七个字段：即其最新版本的构成，加上此后的修改。null：应用没有镜像，也没有版本。

        • image_pull_secretstring | nullrequired

          保存镜像仓库凭据的机密的名称。任何响应都不包含其值。null：没有。

        • start_commandrequired

          以下之一：

          • StartCommand
          • null
        • start_argsrequired

          放在镜像 ENTRYPOINT 之后、取代其 CMD 的内容。null：使用镜像的 CMD，或者整个 start_command。

          以下之一：

          • array<string>
          • null
        • portinteger | nullrequired
        • readyobjectrequired

          判断实例已启动的方式，版本的模板会在实例启动后保存：三者必须恰好给出一个。前两种从实例外部检查，所以服务必须监听所有地址 (0.0.0.0)。

          • httpoptionalstring

            一个以 / 开头的路径：在应用端口上对它发起 GET，返回 200 到 399 之间的状态码。

          • tcpoptionaltrue

            应用端口接受连接。

          • commandoptional

            在实例中执行成功的一条命令。由实例的 shell 运行：参数列表会被写成一行交给它。

            以下之一：

            • string
            • array<string>
        • env映射，值为stringrequired
        • secrets映射，值为stringrequired

          机密的名称。任何响应都不包含值。

        • sizeobjectrequired

          单个实例最多能使用的资源。按实际用量计费。

          • vcpusintegerrequired
            minimum: 1
          • memory_bytesintegerrequired

            偶数个 MiB（即节点为虚拟机加载内存所用的 2 MiB 页的整数倍），以字节表示。其他任何大小都返回 400 invalid_field（param 为 size.memory_bytes）：没有节点会创建这种大小的实例，正如没有节点会创建这种大小的沙箱（节点的 SandboxLimitsCreate.memory_bytes）。

            minimum: 134217728
        • volumes数组，元素为objectrequired
          • volumestringrequired
          • pathstringrequired
          • read_onlybooleanrequired
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • kindstringrequired
        • files数组，元素为objectrequired
          • pathstringrequired
          • modeintegerrequired
          • uidintegerrequired
          • gidintegerrequired
          • contentoptionalstring
          • secretoptionalstring
        • userstring | nullrequired
        • working_dirstring | nullrequired
        • stoprequired

          以下之一：

          • ServiceStop
            • signalstring | nullrequired
            • grace_msinteger | nullrequired
          • null
        • hostnamestring | nullrequired
        • regions数组，元素为stringrequired

          按 na、eu、ap 的顺序。

        • scaleobjectrequired
          • min_instancesintegerrequired

            无论有没有请求，应用在一个区域内保持运行的实例数：即下限。该区域服务该应用的节点按分摊 max_instances 的方式分摊它（两个节点、下限为 2：各一个；下限为 1：一个，在最先尝试的节点上；下限为 5：三个和两个），不在线的节点由其他节点补足。节点在收到通知时就创建自己那部分，而不是等到第一个请求，也不会因为空闲而停止或删除这些实例；它们按运行中的实例计量。0（未设置时的值）：没有下限。调低后，超出部分的实例从那一刻起视为空闲，并像空闲实例一样被停止和删除。最多为 max_instances（如果给出），且不超过账户套餐允许应用在一个区域请求的数量（caps.app_instances.limit：5、50 和 500）：超出会被拒绝，返回 403 plan_cap_reached。

            minimum: 0
          • max_instancesinteger | nullrequired

            应用在一个区域内最多有多少个实例：由该区域服务该应用的节点分摊。最多为账户套餐允许应用请求的数量（caps.app_instances.limit：免费版 5，付费版 500）：超出会被拒绝，返回 403 plan_cap_reached；在允许的套餐上请求的数值会保留，但受当前套餐数值的限制。null：未指定数量的应用使用套餐的数值（caps.app_instances.default：免费版 2，付费版 50），如果 min_instances 更大则用它。告诉节点的数值，不超过账户除其他运行中资源外还能容纳的运行量，也不少于应用当前运行的实例数。

            minimum: 1
          • concurrencyinteger | nullrequired

            单个实例同时处理的上限：边缘节点发给它的请求，加上它在项目网络上打开的连接（经由其服务的地址，节点会按连接把它们分给各个实例；或者直接连到它自己的地址）。达到上限的实例即为已满，更多的请求会创建新实例。null（未设置时的值）：没有上限。此时节点会在现有实例的 CPU 或内存接近其规格时增加实例，应用不必猜一个数字；一次只处理一个请求的服务应设为 1。

            maximum: 1000 · minimum: 1
          • sleep_after_msinteger | nullrequired

            实例在没有请求时最多等待多久就停止，单位为毫秒。在这个上限以内，节点根据应用自己的流量选择等待时间：在应用最近一段时间里两次请求之间的间隔上，比较多运行一秒空闲与停止再恢复所花的 CPU 时间，选出成本最低的等待时间；这样，请求间隔比停止成本还短的应用会一直运行，请求间隔很长的应用则在最后一个响应结束后立即停止（0：总是立即停止）。null（未设置时的值）：平台的上限，三秒。设置过 100（2026年10月28日之前的默认值）的应用，从那天起视为 null。持续停止的实例会在 delete_after_ms 后被其节点删除，下一个需要实例的请求会得到一个新实例；min_instances 保持运行的实例既不会停止也不会删除。

            maximum: 600000 · minimum: 0
          • sleep_notice_msinteger | nullrequired

            在实例因空闲而停止之前多久，向连接到其客户机 /run/sbx/awake 的程序发送一行 sleep N，单位为毫秒：程序可以借此写出手头的数据、关闭连接，或者发起保持，从而推迟停止。无论它们是否响应，停止都会在这段时间之后到来；没有程序连接时，不会推迟。键控实例也会收到通知。0 或 null：不通知（默认）。

            maximum: 60000 · minimum: 0
          • sleep_hold_max_msintegerrequired

            实例中的程序发起的保持，在空闲时间到期后最多还能让实例运行多久，单位为毫秒：程序连接 /run/sbx/awake，如果某个请求在响应之后还有后续工作，就在响应它之前发送 +，工作完成后发送 -（或关闭连接，或退出）；最后一个保持解除 sleep_after_ms 之后，实例停止。超过这个时间，无论有什么保持，实例都会停止；如果 sleep_notice_ms 要求通知，会先向已连接的程序发送 sleep N cap。保持期间实例在运行，并按运行计量。0：不理会保持。null：30000（默认）。

            maximum: 900000 · minimum: 0
          • delete_after_msinteger | nullrequired

            实例空闲多久后被删除，与停止使用同一个起算点：下一个需要实例的请求会得到一个新实例，即版本模板的克隆，不含被删除的实例在内存和磁盘中积累的东西（需要长久保存的数据请放在存储卷或数据库中）。一秒到一小时，一小时是平台的时间，也是上限：超出会被拒绝 (400 invalid_field)，需要保持预热的实例应计入 min_instances。null（未设置时的值）：节点的一小时 (--app-delete-after-seconds)。修改对应用现有的实例和之后创建的实例同样有效：每个节点至少每秒按应用当前的时间检查一次每个实例。不适用于应用的键控实例，键控实例用 keys.delete_after_idle_ms。

            maximum: 3600000 · minimum: 1000
          • suspend_after_msoptionalinteger | null

            已停止的实例在保存内存并真正休眠之前保持暂停多久，单位为毫秒：暂停时，下一个请求在一两毫秒内得到响应，内存照常计量；休眠时，唤醒要多几毫秒，只计量它保存的数据。节点会把它限制在节点让任何实例保持暂停的最长时间内（十分钟）；宿主机内存不足、其他虚拟机需要占用槽位，或者有人请求休眠，都会让它更早休眠。null（默认）：节点的最长时间。数据库的 suspend_after_seconds 就是其应用的这一设置。

            maximum: 86400000 · minimum: 1000
          • wake_daily_atoptionalstring | null

            每天的某个 UTC 时刻 (HH:MM)，在此时唤醒应用中处于休眠状态的键控实例和有状态服务的实例，让它们完成等待唤醒才能做的工作（比如数据库维护）；节点根据应用请求创建和删除的实例只会被请求唤醒。唤醒本身不算活动：唤醒后运行的东西才算，运行完毕后实例会再次休眠。此外，无论这里怎么设置，有状态服务的实例都会为其 PostgreSQL 服务器 pg_cron 任务的下一次运行而被唤醒。null（默认）：不唤醒。数据库的 wake_daily_at 就是其应用的这一设置。

            pattern: ^([01][0-9]|2[0-3]):[0-5][0-9]$
        • keysrequired

          以下之一：

          • object
          • null
        • egressobject | nullrequired

          与沙箱相同的出站规则（default、allow、deny、http、inject），没有时为 null；按调用给出的原样保存（PATCH 会像节点那样按键逐个合并）。规则立即生效，不产生新版本：服务该应用的节点会把它们应用到其组内的每个实例上，包括现有的实例（运行中的实例对其已有连接也生效）和之后创建的实例；键控实例不受这些规则约束。控制平面只检查它们是不是由这些键组成、不超过 256 KiB 的对象：规则的内容由节点在应用时检查，节点读不懂其规则的实例，所有出站流量都会被拒绝（节点日志会说明原因）。

          • defaultoptionalallow或deny或null
          • allowoptionalarray | null
          • denyoptionalarray | null
          • httpoptionalarray | null
          • injectoptionalarray | null
          • deny_portsoptionalarray | null

            任何连接都到达不了的端口，TCP 或 UDP，无论连往哪里，也无论规则的其他部分怎么说。浏览器会话的规则总是包含 25、465、587 以及矿池监听的端口（3333、4444、5555、7777、14444、45700）：无论其规则如何修改，控制平面都会把它们加上。

        • metadata映射，值为stringrequired
        • logsobjectrequired

          应用日志包含哪些内容，每一项为给出的值或默认值 (AppLogSettings)。

          • outputbooleanrequired
          • keepbooleanrequired
          • requestsobjectrequired
            • sample_ratenumberrequired
              maximum: 1 · minimum: 0
            • keep_errorsbooleanrequired
        • publicbooleanrequired

          是否在其默认域名 (url) 上响应。

        • depends_on数组，元素为objectrequired
          • servicestringrequired
          • conditionstringrequired
        • networkobjectrequired
          • aliases数组，元素为stringrequired
          • endpoint_modestringrequired
        • drivesoptional数组，元素为object

          其实例挂载的云盘 (AppCreate.drives)：没有指定时为空列表 []。

          • drivestringrequired
          • pathstringrequired
          • modestringrequired
        • key_drivesoptional数组，元素为object

          每个键的实例自有的云盘 (AppCreate.key_drives)：没有给出时为空列表 []。

          • namestringrequired
          • pathstringrequired
          • size_bytesinteger | nullrequired
            format: int64
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • runtimeoptional

          运行时设置 (AppCreate.runtime)。null：没有。

          以下之一：

          • Runtime
            • ulimits映射，值为RuntimeLimitGivenrequired
            • sysctls映射，值为stringrequired
            • tmpfs数组，元素为objectrequired
              • pathstringrequired
              • size_bytesinteger | nullrequired
              • modeintegerrequired
            • dnsobjectrequired
              • servers数组，元素为stringrequired
              • search数组，元素为stringrequired
              • options数组，元素为stringrequired
            • shm_size_bytesinteger | nullrequired
          • null
        • tracesoptionalobject

          应用请求的链路追踪包含哪些内容，每一项为给出的值或默认值 (AppTraceSettings)：sample_rate 为 0 时不产生任何 span。

          • sample_ratenumberrequired
            maximum: 1 · minimum: 0
          • trust_incomingbooleanrequired
    • volumes数组，元素为objectrequired

      服务挂载的项目存储卷。

      • modelstring | nullrequired

        它在模型中的名称。null：为有状态服务挂载但未命名卷的路径创建的。

      • namestringrequired

        它在项目中的名称。

      • idstring | nullrequired

        null：尚未创建 (to_make)。

        pattern: ^vol-
      • sharedbooleanrequired

        有多个服务挂载它，或者某个服务有多个实例：每个服务的每个实例同时挂载它。

      • statusto_make或made或there或externalrequired

        to_make：导入会创建它（试运行时对将要创建的存储卷这样说明）；made：本次导入创建了它；there：之前的导入创建了它，或者已有同名的存储卷；external：模型把它标为 external，而项目中已有它。

      • used_by数组，元素为stringrequired
    • secrets数组，元素为objectrequired

      模型中授予服务的 secrets。

      • modelstringrequired

        它在模型中的名称。

      • namestringrequired

        保存它的项目机密：即模型中的名称，其中机密名称不允许的每个字符都写成下划线。

      • therebooleanrequired

        项目中是否已有它。导入（非试运行）时如果它还不存在，会被拒绝，返回 404 secret_not_found。

      • used_by数组，元素为stringrequired
    • left_out数组，元素为objectrequired

      属于未启用 profile 的服务，导入不会处理它们。

      • namestringrequired
      • profiles数组，元素为stringrequired
    • absent数组，元素为stringrequired

      项目中有而模型中没有的服务：保持原样。

    • deploystring | nullrequired

      导入触发的部署 (GET /v1/deploys/{id})。null：试运行，或者没有服务需要新版本。

      pattern: ^dpl-
  • accountsoptional数组，元素为object

    随 sole_owner 返回：该用户是唯一所有者的那些账户。

    • idstringrequired
      pattern: ^acct-[0-9a-hjkmnp-tv-z]{16}$
    • namestringrequired

403

key_scope：密钥没有 write 权限范围，或者调用给了应用一个它原本没有的机密，而密钥没有 admin 权限范围；needs_api_key；app_limit_reached：账户的应用数已达到套餐允许的上限；env_limit_reached：环境变量和机密合计超过套餐允许单个应用拥有的数量；secret_limit_reached：调用将创建的版本会让其实例获得的项目机密（环境变量和文件合计）超过套餐允许单个沙箱获得的量（GET /v1/billing 的 max_sandbox_secrets_bytes），且比现在获得的更多（param 为超出上限的位置：secrets.<VARIABLE> 或 files[n].secret；项目部署时前面再加上 services.<name>.）；错误信息会指明上限；plan_size_exceeded：实例大于套餐允许的最大沙箱（param 为 size）；plan_cap_reached：给出的 scale.max_instances 或 scale.min_instances 超过了套餐允许应用在一个区域内请求的数量（param 为 app_instances；错误信息会给出套餐的数值），或者账户在过去一小时内创建的应用和版本已达到上限（param 为 app_creates_per_hour；retryable，带 Retry-After）；spend_limit_reached、balance_used_up：在受限的项目中，会创建版本的调用（带 image 的创建、修改版本的构成、部署）会在构建任何东西之前被拒绝，错误码和措辞与在该项目中创建沙箱时相同；不创建版本的调用照常接受，项目解除限制后，同一调用也会被接受；account_held：账户因付款问题被冻结，除 GET /v1/account 外，用它的密钥发起的所有调用都会这样被拒绝，而且在检查权限范围之前就拒绝 (x-error-codes)；secret_host_not_allowed：按调用修改后的应用出站规则，会通过 inject 把机密发往它不允许去的主机（param 为 egress.inject[n].host；在调用给出规则或创建版本时检查），或者将创建的版本会用一个不允许发往镜像仓库的机密拉取镜像（param 为 image_pull_secret）；与 error 并列的 allowed_hosts 列出机密可以去的地方。
JSON
  • errorobjectrequired
    • typestringrequired
    • codestringrequired
    • messagestringrequired
    • paramstring | nullrequired
    • retryablebooleanrequired
    • request_idstringrequired
    • docs_urlstring | nullrequired
  • move_idoptionalstring

    随 already_moving 返回：该沙箱正在进行的迁移。

  • upgrade_idoptionalstring

    随 upgrade_in_progress（该键尚未结束的升级）、upgrade_started（已开始的升级）和 rollback_gone（回退被拒绝的那次升级）返回：即那次升级。

    pattern: ^upg-[0-9a-hjkmnp-tv-z]{16}$
  • moveoptionalobject

    随 move_over、move_going_back 和 move_taken_over 返回 (POST /internal/moves/{id}/cancel)：迁移的当前状态。

    • objectstringrequired
    • idstringrequired
      pattern: ^mov-[0-9a-hjkmnp-tv-z]{16}$
    • sandbox_idstringrequired
    • project_idstringrequired
    • fromobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • toobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • epochintegerrequired

      迁移开始时表中记录的沙箱纪元：旧节点在这个纪元释放它，新节点在纪元加一时接管它，旧节点在纪元加二时收回它，从对象存储接管则在纪元加三时。

      minimum: 1
    • stepstringrequired

      迁移的进展：releasing（正在请旧节点释放它；表中记录它在旧节点上）、taking_over（正在请新节点接管它；表中记录它在新节点上）、reclaiming（新节点拒绝了它，正在请旧节点收回）、restoring（旧节点没有保留它的任何东西，正从对象存储接管）、done（已在新节点上）、failed（留在原处，或回到了原处，或停在某个时间无法消除的故障或运营方的取消发生时所在的位置：error 说明原因）。

    • whystringrequired

      发起迁移的原因：运营方的迁移、撤离或恢复。

    • wakebooleanrequired

      新节点是否唤醒它：按调用的指定，或按迁移开始时它的状态（是否在运行）。

    • from_storebooleanrequired

      新节点只从对象存储接管它。

    • releaseobject | nullrequired

      旧节点释放时的响应（sandboxd/openapi/openapi.json，releaseSandbox），不含释放所用的密钥；响应之前为 null。

    • takeoverobject | nullrequired

      结束迁移的那次接管的响应（节点文档中的 takeoverSandbox）：磁盘和内存来自哪里 (source)、各用了多长时间 (ms)、memory；之前为 null。

    • errorrequired

      失败的迁移：失败原因（如果被带回旧节点，则为新节点的拒绝原因）；已完成的迁移：null；进行中的迁移：如果当前步骤要再次请求，则为该步骤上次得到的答复。

      以下之一：

      • object
      • null
    • attemptsintegerrequired

      当前步骤已请求了多少次，仍没有得到确定的答复。

      minimum: 0
    • next_attempt_atstring | nullrequired

      该步骤何时再次请求；不在等待时为 null。

      format: date-time
    • batchstring | nullrequired

      它所属的撤离 (evc-…) 或恢复 (rcv-…)。

    • created_atstringrequired
      format: date-time
    • updated_atstringrequired
      format: date-time
    • ended_atstring | nullrequired
      format: date-time
  • lease_untiloptionalstring

    随 lease_held 返回：节点最后获得的租约最晚可以持有到何时，再加上让节点察觉租约到期所需的时间（在此之前 recoverNode 会被拒绝）。

    format: date-time
  • activeoptionalobject | null

    随 standby 返回：备用副本最后一次读取租约时的活动副本；没有副本持有租约时为 null。

    • namestringrequired
    • urlstringrequired
    • termintegerrequired
      minimum: 1
  • allowed_hostsoptionalarray | null

    随 secret_host_not_allowed 返回：机密可以发往的主机，即机密上设置的主机；没有设置时为 null（节点的 SecretHosts）。

  • problemsoptional数组，元素为object

    随 invalid_definition 返回：定义中的每个问题，各附其位置和内容。

    • atstringrequired

      在定义中的位置，用点分隔的路径 (services.web.port)；针对整个定义时为空。

    • messagestringrequired
  • reportoptionalobject

    随 compose_refused 返回：导入的报告，说明拒绝了什么、为什么以及要改什么。

    • objectcompose_importrequired
    • namestring | nullrequired

      模型的 name：即每个服务的标签 compose.project。null：模型没有名称。

    • dry_runbooleanrequired
    • strictbooleanrequired
    • profiles数组，元素为stringrequired
    • treatmentsobjectrequired

      报告中每种处理方式各有多少项。

      • doneintegerrequired
        minimum: 0
      • adaptedintegerrequired
        minimum: 0
      • ignoredintegerrequired
        minimum: 0
      • refusedintegerrequired
        minimum: 0
    • items数组，元素为objectrequired

      模型的顶层元素：name，以及每个卷、网络、config、secret 和扩展。

      • atstringrequired

        在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

      • treatmentdone或adapted或ignored或refusedrequired

        done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

      • whystringrequired
      • changestring | nullrequired

        被拒绝的项：要改什么。其他情况为 null。

    • services数组，元素为objectrequired

      导入所采纳的服务，按模型中的顺序。

      • namestringrequired

        服务的名称，也是其应用的名称。

      • app_idstring | nullrequired

        其应用。null：试运行，且项目中没有该服务。

        pattern: ^app-
      • statuscreated或changed或unchangedrequired

        导入对其应用做了（试运行时为将会做）什么：创建、写入变化的部分，或什么都不做。

      • kindservice或jobrequired

        job：模型中有服务等待它完成，它会在每次需要它的部署中运行到结束。

      • statefulbooleanrequired

        它挂载自己的存储卷：只有一个实例，由该实例持有存储卷。

      • versionbooleanrequired

        导入的部署是否为它创建版本：即解析引用后其版本的构成与当前版本不同。

      • items数组，元素为objectrequired
        • atstringrequired

          在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

        • treatmentdone或adapted或ignored或refusedrequired

          done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

        • whystringrequired
        • changestring | nullrequired

          被拒绝的项：要改什么。其他情况为 null。

      • appobjectrequired

        导入写入的服务应用字段：其版本的构成，以及立即生效的设置。

        • imagestring | nullrequired

          应用下一个版本的构成，连同其后的七个字段：即其最新版本的构成，加上此后的修改。null：应用没有镜像，也没有版本。

        • image_pull_secretstring | nullrequired

          保存镜像仓库凭据的机密的名称。任何响应都不包含其值。null：没有。

        • start_commandrequired

          以下之一：

          • StartCommand
          • null
        • start_argsrequired

          放在镜像 ENTRYPOINT 之后、取代其 CMD 的内容。null：使用镜像的 CMD，或者整个 start_command。

          以下之一：

          • array<string>
          • null
        • portinteger | nullrequired
        • readyobjectrequired

          判断实例已启动的方式，版本的模板会在实例启动后保存：三者必须恰好给出一个。前两种从实例外部检查，所以服务必须监听所有地址 (0.0.0.0)。

          • httpoptionalstring

            一个以 / 开头的路径：在应用端口上对它发起 GET，返回 200 到 399 之间的状态码。

          • tcpoptionaltrue

            应用端口接受连接。

          • commandoptional

            在实例中执行成功的一条命令。由实例的 shell 运行：参数列表会被写成一行交给它。

            以下之一：

            • string
            • array<string>
        • env映射，值为stringrequired
        • secrets映射，值为stringrequired

          机密的名称。任何响应都不包含值。

        • sizeobjectrequired

          单个实例最多能使用的资源。按实际用量计费。

          • vcpusintegerrequired
            minimum: 1
          • memory_bytesintegerrequired

            偶数个 MiB（即节点为虚拟机加载内存所用的 2 MiB 页的整数倍），以字节表示。其他任何大小都返回 400 invalid_field（param 为 size.memory_bytes）：没有节点会创建这种大小的实例，正如没有节点会创建这种大小的沙箱（节点的 SandboxLimitsCreate.memory_bytes）。

            minimum: 134217728
        • volumes数组，元素为objectrequired
          • volumestringrequired
          • pathstringrequired
          • read_onlybooleanrequired
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • kindstringrequired
        • files数组，元素为objectrequired
          • pathstringrequired
          • modeintegerrequired
          • uidintegerrequired
          • gidintegerrequired
          • contentoptionalstring
          • secretoptionalstring
        • userstring | nullrequired
        • working_dirstring | nullrequired
        • stoprequired

          以下之一：

          • ServiceStop
            • signalstring | nullrequired
            • grace_msinteger | nullrequired
          • null
        • hostnamestring | nullrequired
        • regions数组，元素为stringrequired

          按 na、eu、ap 的顺序。

        • scaleobjectrequired
          • min_instancesintegerrequired

            无论有没有请求，应用在一个区域内保持运行的实例数：即下限。该区域服务该应用的节点按分摊 max_instances 的方式分摊它（两个节点、下限为 2：各一个；下限为 1：一个，在最先尝试的节点上；下限为 5：三个和两个），不在线的节点由其他节点补足。节点在收到通知时就创建自己那部分，而不是等到第一个请求，也不会因为空闲而停止或删除这些实例；它们按运行中的实例计量。0（未设置时的值）：没有下限。调低后，超出部分的实例从那一刻起视为空闲，并像空闲实例一样被停止和删除。最多为 max_instances（如果给出），且不超过账户套餐允许应用在一个区域请求的数量（caps.app_instances.limit：5、50 和 500）：超出会被拒绝，返回 403 plan_cap_reached。

            minimum: 0
          • max_instancesinteger | nullrequired

            应用在一个区域内最多有多少个实例：由该区域服务该应用的节点分摊。最多为账户套餐允许应用请求的数量（caps.app_instances.limit：免费版 5，付费版 500）：超出会被拒绝，返回 403 plan_cap_reached；在允许的套餐上请求的数值会保留，但受当前套餐数值的限制。null：未指定数量的应用使用套餐的数值（caps.app_instances.default：免费版 2，付费版 50），如果 min_instances 更大则用它。告诉节点的数值，不超过账户除其他运行中资源外还能容纳的运行量，也不少于应用当前运行的实例数。

            minimum: 1
          • concurrencyinteger | nullrequired

            单个实例同时处理的上限：边缘节点发给它的请求，加上它在项目网络上打开的连接（经由其服务的地址，节点会按连接把它们分给各个实例；或者直接连到它自己的地址）。达到上限的实例即为已满，更多的请求会创建新实例。null（未设置时的值）：没有上限。此时节点会在现有实例的 CPU 或内存接近其规格时增加实例，应用不必猜一个数字；一次只处理一个请求的服务应设为 1。

            maximum: 1000 · minimum: 1
          • sleep_after_msinteger | nullrequired

            实例在没有请求时最多等待多久就停止，单位为毫秒。在这个上限以内，节点根据应用自己的流量选择等待时间：在应用最近一段时间里两次请求之间的间隔上，比较多运行一秒空闲与停止再恢复所花的 CPU 时间，选出成本最低的等待时间；这样，请求间隔比停止成本还短的应用会一直运行，请求间隔很长的应用则在最后一个响应结束后立即停止（0：总是立即停止）。null（未设置时的值）：平台的上限，三秒。设置过 100（2026年10月28日之前的默认值）的应用，从那天起视为 null。持续停止的实例会在 delete_after_ms 后被其节点删除，下一个需要实例的请求会得到一个新实例；min_instances 保持运行的实例既不会停止也不会删除。

            maximum: 600000 · minimum: 0
          • sleep_notice_msinteger | nullrequired

            在实例因空闲而停止之前多久，向连接到其客户机 /run/sbx/awake 的程序发送一行 sleep N，单位为毫秒：程序可以借此写出手头的数据、关闭连接，或者发起保持，从而推迟停止。无论它们是否响应，停止都会在这段时间之后到来；没有程序连接时，不会推迟。键控实例也会收到通知。0 或 null：不通知（默认）。

            maximum: 60000 · minimum: 0
          • sleep_hold_max_msintegerrequired

            实例中的程序发起的保持，在空闲时间到期后最多还能让实例运行多久，单位为毫秒：程序连接 /run/sbx/awake，如果某个请求在响应之后还有后续工作，就在响应它之前发送 +，工作完成后发送 -（或关闭连接，或退出）；最后一个保持解除 sleep_after_ms 之后，实例停止。超过这个时间，无论有什么保持，实例都会停止；如果 sleep_notice_ms 要求通知，会先向已连接的程序发送 sleep N cap。保持期间实例在运行，并按运行计量。0：不理会保持。null：30000（默认）。

            maximum: 900000 · minimum: 0
          • delete_after_msinteger | nullrequired

            实例空闲多久后被删除，与停止使用同一个起算点：下一个需要实例的请求会得到一个新实例，即版本模板的克隆，不含被删除的实例在内存和磁盘中积累的东西（需要长久保存的数据请放在存储卷或数据库中）。一秒到一小时，一小时是平台的时间，也是上限：超出会被拒绝 (400 invalid_field)，需要保持预热的实例应计入 min_instances。null（未设置时的值）：节点的一小时 (--app-delete-after-seconds)。修改对应用现有的实例和之后创建的实例同样有效：每个节点至少每秒按应用当前的时间检查一次每个实例。不适用于应用的键控实例，键控实例用 keys.delete_after_idle_ms。

            maximum: 3600000 · minimum: 1000
          • suspend_after_msoptionalinteger | null

            已停止的实例在保存内存并真正休眠之前保持暂停多久，单位为毫秒：暂停时，下一个请求在一两毫秒内得到响应，内存照常计量；休眠时，唤醒要多几毫秒，只计量它保存的数据。节点会把它限制在节点让任何实例保持暂停的最长时间内（十分钟）；宿主机内存不足、其他虚拟机需要占用槽位，或者有人请求休眠，都会让它更早休眠。null（默认）：节点的最长时间。数据库的 suspend_after_seconds 就是其应用的这一设置。

            maximum: 86400000 · minimum: 1000
          • wake_daily_atoptionalstring | null

            每天的某个 UTC 时刻 (HH:MM)，在此时唤醒应用中处于休眠状态的键控实例和有状态服务的实例，让它们完成等待唤醒才能做的工作（比如数据库维护）；节点根据应用请求创建和删除的实例只会被请求唤醒。唤醒本身不算活动：唤醒后运行的东西才算，运行完毕后实例会再次休眠。此外，无论这里怎么设置，有状态服务的实例都会为其 PostgreSQL 服务器 pg_cron 任务的下一次运行而被唤醒。null（默认）：不唤醒。数据库的 wake_daily_at 就是其应用的这一设置。

            pattern: ^([01][0-9]|2[0-3]):[0-5][0-9]$
        • keysrequired

          以下之一：

          • object
          • null
        • egressobject | nullrequired

          与沙箱相同的出站规则（default、allow、deny、http、inject），没有时为 null；按调用给出的原样保存（PATCH 会像节点那样按键逐个合并）。规则立即生效，不产生新版本：服务该应用的节点会把它们应用到其组内的每个实例上，包括现有的实例（运行中的实例对其已有连接也生效）和之后创建的实例；键控实例不受这些规则约束。控制平面只检查它们是不是由这些键组成、不超过 256 KiB 的对象：规则的内容由节点在应用时检查，节点读不懂其规则的实例，所有出站流量都会被拒绝（节点日志会说明原因）。

          • defaultoptionalallow或deny或null
          • allowoptionalarray | null
          • denyoptionalarray | null
          • httpoptionalarray | null
          • injectoptionalarray | null
          • deny_portsoptionalarray | null

            任何连接都到达不了的端口，TCP 或 UDP，无论连往哪里，也无论规则的其他部分怎么说。浏览器会话的规则总是包含 25、465、587 以及矿池监听的端口（3333、4444、5555、7777、14444、45700）：无论其规则如何修改，控制平面都会把它们加上。

        • metadata映射，值为stringrequired
        • logsobjectrequired

          应用日志包含哪些内容，每一项为给出的值或默认值 (AppLogSettings)。

          • outputbooleanrequired
          • keepbooleanrequired
          • requestsobjectrequired
            • sample_ratenumberrequired
              maximum: 1 · minimum: 0
            • keep_errorsbooleanrequired
        • publicbooleanrequired

          是否在其默认域名 (url) 上响应。

        • depends_on数组，元素为objectrequired
          • servicestringrequired
          • conditionstringrequired
        • networkobjectrequired
          • aliases数组，元素为stringrequired
          • endpoint_modestringrequired
        • drivesoptional数组，元素为object

          其实例挂载的云盘 (AppCreate.drives)：没有指定时为空列表 []。

          • drivestringrequired
          • pathstringrequired
          • modestringrequired
        • key_drivesoptional数组，元素为object

          每个键的实例自有的云盘 (AppCreate.key_drives)：没有给出时为空列表 []。

          • namestringrequired
          • pathstringrequired
          • size_bytesinteger | nullrequired
            format: int64
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • runtimeoptional

          运行时设置 (AppCreate.runtime)。null：没有。

          以下之一：

          • Runtime
            • ulimits映射，值为RuntimeLimitGivenrequired
            • sysctls映射，值为stringrequired
            • tmpfs数组，元素为objectrequired
              • pathstringrequired
              • size_bytesinteger | nullrequired
              • modeintegerrequired
            • dnsobjectrequired
              • servers数组，元素为stringrequired
              • search数组，元素为stringrequired
              • options数组，元素为stringrequired
            • shm_size_bytesinteger | nullrequired
          • null
        • tracesoptionalobject

          应用请求的链路追踪包含哪些内容，每一项为给出的值或默认值 (AppTraceSettings)：sample_rate 为 0 时不产生任何 span。

          • sample_ratenumberrequired
            maximum: 1 · minimum: 0
          • trust_incomingbooleanrequired
    • volumes数组，元素为objectrequired

      服务挂载的项目存储卷。

      • modelstring | nullrequired

        它在模型中的名称。null：为有状态服务挂载但未命名卷的路径创建的。

      • namestringrequired

        它在项目中的名称。

      • idstring | nullrequired

        null：尚未创建 (to_make)。

        pattern: ^vol-
      • sharedbooleanrequired

        有多个服务挂载它，或者某个服务有多个实例：每个服务的每个实例同时挂载它。

      • statusto_make或made或there或externalrequired

        to_make：导入会创建它（试运行时对将要创建的存储卷这样说明）；made：本次导入创建了它；there：之前的导入创建了它，或者已有同名的存储卷；external：模型把它标为 external，而项目中已有它。

      • used_by数组，元素为stringrequired
    • secrets数组，元素为objectrequired

      模型中授予服务的 secrets。

      • modelstringrequired

        它在模型中的名称。

      • namestringrequired

        保存它的项目机密：即模型中的名称，其中机密名称不允许的每个字符都写成下划线。

      • therebooleanrequired

        项目中是否已有它。导入（非试运行）时如果它还不存在，会被拒绝，返回 404 secret_not_found。

      • used_by数组，元素为stringrequired
    • left_out数组，元素为objectrequired

      属于未启用 profile 的服务，导入不会处理它们。

      • namestringrequired
      • profiles数组，元素为stringrequired
    • absent数组，元素为stringrequired

      项目中有而模型中没有的服务：保持原样。

    • deploystring | nullrequired

      导入触发的部署 (GET /v1/deploys/{id})。null：试运行，或者没有服务需要新版本。

      pattern: ^dpl-
  • accountsoptional数组，元素为object

    随 sole_owner 返回：该用户是唯一所有者的那些账户。

    • idstringrequired
      pattern: ^acct-[0-9a-hjkmnp-tv-z]{16}$
    • namestringrequired

404

secret_not_found：模型中的某个机密还不是项目的机密（param 为 model.secrets.<name>；错误信息会指明需要设置的项目机密）。
JSON
  • errorobjectrequired
    • typestringrequired
    • codestringrequired
    • messagestringrequired
    • paramstring | nullrequired
    • retryablebooleanrequired
    • request_idstringrequired
    • docs_urlstring | nullrequired
  • move_idoptionalstring

    随 already_moving 返回：该沙箱正在进行的迁移。

  • upgrade_idoptionalstring

    随 upgrade_in_progress（该键尚未结束的升级）、upgrade_started（已开始的升级）和 rollback_gone（回退被拒绝的那次升级）返回：即那次升级。

    pattern: ^upg-[0-9a-hjkmnp-tv-z]{16}$
  • moveoptionalobject

    随 move_over、move_going_back 和 move_taken_over 返回 (POST /internal/moves/{id}/cancel)：迁移的当前状态。

    • objectstringrequired
    • idstringrequired
      pattern: ^mov-[0-9a-hjkmnp-tv-z]{16}$
    • sandbox_idstringrequired
    • project_idstringrequired
    • fromobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • toobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • epochintegerrequired

      迁移开始时表中记录的沙箱纪元：旧节点在这个纪元释放它，新节点在纪元加一时接管它，旧节点在纪元加二时收回它，从对象存储接管则在纪元加三时。

      minimum: 1
    • stepstringrequired

      迁移的进展：releasing（正在请旧节点释放它；表中记录它在旧节点上）、taking_over（正在请新节点接管它；表中记录它在新节点上）、reclaiming（新节点拒绝了它，正在请旧节点收回）、restoring（旧节点没有保留它的任何东西，正从对象存储接管）、done（已在新节点上）、failed（留在原处，或回到了原处，或停在某个时间无法消除的故障或运营方的取消发生时所在的位置：error 说明原因）。

    • whystringrequired

      发起迁移的原因：运营方的迁移、撤离或恢复。

    • wakebooleanrequired

      新节点是否唤醒它：按调用的指定，或按迁移开始时它的状态（是否在运行）。

    • from_storebooleanrequired

      新节点只从对象存储接管它。

    • releaseobject | nullrequired

      旧节点释放时的响应（sandboxd/openapi/openapi.json，releaseSandbox），不含释放所用的密钥；响应之前为 null。

    • takeoverobject | nullrequired

      结束迁移的那次接管的响应（节点文档中的 takeoverSandbox）：磁盘和内存来自哪里 (source)、各用了多长时间 (ms)、memory；之前为 null。

    • errorrequired

      失败的迁移：失败原因（如果被带回旧节点，则为新节点的拒绝原因）；已完成的迁移：null；进行中的迁移：如果当前步骤要再次请求，则为该步骤上次得到的答复。

      以下之一：

      • object
      • null
    • attemptsintegerrequired

      当前步骤已请求了多少次，仍没有得到确定的答复。

      minimum: 0
    • next_attempt_atstring | nullrequired

      该步骤何时再次请求；不在等待时为 null。

      format: date-time
    • batchstring | nullrequired

      它所属的撤离 (evc-…) 或恢复 (rcv-…)。

    • created_atstringrequired
      format: date-time
    • updated_atstringrequired
      format: date-time
    • ended_atstring | nullrequired
      format: date-time
  • lease_untiloptionalstring

    随 lease_held 返回：节点最后获得的租约最晚可以持有到何时，再加上让节点察觉租约到期所需的时间（在此之前 recoverNode 会被拒绝）。

    format: date-time
  • activeoptionalobject | null

    随 standby 返回：备用副本最后一次读取租约时的活动副本；没有副本持有租约时为 null。

    • namestringrequired
    • urlstringrequired
    • termintegerrequired
      minimum: 1
  • allowed_hostsoptionalarray | null

    随 secret_host_not_allowed 返回：机密可以发往的主机，即机密上设置的主机；没有设置时为 null（节点的 SecretHosts）。

  • problemsoptional数组，元素为object

    随 invalid_definition 返回：定义中的每个问题，各附其位置和内容。

    • atstringrequired

      在定义中的位置，用点分隔的路径 (services.web.port)；针对整个定义时为空。

    • messagestringrequired
  • reportoptionalobject

    随 compose_refused 返回：导入的报告，说明拒绝了什么、为什么以及要改什么。

    • objectcompose_importrequired
    • namestring | nullrequired

      模型的 name：即每个服务的标签 compose.project。null：模型没有名称。

    • dry_runbooleanrequired
    • strictbooleanrequired
    • profiles数组，元素为stringrequired
    • treatmentsobjectrequired

      报告中每种处理方式各有多少项。

      • doneintegerrequired
        minimum: 0
      • adaptedintegerrequired
        minimum: 0
      • ignoredintegerrequired
        minimum: 0
      • refusedintegerrequired
        minimum: 0
    • items数组，元素为objectrequired

      模型的顶层元素：name，以及每个卷、网络、config、secret 和扩展。

      • atstringrequired

        在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

      • treatmentdone或adapted或ignored或refusedrequired

        done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

      • whystringrequired
      • changestring | nullrequired

        被拒绝的项：要改什么。其他情况为 null。

    • services数组，元素为objectrequired

      导入所采纳的服务，按模型中的顺序。

      • namestringrequired

        服务的名称，也是其应用的名称。

      • app_idstring | nullrequired

        其应用。null：试运行，且项目中没有该服务。

        pattern: ^app-
      • statuscreated或changed或unchangedrequired

        导入对其应用做了（试运行时为将会做）什么：创建、写入变化的部分，或什么都不做。

      • kindservice或jobrequired

        job：模型中有服务等待它完成，它会在每次需要它的部署中运行到结束。

      • statefulbooleanrequired

        它挂载自己的存储卷：只有一个实例，由该实例持有存储卷。

      • versionbooleanrequired

        导入的部署是否为它创建版本：即解析引用后其版本的构成与当前版本不同。

      • items数组，元素为objectrequired
        • atstringrequired

          在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

        • treatmentdone或adapted或ignored或refusedrequired

          done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

        • whystringrequired
        • changestring | nullrequired

          被拒绝的项：要改什么。其他情况为 null。

      • appobjectrequired

        导入写入的服务应用字段：其版本的构成，以及立即生效的设置。

        • imagestring | nullrequired

          应用下一个版本的构成，连同其后的七个字段：即其最新版本的构成，加上此后的修改。null：应用没有镜像，也没有版本。

        • image_pull_secretstring | nullrequired

          保存镜像仓库凭据的机密的名称。任何响应都不包含其值。null：没有。

        • start_commandrequired

          以下之一：

          • StartCommand
          • null
        • start_argsrequired

          放在镜像 ENTRYPOINT 之后、取代其 CMD 的内容。null：使用镜像的 CMD，或者整个 start_command。

          以下之一：

          • array<string>
          • null
        • portinteger | nullrequired
        • readyobjectrequired

          判断实例已启动的方式，版本的模板会在实例启动后保存：三者必须恰好给出一个。前两种从实例外部检查，所以服务必须监听所有地址 (0.0.0.0)。

          • httpoptionalstring

            一个以 / 开头的路径：在应用端口上对它发起 GET，返回 200 到 399 之间的状态码。

          • tcpoptionaltrue

            应用端口接受连接。

          • commandoptional

            在实例中执行成功的一条命令。由实例的 shell 运行：参数列表会被写成一行交给它。

            以下之一：

            • string
            • array<string>
        • env映射，值为stringrequired
        • secrets映射，值为stringrequired

          机密的名称。任何响应都不包含值。

        • sizeobjectrequired

          单个实例最多能使用的资源。按实际用量计费。

          • vcpusintegerrequired
            minimum: 1
          • memory_bytesintegerrequired

            偶数个 MiB（即节点为虚拟机加载内存所用的 2 MiB 页的整数倍），以字节表示。其他任何大小都返回 400 invalid_field（param 为 size.memory_bytes）：没有节点会创建这种大小的实例，正如没有节点会创建这种大小的沙箱（节点的 SandboxLimitsCreate.memory_bytes）。

            minimum: 134217728
        • volumes数组，元素为objectrequired
          • volumestringrequired
          • pathstringrequired
          • read_onlybooleanrequired
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • kindstringrequired
        • files数组，元素为objectrequired
          • pathstringrequired
          • modeintegerrequired
          • uidintegerrequired
          • gidintegerrequired
          • contentoptionalstring
          • secretoptionalstring
        • userstring | nullrequired
        • working_dirstring | nullrequired
        • stoprequired

          以下之一：

          • ServiceStop
            • signalstring | nullrequired
            • grace_msinteger | nullrequired
          • null
        • hostnamestring | nullrequired
        • regions数组，元素为stringrequired

          按 na、eu、ap 的顺序。

        • scaleobjectrequired
          • min_instancesintegerrequired

            无论有没有请求，应用在一个区域内保持运行的实例数：即下限。该区域服务该应用的节点按分摊 max_instances 的方式分摊它（两个节点、下限为 2：各一个；下限为 1：一个，在最先尝试的节点上；下限为 5：三个和两个），不在线的节点由其他节点补足。节点在收到通知时就创建自己那部分，而不是等到第一个请求，也不会因为空闲而停止或删除这些实例；它们按运行中的实例计量。0（未设置时的值）：没有下限。调低后，超出部分的实例从那一刻起视为空闲，并像空闲实例一样被停止和删除。最多为 max_instances（如果给出），且不超过账户套餐允许应用在一个区域请求的数量（caps.app_instances.limit：5、50 和 500）：超出会被拒绝，返回 403 plan_cap_reached。

            minimum: 0
          • max_instancesinteger | nullrequired

            应用在一个区域内最多有多少个实例：由该区域服务该应用的节点分摊。最多为账户套餐允许应用请求的数量（caps.app_instances.limit：免费版 5，付费版 500）：超出会被拒绝，返回 403 plan_cap_reached；在允许的套餐上请求的数值会保留，但受当前套餐数值的限制。null：未指定数量的应用使用套餐的数值（caps.app_instances.default：免费版 2，付费版 50），如果 min_instances 更大则用它。告诉节点的数值，不超过账户除其他运行中资源外还能容纳的运行量，也不少于应用当前运行的实例数。

            minimum: 1
          • concurrencyinteger | nullrequired

            单个实例同时处理的上限：边缘节点发给它的请求，加上它在项目网络上打开的连接（经由其服务的地址，节点会按连接把它们分给各个实例；或者直接连到它自己的地址）。达到上限的实例即为已满，更多的请求会创建新实例。null（未设置时的值）：没有上限。此时节点会在现有实例的 CPU 或内存接近其规格时增加实例，应用不必猜一个数字；一次只处理一个请求的服务应设为 1。

            maximum: 1000 · minimum: 1
          • sleep_after_msinteger | nullrequired

            实例在没有请求时最多等待多久就停止，单位为毫秒。在这个上限以内，节点根据应用自己的流量选择等待时间：在应用最近一段时间里两次请求之间的间隔上，比较多运行一秒空闲与停止再恢复所花的 CPU 时间，选出成本最低的等待时间；这样，请求间隔比停止成本还短的应用会一直运行，请求间隔很长的应用则在最后一个响应结束后立即停止（0：总是立即停止）。null（未设置时的值）：平台的上限，三秒。设置过 100（2026年10月28日之前的默认值）的应用，从那天起视为 null。持续停止的实例会在 delete_after_ms 后被其节点删除，下一个需要实例的请求会得到一个新实例；min_instances 保持运行的实例既不会停止也不会删除。

            maximum: 600000 · minimum: 0
          • sleep_notice_msinteger | nullrequired

            在实例因空闲而停止之前多久，向连接到其客户机 /run/sbx/awake 的程序发送一行 sleep N，单位为毫秒：程序可以借此写出手头的数据、关闭连接，或者发起保持，从而推迟停止。无论它们是否响应，停止都会在这段时间之后到来；没有程序连接时，不会推迟。键控实例也会收到通知。0 或 null：不通知（默认）。

            maximum: 60000 · minimum: 0
          • sleep_hold_max_msintegerrequired

            实例中的程序发起的保持，在空闲时间到期后最多还能让实例运行多久，单位为毫秒：程序连接 /run/sbx/awake，如果某个请求在响应之后还有后续工作，就在响应它之前发送 +，工作完成后发送 -（或关闭连接，或退出）；最后一个保持解除 sleep_after_ms 之后，实例停止。超过这个时间，无论有什么保持，实例都会停止；如果 sleep_notice_ms 要求通知，会先向已连接的程序发送 sleep N cap。保持期间实例在运行，并按运行计量。0：不理会保持。null：30000（默认）。

            maximum: 900000 · minimum: 0
          • delete_after_msinteger | nullrequired

            实例空闲多久后被删除，与停止使用同一个起算点：下一个需要实例的请求会得到一个新实例，即版本模板的克隆，不含被删除的实例在内存和磁盘中积累的东西（需要长久保存的数据请放在存储卷或数据库中）。一秒到一小时，一小时是平台的时间，也是上限：超出会被拒绝 (400 invalid_field)，需要保持预热的实例应计入 min_instances。null（未设置时的值）：节点的一小时 (--app-delete-after-seconds)。修改对应用现有的实例和之后创建的实例同样有效：每个节点至少每秒按应用当前的时间检查一次每个实例。不适用于应用的键控实例，键控实例用 keys.delete_after_idle_ms。

            maximum: 3600000 · minimum: 1000
          • suspend_after_msoptionalinteger | null

            已停止的实例在保存内存并真正休眠之前保持暂停多久，单位为毫秒：暂停时，下一个请求在一两毫秒内得到响应，内存照常计量；休眠时，唤醒要多几毫秒，只计量它保存的数据。节点会把它限制在节点让任何实例保持暂停的最长时间内（十分钟）；宿主机内存不足、其他虚拟机需要占用槽位，或者有人请求休眠，都会让它更早休眠。null（默认）：节点的最长时间。数据库的 suspend_after_seconds 就是其应用的这一设置。

            maximum: 86400000 · minimum: 1000
          • wake_daily_atoptionalstring | null

            每天的某个 UTC 时刻 (HH:MM)，在此时唤醒应用中处于休眠状态的键控实例和有状态服务的实例，让它们完成等待唤醒才能做的工作（比如数据库维护）；节点根据应用请求创建和删除的实例只会被请求唤醒。唤醒本身不算活动：唤醒后运行的东西才算，运行完毕后实例会再次休眠。此外，无论这里怎么设置，有状态服务的实例都会为其 PostgreSQL 服务器 pg_cron 任务的下一次运行而被唤醒。null（默认）：不唤醒。数据库的 wake_daily_at 就是其应用的这一设置。

            pattern: ^([01][0-9]|2[0-3]):[0-5][0-9]$
        • keysrequired

          以下之一：

          • object
          • null
        • egressobject | nullrequired

          与沙箱相同的出站规则（default、allow、deny、http、inject），没有时为 null；按调用给出的原样保存（PATCH 会像节点那样按键逐个合并）。规则立即生效，不产生新版本：服务该应用的节点会把它们应用到其组内的每个实例上，包括现有的实例（运行中的实例对其已有连接也生效）和之后创建的实例；键控实例不受这些规则约束。控制平面只检查它们是不是由这些键组成、不超过 256 KiB 的对象：规则的内容由节点在应用时检查，节点读不懂其规则的实例，所有出站流量都会被拒绝（节点日志会说明原因）。

          • defaultoptionalallow或deny或null
          • allowoptionalarray | null
          • denyoptionalarray | null
          • httpoptionalarray | null
          • injectoptionalarray | null
          • deny_portsoptionalarray | null

            任何连接都到达不了的端口，TCP 或 UDP，无论连往哪里，也无论规则的其他部分怎么说。浏览器会话的规则总是包含 25、465、587 以及矿池监听的端口（3333、4444、5555、7777、14444、45700）：无论其规则如何修改，控制平面都会把它们加上。

        • metadata映射，值为stringrequired
        • logsobjectrequired

          应用日志包含哪些内容，每一项为给出的值或默认值 (AppLogSettings)。

          • outputbooleanrequired
          • keepbooleanrequired
          • requestsobjectrequired
            • sample_ratenumberrequired
              maximum: 1 · minimum: 0
            • keep_errorsbooleanrequired
        • publicbooleanrequired

          是否在其默认域名 (url) 上响应。

        • depends_on数组，元素为objectrequired
          • servicestringrequired
          • conditionstringrequired
        • networkobjectrequired
          • aliases数组，元素为stringrequired
          • endpoint_modestringrequired
        • drivesoptional数组，元素为object

          其实例挂载的云盘 (AppCreate.drives)：没有指定时为空列表 []。

          • drivestringrequired
          • pathstringrequired
          • modestringrequired
        • key_drivesoptional数组，元素为object

          每个键的实例自有的云盘 (AppCreate.key_drives)：没有给出时为空列表 []。

          • namestringrequired
          • pathstringrequired
          • size_bytesinteger | nullrequired
            format: int64
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • runtimeoptional

          运行时设置 (AppCreate.runtime)。null：没有。

          以下之一：

          • Runtime
            • ulimits映射，值为RuntimeLimitGivenrequired
            • sysctls映射，值为stringrequired
            • tmpfs数组，元素为objectrequired
              • pathstringrequired
              • size_bytesinteger | nullrequired
              • modeintegerrequired
            • dnsobjectrequired
              • servers数组，元素为stringrequired
              • search数组，元素为stringrequired
              • options数组，元素为stringrequired
            • shm_size_bytesinteger | nullrequired
          • null
        • tracesoptionalobject

          应用请求的链路追踪包含哪些内容，每一项为给出的值或默认值 (AppTraceSettings)：sample_rate 为 0 时不产生任何 span。

          • sample_ratenumberrequired
            maximum: 1 · minimum: 0
          • trust_incomingbooleanrequired
    • volumes数组，元素为objectrequired

      服务挂载的项目存储卷。

      • modelstring | nullrequired

        它在模型中的名称。null：为有状态服务挂载但未命名卷的路径创建的。

      • namestringrequired

        它在项目中的名称。

      • idstring | nullrequired

        null：尚未创建 (to_make)。

        pattern: ^vol-
      • sharedbooleanrequired

        有多个服务挂载它，或者某个服务有多个实例：每个服务的每个实例同时挂载它。

      • statusto_make或made或there或externalrequired

        to_make：导入会创建它（试运行时对将要创建的存储卷这样说明）；made：本次导入创建了它；there：之前的导入创建了它，或者已有同名的存储卷；external：模型把它标为 external，而项目中已有它。

      • used_by数组，元素为stringrequired
    • secrets数组，元素为objectrequired

      模型中授予服务的 secrets。

      • modelstringrequired

        它在模型中的名称。

      • namestringrequired

        保存它的项目机密：即模型中的名称，其中机密名称不允许的每个字符都写成下划线。

      • therebooleanrequired

        项目中是否已有它。导入（非试运行）时如果它还不存在，会被拒绝，返回 404 secret_not_found。

      • used_by数组，元素为stringrequired
    • left_out数组，元素为objectrequired

      属于未启用 profile 的服务，导入不会处理它们。

      • namestringrequired
      • profiles数组，元素为stringrequired
    • absent数组，元素为stringrequired

      项目中有而模型中没有的服务：保持原样。

    • deploystring | nullrequired

      导入触发的部署 (GET /v1/deploys/{id})。null：试运行，或者没有服务需要新版本。

      pattern: ^dpl-
  • accountsoptional数组，元素为object

    随 sole_owner 返回：该用户是唯一所有者的那些账户。

    • idstringrequired
      pattern: ^acct-[0-9a-hjkmnp-tv-z]{16}$
    • namestringrequired

409

idempotency_key_reused；app_changed：写入期间，导入涉及的某个应用一再被其他调用修改 (retryable)；name_taken：在此期间另一个调用创建了与某个服务同名的应用。
JSON
  • errorobjectrequired
    • typestringrequired
    • codestringrequired
    • messagestringrequired
    • paramstring | nullrequired
    • retryablebooleanrequired
    • request_idstringrequired
    • docs_urlstring | nullrequired
  • move_idoptionalstring

    随 already_moving 返回：该沙箱正在进行的迁移。

  • upgrade_idoptionalstring

    随 upgrade_in_progress（该键尚未结束的升级）、upgrade_started（已开始的升级）和 rollback_gone（回退被拒绝的那次升级）返回：即那次升级。

    pattern: ^upg-[0-9a-hjkmnp-tv-z]{16}$
  • moveoptionalobject

    随 move_over、move_going_back 和 move_taken_over 返回 (POST /internal/moves/{id}/cancel)：迁移的当前状态。

    • objectstringrequired
    • idstringrequired
      pattern: ^mov-[0-9a-hjkmnp-tv-z]{16}$
    • sandbox_idstringrequired
    • project_idstringrequired
    • fromobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • toobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • epochintegerrequired

      迁移开始时表中记录的沙箱纪元：旧节点在这个纪元释放它，新节点在纪元加一时接管它，旧节点在纪元加二时收回它，从对象存储接管则在纪元加三时。

      minimum: 1
    • stepstringrequired

      迁移的进展：releasing（正在请旧节点释放它；表中记录它在旧节点上）、taking_over（正在请新节点接管它；表中记录它在新节点上）、reclaiming（新节点拒绝了它，正在请旧节点收回）、restoring（旧节点没有保留它的任何东西，正从对象存储接管）、done（已在新节点上）、failed（留在原处，或回到了原处，或停在某个时间无法消除的故障或运营方的取消发生时所在的位置：error 说明原因）。

    • whystringrequired

      发起迁移的原因：运营方的迁移、撤离或恢复。

    • wakebooleanrequired

      新节点是否唤醒它：按调用的指定，或按迁移开始时它的状态（是否在运行）。

    • from_storebooleanrequired

      新节点只从对象存储接管它。

    • releaseobject | nullrequired

      旧节点释放时的响应（sandboxd/openapi/openapi.json，releaseSandbox），不含释放所用的密钥；响应之前为 null。

    • takeoverobject | nullrequired

      结束迁移的那次接管的响应（节点文档中的 takeoverSandbox）：磁盘和内存来自哪里 (source)、各用了多长时间 (ms)、memory；之前为 null。

    • errorrequired

      失败的迁移：失败原因（如果被带回旧节点，则为新节点的拒绝原因）；已完成的迁移：null；进行中的迁移：如果当前步骤要再次请求，则为该步骤上次得到的答复。

      以下之一：

      • object
      • null
    • attemptsintegerrequired

      当前步骤已请求了多少次，仍没有得到确定的答复。

      minimum: 0
    • next_attempt_atstring | nullrequired

      该步骤何时再次请求；不在等待时为 null。

      format: date-time
    • batchstring | nullrequired

      它所属的撤离 (evc-…) 或恢复 (rcv-…)。

    • created_atstringrequired
      format: date-time
    • updated_atstringrequired
      format: date-time
    • ended_atstring | nullrequired
      format: date-time
  • lease_untiloptionalstring

    随 lease_held 返回：节点最后获得的租约最晚可以持有到何时，再加上让节点察觉租约到期所需的时间（在此之前 recoverNode 会被拒绝）。

    format: date-time
  • activeoptionalobject | null

    随 standby 返回：备用副本最后一次读取租约时的活动副本；没有副本持有租约时为 null。

    • namestringrequired
    • urlstringrequired
    • termintegerrequired
      minimum: 1
  • allowed_hostsoptionalarray | null

    随 secret_host_not_allowed 返回：机密可以发往的主机，即机密上设置的主机；没有设置时为 null（节点的 SecretHosts）。

  • problemsoptional数组，元素为object

    随 invalid_definition 返回：定义中的每个问题，各附其位置和内容。

    • atstringrequired

      在定义中的位置，用点分隔的路径 (services.web.port)；针对整个定义时为空。

    • messagestringrequired
  • reportoptionalobject

    随 compose_refused 返回：导入的报告，说明拒绝了什么、为什么以及要改什么。

    • objectcompose_importrequired
    • namestring | nullrequired

      模型的 name：即每个服务的标签 compose.project。null：模型没有名称。

    • dry_runbooleanrequired
    • strictbooleanrequired
    • profiles数组，元素为stringrequired
    • treatmentsobjectrequired

      报告中每种处理方式各有多少项。

      • doneintegerrequired
        minimum: 0
      • adaptedintegerrequired
        minimum: 0
      • ignoredintegerrequired
        minimum: 0
      • refusedintegerrequired
        minimum: 0
    • items数组，元素为objectrequired

      模型的顶层元素：name，以及每个卷、网络、config、secret 和扩展。

      • atstringrequired

        在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

      • treatmentdone或adapted或ignored或refusedrequired

        done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

      • whystringrequired
      • changestring | nullrequired

        被拒绝的项：要改什么。其他情况为 null。

    • services数组，元素为objectrequired

      导入所采纳的服务，按模型中的顺序。

      • namestringrequired

        服务的名称，也是其应用的名称。

      • app_idstring | nullrequired

        其应用。null：试运行，且项目中没有该服务。

        pattern: ^app-
      • statuscreated或changed或unchangedrequired

        导入对其应用做了（试运行时为将会做）什么：创建、写入变化的部分，或什么都不做。

      • kindservice或jobrequired

        job：模型中有服务等待它完成，它会在每次需要它的部署中运行到结束。

      • statefulbooleanrequired

        它挂载自己的存储卷：只有一个实例，由该实例持有存储卷。

      • versionbooleanrequired

        导入的部署是否为它创建版本：即解析引用后其版本的构成与当前版本不同。

      • items数组，元素为objectrequired
        • atstringrequired

          在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

        • treatmentdone或adapted或ignored或refusedrequired

          done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

        • whystringrequired
        • changestring | nullrequired

          被拒绝的项：要改什么。其他情况为 null。

      • appobjectrequired

        导入写入的服务应用字段：其版本的构成，以及立即生效的设置。

        • imagestring | nullrequired

          应用下一个版本的构成，连同其后的七个字段：即其最新版本的构成，加上此后的修改。null：应用没有镜像，也没有版本。

        • image_pull_secretstring | nullrequired

          保存镜像仓库凭据的机密的名称。任何响应都不包含其值。null：没有。

        • start_commandrequired

          以下之一：

          • StartCommand
          • null
        • start_argsrequired

          放在镜像 ENTRYPOINT 之后、取代其 CMD 的内容。null：使用镜像的 CMD，或者整个 start_command。

          以下之一：

          • array<string>
          • null
        • portinteger | nullrequired
        • readyobjectrequired

          判断实例已启动的方式，版本的模板会在实例启动后保存：三者必须恰好给出一个。前两种从实例外部检查，所以服务必须监听所有地址 (0.0.0.0)。

          • httpoptionalstring

            一个以 / 开头的路径：在应用端口上对它发起 GET，返回 200 到 399 之间的状态码。

          • tcpoptionaltrue

            应用端口接受连接。

          • commandoptional

            在实例中执行成功的一条命令。由实例的 shell 运行：参数列表会被写成一行交给它。

            以下之一：

            • string
            • array<string>
        • env映射，值为stringrequired
        • secrets映射，值为stringrequired

          机密的名称。任何响应都不包含值。

        • sizeobjectrequired

          单个实例最多能使用的资源。按实际用量计费。

          • vcpusintegerrequired
            minimum: 1
          • memory_bytesintegerrequired

            偶数个 MiB（即节点为虚拟机加载内存所用的 2 MiB 页的整数倍），以字节表示。其他任何大小都返回 400 invalid_field（param 为 size.memory_bytes）：没有节点会创建这种大小的实例，正如没有节点会创建这种大小的沙箱（节点的 SandboxLimitsCreate.memory_bytes）。

            minimum: 134217728
        • volumes数组，元素为objectrequired
          • volumestringrequired
          • pathstringrequired
          • read_onlybooleanrequired
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • kindstringrequired
        • files数组，元素为objectrequired
          • pathstringrequired
          • modeintegerrequired
          • uidintegerrequired
          • gidintegerrequired
          • contentoptionalstring
          • secretoptionalstring
        • userstring | nullrequired
        • working_dirstring | nullrequired
        • stoprequired

          以下之一：

          • ServiceStop
            • signalstring | nullrequired
            • grace_msinteger | nullrequired
          • null
        • hostnamestring | nullrequired
        • regions数组，元素为stringrequired

          按 na、eu、ap 的顺序。

        • scaleobjectrequired
          • min_instancesintegerrequired

            无论有没有请求，应用在一个区域内保持运行的实例数：即下限。该区域服务该应用的节点按分摊 max_instances 的方式分摊它（两个节点、下限为 2：各一个；下限为 1：一个，在最先尝试的节点上；下限为 5：三个和两个），不在线的节点由其他节点补足。节点在收到通知时就创建自己那部分，而不是等到第一个请求，也不会因为空闲而停止或删除这些实例；它们按运行中的实例计量。0（未设置时的值）：没有下限。调低后，超出部分的实例从那一刻起视为空闲，并像空闲实例一样被停止和删除。最多为 max_instances（如果给出），且不超过账户套餐允许应用在一个区域请求的数量（caps.app_instances.limit：5、50 和 500）：超出会被拒绝，返回 403 plan_cap_reached。

            minimum: 0
          • max_instancesinteger | nullrequired

            应用在一个区域内最多有多少个实例：由该区域服务该应用的节点分摊。最多为账户套餐允许应用请求的数量（caps.app_instances.limit：免费版 5，付费版 500）：超出会被拒绝，返回 403 plan_cap_reached；在允许的套餐上请求的数值会保留，但受当前套餐数值的限制。null：未指定数量的应用使用套餐的数值（caps.app_instances.default：免费版 2，付费版 50），如果 min_instances 更大则用它。告诉节点的数值，不超过账户除其他运行中资源外还能容纳的运行量，也不少于应用当前运行的实例数。

            minimum: 1
          • concurrencyinteger | nullrequired

            单个实例同时处理的上限：边缘节点发给它的请求，加上它在项目网络上打开的连接（经由其服务的地址，节点会按连接把它们分给各个实例；或者直接连到它自己的地址）。达到上限的实例即为已满，更多的请求会创建新实例。null（未设置时的值）：没有上限。此时节点会在现有实例的 CPU 或内存接近其规格时增加实例，应用不必猜一个数字；一次只处理一个请求的服务应设为 1。

            maximum: 1000 · minimum: 1
          • sleep_after_msinteger | nullrequired

            实例在没有请求时最多等待多久就停止，单位为毫秒。在这个上限以内，节点根据应用自己的流量选择等待时间：在应用最近一段时间里两次请求之间的间隔上，比较多运行一秒空闲与停止再恢复所花的 CPU 时间，选出成本最低的等待时间；这样，请求间隔比停止成本还短的应用会一直运行，请求间隔很长的应用则在最后一个响应结束后立即停止（0：总是立即停止）。null（未设置时的值）：平台的上限，三秒。设置过 100（2026年10月28日之前的默认值）的应用，从那天起视为 null。持续停止的实例会在 delete_after_ms 后被其节点删除，下一个需要实例的请求会得到一个新实例；min_instances 保持运行的实例既不会停止也不会删除。

            maximum: 600000 · minimum: 0
          • sleep_notice_msinteger | nullrequired

            在实例因空闲而停止之前多久，向连接到其客户机 /run/sbx/awake 的程序发送一行 sleep N，单位为毫秒：程序可以借此写出手头的数据、关闭连接，或者发起保持，从而推迟停止。无论它们是否响应，停止都会在这段时间之后到来；没有程序连接时，不会推迟。键控实例也会收到通知。0 或 null：不通知（默认）。

            maximum: 60000 · minimum: 0
          • sleep_hold_max_msintegerrequired

            实例中的程序发起的保持，在空闲时间到期后最多还能让实例运行多久，单位为毫秒：程序连接 /run/sbx/awake，如果某个请求在响应之后还有后续工作，就在响应它之前发送 +，工作完成后发送 -（或关闭连接，或退出）；最后一个保持解除 sleep_after_ms 之后，实例停止。超过这个时间，无论有什么保持，实例都会停止；如果 sleep_notice_ms 要求通知，会先向已连接的程序发送 sleep N cap。保持期间实例在运行，并按运行计量。0：不理会保持。null：30000（默认）。

            maximum: 900000 · minimum: 0
          • delete_after_msinteger | nullrequired

            实例空闲多久后被删除，与停止使用同一个起算点：下一个需要实例的请求会得到一个新实例，即版本模板的克隆，不含被删除的实例在内存和磁盘中积累的东西（需要长久保存的数据请放在存储卷或数据库中）。一秒到一小时，一小时是平台的时间，也是上限：超出会被拒绝 (400 invalid_field)，需要保持预热的实例应计入 min_instances。null（未设置时的值）：节点的一小时 (--app-delete-after-seconds)。修改对应用现有的实例和之后创建的实例同样有效：每个节点至少每秒按应用当前的时间检查一次每个实例。不适用于应用的键控实例，键控实例用 keys.delete_after_idle_ms。

            maximum: 3600000 · minimum: 1000
          • suspend_after_msoptionalinteger | null

            已停止的实例在保存内存并真正休眠之前保持暂停多久，单位为毫秒：暂停时，下一个请求在一两毫秒内得到响应，内存照常计量；休眠时，唤醒要多几毫秒，只计量它保存的数据。节点会把它限制在节点让任何实例保持暂停的最长时间内（十分钟）；宿主机内存不足、其他虚拟机需要占用槽位，或者有人请求休眠，都会让它更早休眠。null（默认）：节点的最长时间。数据库的 suspend_after_seconds 就是其应用的这一设置。

            maximum: 86400000 · minimum: 1000
          • wake_daily_atoptionalstring | null

            每天的某个 UTC 时刻 (HH:MM)，在此时唤醒应用中处于休眠状态的键控实例和有状态服务的实例，让它们完成等待唤醒才能做的工作（比如数据库维护）；节点根据应用请求创建和删除的实例只会被请求唤醒。唤醒本身不算活动：唤醒后运行的东西才算，运行完毕后实例会再次休眠。此外，无论这里怎么设置，有状态服务的实例都会为其 PostgreSQL 服务器 pg_cron 任务的下一次运行而被唤醒。null（默认）：不唤醒。数据库的 wake_daily_at 就是其应用的这一设置。

            pattern: ^([01][0-9]|2[0-3]):[0-5][0-9]$
        • keysrequired

          以下之一：

          • object
          • null
        • egressobject | nullrequired

          与沙箱相同的出站规则（default、allow、deny、http、inject），没有时为 null；按调用给出的原样保存（PATCH 会像节点那样按键逐个合并）。规则立即生效，不产生新版本：服务该应用的节点会把它们应用到其组内的每个实例上，包括现有的实例（运行中的实例对其已有连接也生效）和之后创建的实例；键控实例不受这些规则约束。控制平面只检查它们是不是由这些键组成、不超过 256 KiB 的对象：规则的内容由节点在应用时检查，节点读不懂其规则的实例，所有出站流量都会被拒绝（节点日志会说明原因）。

          • defaultoptionalallow或deny或null
          • allowoptionalarray | null
          • denyoptionalarray | null
          • httpoptionalarray | null
          • injectoptionalarray | null
          • deny_portsoptionalarray | null

            任何连接都到达不了的端口，TCP 或 UDP，无论连往哪里，也无论规则的其他部分怎么说。浏览器会话的规则总是包含 25、465、587 以及矿池监听的端口（3333、4444、5555、7777、14444、45700）：无论其规则如何修改，控制平面都会把它们加上。

        • metadata映射，值为stringrequired
        • logsobjectrequired

          应用日志包含哪些内容，每一项为给出的值或默认值 (AppLogSettings)。

          • outputbooleanrequired
          • keepbooleanrequired
          • requestsobjectrequired
            • sample_ratenumberrequired
              maximum: 1 · minimum: 0
            • keep_errorsbooleanrequired
        • publicbooleanrequired

          是否在其默认域名 (url) 上响应。

        • depends_on数组，元素为objectrequired
          • servicestringrequired
          • conditionstringrequired
        • networkobjectrequired
          • aliases数组，元素为stringrequired
          • endpoint_modestringrequired
        • drivesoptional数组，元素为object

          其实例挂载的云盘 (AppCreate.drives)：没有指定时为空列表 []。

          • drivestringrequired
          • pathstringrequired
          • modestringrequired
        • key_drivesoptional数组，元素为object

          每个键的实例自有的云盘 (AppCreate.key_drives)：没有给出时为空列表 []。

          • namestringrequired
          • pathstringrequired
          • size_bytesinteger | nullrequired
            format: int64
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • runtimeoptional

          运行时设置 (AppCreate.runtime)。null：没有。

          以下之一：

          • Runtime
            • ulimits映射，值为RuntimeLimitGivenrequired
            • sysctls映射，值为stringrequired
            • tmpfs数组，元素为objectrequired
              • pathstringrequired
              • size_bytesinteger | nullrequired
              • modeintegerrequired
            • dnsobjectrequired
              • servers数组，元素为stringrequired
              • search数组，元素为stringrequired
              • options数组，元素为stringrequired
            • shm_size_bytesinteger | nullrequired
          • null
        • tracesoptionalobject

          应用请求的链路追踪包含哪些内容，每一项为给出的值或默认值 (AppTraceSettings)：sample_rate 为 0 时不产生任何 span。

          • sample_ratenumberrequired
            maximum: 1 · minimum: 0
          • trust_incomingbooleanrequired
    • volumes数组，元素为objectrequired

      服务挂载的项目存储卷。

      • modelstring | nullrequired

        它在模型中的名称。null：为有状态服务挂载但未命名卷的路径创建的。

      • namestringrequired

        它在项目中的名称。

      • idstring | nullrequired

        null：尚未创建 (to_make)。

        pattern: ^vol-
      • sharedbooleanrequired

        有多个服务挂载它，或者某个服务有多个实例：每个服务的每个实例同时挂载它。

      • statusto_make或made或there或externalrequired

        to_make：导入会创建它（试运行时对将要创建的存储卷这样说明）；made：本次导入创建了它；there：之前的导入创建了它，或者已有同名的存储卷；external：模型把它标为 external，而项目中已有它。

      • used_by数组，元素为stringrequired
    • secrets数组，元素为objectrequired

      模型中授予服务的 secrets。

      • modelstringrequired

        它在模型中的名称。

      • namestringrequired

        保存它的项目机密：即模型中的名称，其中机密名称不允许的每个字符都写成下划线。

      • therebooleanrequired

        项目中是否已有它。导入（非试运行）时如果它还不存在，会被拒绝，返回 404 secret_not_found。

      • used_by数组，元素为stringrequired
    • left_out数组，元素为objectrequired

      属于未启用 profile 的服务，导入不会处理它们。

      • namestringrequired
      • profiles数组，元素为stringrequired
    • absent数组，元素为stringrequired

      项目中有而模型中没有的服务：保持原样。

    • deploystring | nullrequired

      导入触发的部署 (GET /v1/deploys/{id})。null：试运行，或者没有服务需要新版本。

      pattern: ^dpl-
  • accountsoptional数组，元素为object

    随 sole_owner 返回：该用户是唯一所有者的那些账户。

    • idstringrequired
      pattern: ^acct-[0-9a-hjkmnp-tv-z]{16}$
    • namestringrequired

413

body_too_large：模型最大 4 MiB。
JSON
  • errorobjectrequired
    • typestringrequired
    • codestringrequired
    • messagestringrequired
    • paramstring | nullrequired
    • retryablebooleanrequired
    • request_idstringrequired
    • docs_urlstring | nullrequired
  • move_idoptionalstring

    随 already_moving 返回：该沙箱正在进行的迁移。

  • upgrade_idoptionalstring

    随 upgrade_in_progress（该键尚未结束的升级）、upgrade_started（已开始的升级）和 rollback_gone（回退被拒绝的那次升级）返回：即那次升级。

    pattern: ^upg-[0-9a-hjkmnp-tv-z]{16}$
  • moveoptionalobject

    随 move_over、move_going_back 和 move_taken_over 返回 (POST /internal/moves/{id}/cancel)：迁移的当前状态。

    • objectstringrequired
    • idstringrequired
      pattern: ^mov-[0-9a-hjkmnp-tv-z]{16}$
    • sandbox_idstringrequired
    • project_idstringrequired
    • fromobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • toobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • epochintegerrequired

      迁移开始时表中记录的沙箱纪元：旧节点在这个纪元释放它，新节点在纪元加一时接管它，旧节点在纪元加二时收回它，从对象存储接管则在纪元加三时。

      minimum: 1
    • stepstringrequired

      迁移的进展：releasing（正在请旧节点释放它；表中记录它在旧节点上）、taking_over（正在请新节点接管它；表中记录它在新节点上）、reclaiming（新节点拒绝了它，正在请旧节点收回）、restoring（旧节点没有保留它的任何东西，正从对象存储接管）、done（已在新节点上）、failed（留在原处，或回到了原处，或停在某个时间无法消除的故障或运营方的取消发生时所在的位置：error 说明原因）。

    • whystringrequired

      发起迁移的原因：运营方的迁移、撤离或恢复。

    • wakebooleanrequired

      新节点是否唤醒它：按调用的指定，或按迁移开始时它的状态（是否在运行）。

    • from_storebooleanrequired

      新节点只从对象存储接管它。

    • releaseobject | nullrequired

      旧节点释放时的响应（sandboxd/openapi/openapi.json，releaseSandbox），不含释放所用的密钥；响应之前为 null。

    • takeoverobject | nullrequired

      结束迁移的那次接管的响应（节点文档中的 takeoverSandbox）：磁盘和内存来自哪里 (source)、各用了多长时间 (ms)、memory；之前为 null。

    • errorrequired

      失败的迁移：失败原因（如果被带回旧节点，则为新节点的拒绝原因）；已完成的迁移：null；进行中的迁移：如果当前步骤要再次请求，则为该步骤上次得到的答复。

      以下之一：

      • object
      • null
    • attemptsintegerrequired

      当前步骤已请求了多少次，仍没有得到确定的答复。

      minimum: 0
    • next_attempt_atstring | nullrequired

      该步骤何时再次请求；不在等待时为 null。

      format: date-time
    • batchstring | nullrequired

      它所属的撤离 (evc-…) 或恢复 (rcv-…)。

    • created_atstringrequired
      format: date-time
    • updated_atstringrequired
      format: date-time
    • ended_atstring | nullrequired
      format: date-time
  • lease_untiloptionalstring

    随 lease_held 返回：节点最后获得的租约最晚可以持有到何时，再加上让节点察觉租约到期所需的时间（在此之前 recoverNode 会被拒绝）。

    format: date-time
  • activeoptionalobject | null

    随 standby 返回：备用副本最后一次读取租约时的活动副本；没有副本持有租约时为 null。

    • namestringrequired
    • urlstringrequired
    • termintegerrequired
      minimum: 1
  • allowed_hostsoptionalarray | null

    随 secret_host_not_allowed 返回：机密可以发往的主机，即机密上设置的主机；没有设置时为 null（节点的 SecretHosts）。

  • problemsoptional数组，元素为object

    随 invalid_definition 返回：定义中的每个问题，各附其位置和内容。

    • atstringrequired

      在定义中的位置，用点分隔的路径 (services.web.port)；针对整个定义时为空。

    • messagestringrequired
  • reportoptionalobject

    随 compose_refused 返回：导入的报告，说明拒绝了什么、为什么以及要改什么。

    • objectcompose_importrequired
    • namestring | nullrequired

      模型的 name：即每个服务的标签 compose.project。null：模型没有名称。

    • dry_runbooleanrequired
    • strictbooleanrequired
    • profiles数组，元素为stringrequired
    • treatmentsobjectrequired

      报告中每种处理方式各有多少项。

      • doneintegerrequired
        minimum: 0
      • adaptedintegerrequired
        minimum: 0
      • ignoredintegerrequired
        minimum: 0
      • refusedintegerrequired
        minimum: 0
    • items数组，元素为objectrequired

      模型的顶层元素：name，以及每个卷、网络、config、secret 和扩展。

      • atstringrequired

        在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

      • treatmentdone或adapted或ignored或refusedrequired

        done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

      • whystringrequired
      • changestring | nullrequired

        被拒绝的项：要改什么。其他情况为 null。

    • services数组，元素为objectrequired

      导入所采纳的服务，按模型中的顺序。

      • namestringrequired

        服务的名称，也是其应用的名称。

      • app_idstring | nullrequired

        其应用。null：试运行，且项目中没有该服务。

        pattern: ^app-
      • statuscreated或changed或unchangedrequired

        导入对其应用做了（试运行时为将会做）什么：创建、写入变化的部分，或什么都不做。

      • kindservice或jobrequired

        job：模型中有服务等待它完成，它会在每次需要它的部署中运行到结束。

      • statefulbooleanrequired

        它挂载自己的存储卷：只有一个实例，由该实例持有存储卷。

      • versionbooleanrequired

        导入的部署是否为它创建版本：即解析引用后其版本的构成与当前版本不同。

      • items数组，元素为objectrequired
        • atstringrequired

          在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

        • treatmentdone或adapted或ignored或refusedrequired

          done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

        • whystringrequired
        • changestring | nullrequired

          被拒绝的项：要改什么。其他情况为 null。

      • appobjectrequired

        导入写入的服务应用字段：其版本的构成，以及立即生效的设置。

        • imagestring | nullrequired

          应用下一个版本的构成，连同其后的七个字段：即其最新版本的构成，加上此后的修改。null：应用没有镜像，也没有版本。

        • image_pull_secretstring | nullrequired

          保存镜像仓库凭据的机密的名称。任何响应都不包含其值。null：没有。

        • start_commandrequired

          以下之一：

          • StartCommand
          • null
        • start_argsrequired

          放在镜像 ENTRYPOINT 之后、取代其 CMD 的内容。null：使用镜像的 CMD，或者整个 start_command。

          以下之一：

          • array<string>
          • null
        • portinteger | nullrequired
        • readyobjectrequired

          判断实例已启动的方式，版本的模板会在实例启动后保存：三者必须恰好给出一个。前两种从实例外部检查，所以服务必须监听所有地址 (0.0.0.0)。

          • httpoptionalstring

            一个以 / 开头的路径：在应用端口上对它发起 GET，返回 200 到 399 之间的状态码。

          • tcpoptionaltrue

            应用端口接受连接。

          • commandoptional

            在实例中执行成功的一条命令。由实例的 shell 运行：参数列表会被写成一行交给它。

            以下之一：

            • string
            • array<string>
        • env映射，值为stringrequired
        • secrets映射，值为stringrequired

          机密的名称。任何响应都不包含值。

        • sizeobjectrequired

          单个实例最多能使用的资源。按实际用量计费。

          • vcpusintegerrequired
            minimum: 1
          • memory_bytesintegerrequired

            偶数个 MiB（即节点为虚拟机加载内存所用的 2 MiB 页的整数倍），以字节表示。其他任何大小都返回 400 invalid_field（param 为 size.memory_bytes）：没有节点会创建这种大小的实例，正如没有节点会创建这种大小的沙箱（节点的 SandboxLimitsCreate.memory_bytes）。

            minimum: 134217728
        • volumes数组，元素为objectrequired
          • volumestringrequired
          • pathstringrequired
          • read_onlybooleanrequired
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • kindstringrequired
        • files数组，元素为objectrequired
          • pathstringrequired
          • modeintegerrequired
          • uidintegerrequired
          • gidintegerrequired
          • contentoptionalstring
          • secretoptionalstring
        • userstring | nullrequired
        • working_dirstring | nullrequired
        • stoprequired

          以下之一：

          • ServiceStop
            • signalstring | nullrequired
            • grace_msinteger | nullrequired
          • null
        • hostnamestring | nullrequired
        • regions数组，元素为stringrequired

          按 na、eu、ap 的顺序。

        • scaleobjectrequired
          • min_instancesintegerrequired

            无论有没有请求，应用在一个区域内保持运行的实例数：即下限。该区域服务该应用的节点按分摊 max_instances 的方式分摊它（两个节点、下限为 2：各一个；下限为 1：一个，在最先尝试的节点上；下限为 5：三个和两个），不在线的节点由其他节点补足。节点在收到通知时就创建自己那部分，而不是等到第一个请求，也不会因为空闲而停止或删除这些实例；它们按运行中的实例计量。0（未设置时的值）：没有下限。调低后，超出部分的实例从那一刻起视为空闲，并像空闲实例一样被停止和删除。最多为 max_instances（如果给出），且不超过账户套餐允许应用在一个区域请求的数量（caps.app_instances.limit：5、50 和 500）：超出会被拒绝，返回 403 plan_cap_reached。

            minimum: 0
          • max_instancesinteger | nullrequired

            应用在一个区域内最多有多少个实例：由该区域服务该应用的节点分摊。最多为账户套餐允许应用请求的数量（caps.app_instances.limit：免费版 5，付费版 500）：超出会被拒绝，返回 403 plan_cap_reached；在允许的套餐上请求的数值会保留，但受当前套餐数值的限制。null：未指定数量的应用使用套餐的数值（caps.app_instances.default：免费版 2，付费版 50），如果 min_instances 更大则用它。告诉节点的数值，不超过账户除其他运行中资源外还能容纳的运行量，也不少于应用当前运行的实例数。

            minimum: 1
          • concurrencyinteger | nullrequired

            单个实例同时处理的上限：边缘节点发给它的请求，加上它在项目网络上打开的连接（经由其服务的地址，节点会按连接把它们分给各个实例；或者直接连到它自己的地址）。达到上限的实例即为已满，更多的请求会创建新实例。null（未设置时的值）：没有上限。此时节点会在现有实例的 CPU 或内存接近其规格时增加实例，应用不必猜一个数字；一次只处理一个请求的服务应设为 1。

            maximum: 1000 · minimum: 1
          • sleep_after_msinteger | nullrequired

            实例在没有请求时最多等待多久就停止，单位为毫秒。在这个上限以内，节点根据应用自己的流量选择等待时间：在应用最近一段时间里两次请求之间的间隔上，比较多运行一秒空闲与停止再恢复所花的 CPU 时间，选出成本最低的等待时间；这样，请求间隔比停止成本还短的应用会一直运行，请求间隔很长的应用则在最后一个响应结束后立即停止（0：总是立即停止）。null（未设置时的值）：平台的上限，三秒。设置过 100（2026年10月28日之前的默认值）的应用，从那天起视为 null。持续停止的实例会在 delete_after_ms 后被其节点删除，下一个需要实例的请求会得到一个新实例；min_instances 保持运行的实例既不会停止也不会删除。

            maximum: 600000 · minimum: 0
          • sleep_notice_msinteger | nullrequired

            在实例因空闲而停止之前多久，向连接到其客户机 /run/sbx/awake 的程序发送一行 sleep N，单位为毫秒：程序可以借此写出手头的数据、关闭连接，或者发起保持，从而推迟停止。无论它们是否响应，停止都会在这段时间之后到来；没有程序连接时，不会推迟。键控实例也会收到通知。0 或 null：不通知（默认）。

            maximum: 60000 · minimum: 0
          • sleep_hold_max_msintegerrequired

            实例中的程序发起的保持，在空闲时间到期后最多还能让实例运行多久，单位为毫秒：程序连接 /run/sbx/awake，如果某个请求在响应之后还有后续工作，就在响应它之前发送 +，工作完成后发送 -（或关闭连接，或退出）；最后一个保持解除 sleep_after_ms 之后，实例停止。超过这个时间，无论有什么保持，实例都会停止；如果 sleep_notice_ms 要求通知，会先向已连接的程序发送 sleep N cap。保持期间实例在运行，并按运行计量。0：不理会保持。null：30000（默认）。

            maximum: 900000 · minimum: 0
          • delete_after_msinteger | nullrequired

            实例空闲多久后被删除，与停止使用同一个起算点：下一个需要实例的请求会得到一个新实例，即版本模板的克隆，不含被删除的实例在内存和磁盘中积累的东西（需要长久保存的数据请放在存储卷或数据库中）。一秒到一小时，一小时是平台的时间，也是上限：超出会被拒绝 (400 invalid_field)，需要保持预热的实例应计入 min_instances。null（未设置时的值）：节点的一小时 (--app-delete-after-seconds)。修改对应用现有的实例和之后创建的实例同样有效：每个节点至少每秒按应用当前的时间检查一次每个实例。不适用于应用的键控实例，键控实例用 keys.delete_after_idle_ms。

            maximum: 3600000 · minimum: 1000
          • suspend_after_msoptionalinteger | null

            已停止的实例在保存内存并真正休眠之前保持暂停多久，单位为毫秒：暂停时，下一个请求在一两毫秒内得到响应，内存照常计量；休眠时，唤醒要多几毫秒，只计量它保存的数据。节点会把它限制在节点让任何实例保持暂停的最长时间内（十分钟）；宿主机内存不足、其他虚拟机需要占用槽位，或者有人请求休眠，都会让它更早休眠。null（默认）：节点的最长时间。数据库的 suspend_after_seconds 就是其应用的这一设置。

            maximum: 86400000 · minimum: 1000
          • wake_daily_atoptionalstring | null

            每天的某个 UTC 时刻 (HH:MM)，在此时唤醒应用中处于休眠状态的键控实例和有状态服务的实例，让它们完成等待唤醒才能做的工作（比如数据库维护）；节点根据应用请求创建和删除的实例只会被请求唤醒。唤醒本身不算活动：唤醒后运行的东西才算，运行完毕后实例会再次休眠。此外，无论这里怎么设置，有状态服务的实例都会为其 PostgreSQL 服务器 pg_cron 任务的下一次运行而被唤醒。null（默认）：不唤醒。数据库的 wake_daily_at 就是其应用的这一设置。

            pattern: ^([01][0-9]|2[0-3]):[0-5][0-9]$
        • keysrequired

          以下之一：

          • object
          • null
        • egressobject | nullrequired

          与沙箱相同的出站规则（default、allow、deny、http、inject），没有时为 null；按调用给出的原样保存（PATCH 会像节点那样按键逐个合并）。规则立即生效，不产生新版本：服务该应用的节点会把它们应用到其组内的每个实例上，包括现有的实例（运行中的实例对其已有连接也生效）和之后创建的实例；键控实例不受这些规则约束。控制平面只检查它们是不是由这些键组成、不超过 256 KiB 的对象：规则的内容由节点在应用时检查，节点读不懂其规则的实例，所有出站流量都会被拒绝（节点日志会说明原因）。

          • defaultoptionalallow或deny或null
          • allowoptionalarray | null
          • denyoptionalarray | null
          • httpoptionalarray | null
          • injectoptionalarray | null
          • deny_portsoptionalarray | null

            任何连接都到达不了的端口，TCP 或 UDP，无论连往哪里，也无论规则的其他部分怎么说。浏览器会话的规则总是包含 25、465、587 以及矿池监听的端口（3333、4444、5555、7777、14444、45700）：无论其规则如何修改，控制平面都会把它们加上。

        • metadata映射，值为stringrequired
        • logsobjectrequired

          应用日志包含哪些内容，每一项为给出的值或默认值 (AppLogSettings)。

          • outputbooleanrequired
          • keepbooleanrequired
          • requestsobjectrequired
            • sample_ratenumberrequired
              maximum: 1 · minimum: 0
            • keep_errorsbooleanrequired
        • publicbooleanrequired

          是否在其默认域名 (url) 上响应。

        • depends_on数组，元素为objectrequired
          • servicestringrequired
          • conditionstringrequired
        • networkobjectrequired
          • aliases数组，元素为stringrequired
          • endpoint_modestringrequired
        • drivesoptional数组，元素为object

          其实例挂载的云盘 (AppCreate.drives)：没有指定时为空列表 []。

          • drivestringrequired
          • pathstringrequired
          • modestringrequired
        • key_drivesoptional数组，元素为object

          每个键的实例自有的云盘 (AppCreate.key_drives)：没有给出时为空列表 []。

          • namestringrequired
          • pathstringrequired
          • size_bytesinteger | nullrequired
            format: int64
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • runtimeoptional

          运行时设置 (AppCreate.runtime)。null：没有。

          以下之一：

          • Runtime
            • ulimits映射，值为RuntimeLimitGivenrequired
            • sysctls映射，值为stringrequired
            • tmpfs数组，元素为objectrequired
              • pathstringrequired
              • size_bytesinteger | nullrequired
              • modeintegerrequired
            • dnsobjectrequired
              • servers数组，元素为stringrequired
              • search数组，元素为stringrequired
              • options数组，元素为stringrequired
            • shm_size_bytesinteger | nullrequired
          • null
        • tracesoptionalobject

          应用请求的链路追踪包含哪些内容，每一项为给出的值或默认值 (AppTraceSettings)：sample_rate 为 0 时不产生任何 span。

          • sample_ratenumberrequired
            maximum: 1 · minimum: 0
          • trust_incomingbooleanrequired
    • volumes数组，元素为objectrequired

      服务挂载的项目存储卷。

      • modelstring | nullrequired

        它在模型中的名称。null：为有状态服务挂载但未命名卷的路径创建的。

      • namestringrequired

        它在项目中的名称。

      • idstring | nullrequired

        null：尚未创建 (to_make)。

        pattern: ^vol-
      • sharedbooleanrequired

        有多个服务挂载它，或者某个服务有多个实例：每个服务的每个实例同时挂载它。

      • statusto_make或made或there或externalrequired

        to_make：导入会创建它（试运行时对将要创建的存储卷这样说明）；made：本次导入创建了它；there：之前的导入创建了它，或者已有同名的存储卷；external：模型把它标为 external，而项目中已有它。

      • used_by数组，元素为stringrequired
    • secrets数组，元素为objectrequired

      模型中授予服务的 secrets。

      • modelstringrequired

        它在模型中的名称。

      • namestringrequired

        保存它的项目机密：即模型中的名称，其中机密名称不允许的每个字符都写成下划线。

      • therebooleanrequired

        项目中是否已有它。导入（非试运行）时如果它还不存在，会被拒绝，返回 404 secret_not_found。

      • used_by数组，元素为stringrequired
    • left_out数组，元素为objectrequired

      属于未启用 profile 的服务，导入不会处理它们。

      • namestringrequired
      • profiles数组，元素为stringrequired
    • absent数组，元素为stringrequired

      项目中有而模型中没有的服务：保持原样。

    • deploystring | nullrequired

      导入触发的部署 (GET /v1/deploys/{id})。null：试运行，或者没有服务需要新版本。

      pattern: ^dpl-
  • accountsoptional数组，元素为object

    随 sole_owner 返回：该用户是唯一所有者的那些账户。

    • idstringrequired
      pattern: ^acct-[0-9a-hjkmnp-tv-z]{16}$
    • namestringrequired

503

导入中的某个存储卷无法创建：错误码来自节点（no_capacity，节点不提供共享存储卷时为 not_served_here，node_unavailable）。应用不会被写入；在它之前创建的存储卷归项目所有，再次发起同一调用时会使用它们。
JSON
  • errorobjectrequired
    • typestringrequired
    • codestringrequired
    • messagestringrequired
    • paramstring | nullrequired
    • retryablebooleanrequired
    • request_idstringrequired
    • docs_urlstring | nullrequired
  • move_idoptionalstring

    随 already_moving 返回：该沙箱正在进行的迁移。

  • upgrade_idoptionalstring

    随 upgrade_in_progress（该键尚未结束的升级）、upgrade_started（已开始的升级）和 rollback_gone（回退被拒绝的那次升级）返回：即那次升级。

    pattern: ^upg-[0-9a-hjkmnp-tv-z]{16}$
  • moveoptionalobject

    随 move_over、move_going_back 和 move_taken_over 返回 (POST /internal/moves/{id}/cancel)：迁移的当前状态。

    • objectstringrequired
    • idstringrequired
      pattern: ^mov-[0-9a-hjkmnp-tv-z]{16}$
    • sandbox_idstringrequired
    • project_idstringrequired
    • fromobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • toobjectrequired
      • idstringrequired
      • namestring | nullrequired

        节点名称；之后已从记录中消失的节点为 null。

    • epochintegerrequired

      迁移开始时表中记录的沙箱纪元：旧节点在这个纪元释放它，新节点在纪元加一时接管它，旧节点在纪元加二时收回它，从对象存储接管则在纪元加三时。

      minimum: 1
    • stepstringrequired

      迁移的进展：releasing（正在请旧节点释放它；表中记录它在旧节点上）、taking_over（正在请新节点接管它；表中记录它在新节点上）、reclaiming（新节点拒绝了它，正在请旧节点收回）、restoring（旧节点没有保留它的任何东西，正从对象存储接管）、done（已在新节点上）、failed（留在原处，或回到了原处，或停在某个时间无法消除的故障或运营方的取消发生时所在的位置：error 说明原因）。

    • whystringrequired

      发起迁移的原因：运营方的迁移、撤离或恢复。

    • wakebooleanrequired

      新节点是否唤醒它：按调用的指定，或按迁移开始时它的状态（是否在运行）。

    • from_storebooleanrequired

      新节点只从对象存储接管它。

    • releaseobject | nullrequired

      旧节点释放时的响应（sandboxd/openapi/openapi.json，releaseSandbox），不含释放所用的密钥；响应之前为 null。

    • takeoverobject | nullrequired

      结束迁移的那次接管的响应（节点文档中的 takeoverSandbox）：磁盘和内存来自哪里 (source)、各用了多长时间 (ms)、memory；之前为 null。

    • errorrequired

      失败的迁移：失败原因（如果被带回旧节点，则为新节点的拒绝原因）；已完成的迁移：null；进行中的迁移：如果当前步骤要再次请求，则为该步骤上次得到的答复。

      以下之一：

      • object
      • null
    • attemptsintegerrequired

      当前步骤已请求了多少次，仍没有得到确定的答复。

      minimum: 0
    • next_attempt_atstring | nullrequired

      该步骤何时再次请求；不在等待时为 null。

      format: date-time
    • batchstring | nullrequired

      它所属的撤离 (evc-…) 或恢复 (rcv-…)。

    • created_atstringrequired
      format: date-time
    • updated_atstringrequired
      format: date-time
    • ended_atstring | nullrequired
      format: date-time
  • lease_untiloptionalstring

    随 lease_held 返回：节点最后获得的租约最晚可以持有到何时，再加上让节点察觉租约到期所需的时间（在此之前 recoverNode 会被拒绝）。

    format: date-time
  • activeoptionalobject | null

    随 standby 返回：备用副本最后一次读取租约时的活动副本；没有副本持有租约时为 null。

    • namestringrequired
    • urlstringrequired
    • termintegerrequired
      minimum: 1
  • allowed_hostsoptionalarray | null

    随 secret_host_not_allowed 返回：机密可以发往的主机，即机密上设置的主机；没有设置时为 null（节点的 SecretHosts）。

  • problemsoptional数组，元素为object

    随 invalid_definition 返回：定义中的每个问题，各附其位置和内容。

    • atstringrequired

      在定义中的位置，用点分隔的路径 (services.web.port)；针对整个定义时为空。

    • messagestringrequired
  • reportoptionalobject

    随 compose_refused 返回：导入的报告，说明拒绝了什么、为什么以及要改什么。

    • objectcompose_importrequired
    • namestring | nullrequired

      模型的 name：即每个服务的标签 compose.project。null：模型没有名称。

    • dry_runbooleanrequired
    • strictbooleanrequired
    • profiles数组，元素为stringrequired
    • treatmentsobjectrequired

      报告中每种处理方式各有多少项。

      • doneintegerrequired
        minimum: 0
      • adaptedintegerrequired
        minimum: 0
      • ignoredintegerrequired
        minimum: 0
      • refusedintegerrequired
        minimum: 0
    • items数组，元素为objectrequired

      模型的顶层元素：name，以及每个卷、网络、config、secret 和扩展。

      • atstringrequired

        在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

      • treatmentdone或adapted或ignored或refusedrequired

        done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

      • whystringrequired
      • changestring | nullrequired

        被拒绝的项：要改什么。其他情况为 null。

    • services数组，元素为objectrequired

      导入所采纳的服务，按模型中的顺序。

      • namestringrequired

        服务的名称，也是其应用的名称。

      • app_idstring | nullrequired

        其应用。null：试运行，且项目中没有该服务。

        pattern: ^app-
      • statuscreated或changed或unchangedrequired

        导入对其应用做了（试运行时为将会做）什么：创建、写入变化的部分，或什么都不做。

      • kindservice或jobrequired

        job：模型中有服务等待它完成，它会在每次需要它的部署中运行到结束。

      • statefulbooleanrequired

        它挂载自己的存储卷：只有一个实例，由该实例持有存储卷。

      • versionbooleanrequired

        导入的部署是否为它创建版本：即解析引用后其版本的构成与当前版本不同。

      • items数组，元素为objectrequired
        • atstringrequired

          在模型中的位置：对服务而言，是其属性（ports[0]、depends_on.db、environment.KEY），针对整个服务时为空；对顶层而言，是元素 (volumes.db-data)。

        • treatmentdone或adapted或ignored或refusedrequired

          done：在平台上含义相同；adapted：平台用另一种方式实现同样的效果；ignored：只对本地运行有意义（带 strict 时会被拒绝）；refused：平台做不到，而忽略它会让程序悄悄出错。

        • whystringrequired
        • changestring | nullrequired

          被拒绝的项：要改什么。其他情况为 null。

      • appobjectrequired

        导入写入的服务应用字段：其版本的构成，以及立即生效的设置。

        • imagestring | nullrequired

          应用下一个版本的构成，连同其后的七个字段：即其最新版本的构成，加上此后的修改。null：应用没有镜像，也没有版本。

        • image_pull_secretstring | nullrequired

          保存镜像仓库凭据的机密的名称。任何响应都不包含其值。null：没有。

        • start_commandrequired

          以下之一：

          • StartCommand
          • null
        • start_argsrequired

          放在镜像 ENTRYPOINT 之后、取代其 CMD 的内容。null：使用镜像的 CMD，或者整个 start_command。

          以下之一：

          • array<string>
          • null
        • portinteger | nullrequired
        • readyobjectrequired

          判断实例已启动的方式，版本的模板会在实例启动后保存：三者必须恰好给出一个。前两种从实例外部检查，所以服务必须监听所有地址 (0.0.0.0)。

          • httpoptionalstring

            一个以 / 开头的路径：在应用端口上对它发起 GET，返回 200 到 399 之间的状态码。

          • tcpoptionaltrue

            应用端口接受连接。

          • commandoptional

            在实例中执行成功的一条命令。由实例的 shell 运行：参数列表会被写成一行交给它。

            以下之一：

            • string
            • array<string>
        • env映射，值为stringrequired
        • secrets映射，值为stringrequired

          机密的名称。任何响应都不包含值。

        • sizeobjectrequired

          单个实例最多能使用的资源。按实际用量计费。

          • vcpusintegerrequired
            minimum: 1
          • memory_bytesintegerrequired

            偶数个 MiB（即节点为虚拟机加载内存所用的 2 MiB 页的整数倍），以字节表示。其他任何大小都返回 400 invalid_field（param 为 size.memory_bytes）：没有节点会创建这种大小的实例，正如没有节点会创建这种大小的沙箱（节点的 SandboxLimitsCreate.memory_bytes）。

            minimum: 134217728
        • volumes数组，元素为objectrequired
          • volumestringrequired
          • pathstringrequired
          • read_onlybooleanrequired
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • kindstringrequired
        • files数组，元素为objectrequired
          • pathstringrequired
          • modeintegerrequired
          • uidintegerrequired
          • gidintegerrequired
          • contentoptionalstring
          • secretoptionalstring
        • userstring | nullrequired
        • working_dirstring | nullrequired
        • stoprequired

          以下之一：

          • ServiceStop
            • signalstring | nullrequired
            • grace_msinteger | nullrequired
          • null
        • hostnamestring | nullrequired
        • regions数组，元素为stringrequired

          按 na、eu、ap 的顺序。

        • scaleobjectrequired
          • min_instancesintegerrequired

            无论有没有请求，应用在一个区域内保持运行的实例数：即下限。该区域服务该应用的节点按分摊 max_instances 的方式分摊它（两个节点、下限为 2：各一个；下限为 1：一个，在最先尝试的节点上；下限为 5：三个和两个），不在线的节点由其他节点补足。节点在收到通知时就创建自己那部分，而不是等到第一个请求，也不会因为空闲而停止或删除这些实例；它们按运行中的实例计量。0（未设置时的值）：没有下限。调低后，超出部分的实例从那一刻起视为空闲，并像空闲实例一样被停止和删除。最多为 max_instances（如果给出），且不超过账户套餐允许应用在一个区域请求的数量（caps.app_instances.limit：5、50 和 500）：超出会被拒绝，返回 403 plan_cap_reached。

            minimum: 0
          • max_instancesinteger | nullrequired

            应用在一个区域内最多有多少个实例：由该区域服务该应用的节点分摊。最多为账户套餐允许应用请求的数量（caps.app_instances.limit：免费版 5，付费版 500）：超出会被拒绝，返回 403 plan_cap_reached；在允许的套餐上请求的数值会保留，但受当前套餐数值的限制。null：未指定数量的应用使用套餐的数值（caps.app_instances.default：免费版 2，付费版 50），如果 min_instances 更大则用它。告诉节点的数值，不超过账户除其他运行中资源外还能容纳的运行量，也不少于应用当前运行的实例数。

            minimum: 1
          • concurrencyinteger | nullrequired

            单个实例同时处理的上限：边缘节点发给它的请求，加上它在项目网络上打开的连接（经由其服务的地址，节点会按连接把它们分给各个实例；或者直接连到它自己的地址）。达到上限的实例即为已满，更多的请求会创建新实例。null（未设置时的值）：没有上限。此时节点会在现有实例的 CPU 或内存接近其规格时增加实例，应用不必猜一个数字；一次只处理一个请求的服务应设为 1。

            maximum: 1000 · minimum: 1
          • sleep_after_msinteger | nullrequired

            实例在没有请求时最多等待多久就停止，单位为毫秒。在这个上限以内，节点根据应用自己的流量选择等待时间：在应用最近一段时间里两次请求之间的间隔上，比较多运行一秒空闲与停止再恢复所花的 CPU 时间，选出成本最低的等待时间；这样，请求间隔比停止成本还短的应用会一直运行，请求间隔很长的应用则在最后一个响应结束后立即停止（0：总是立即停止）。null（未设置时的值）：平台的上限，三秒。设置过 100（2026年10月28日之前的默认值）的应用，从那天起视为 null。持续停止的实例会在 delete_after_ms 后被其节点删除，下一个需要实例的请求会得到一个新实例；min_instances 保持运行的实例既不会停止也不会删除。

            maximum: 600000 · minimum: 0
          • sleep_notice_msinteger | nullrequired

            在实例因空闲而停止之前多久，向连接到其客户机 /run/sbx/awake 的程序发送一行 sleep N，单位为毫秒：程序可以借此写出手头的数据、关闭连接，或者发起保持，从而推迟停止。无论它们是否响应，停止都会在这段时间之后到来；没有程序连接时，不会推迟。键控实例也会收到通知。0 或 null：不通知（默认）。

            maximum: 60000 · minimum: 0
          • sleep_hold_max_msintegerrequired

            实例中的程序发起的保持，在空闲时间到期后最多还能让实例运行多久，单位为毫秒：程序连接 /run/sbx/awake，如果某个请求在响应之后还有后续工作，就在响应它之前发送 +，工作完成后发送 -（或关闭连接，或退出）；最后一个保持解除 sleep_after_ms 之后，实例停止。超过这个时间，无论有什么保持，实例都会停止；如果 sleep_notice_ms 要求通知，会先向已连接的程序发送 sleep N cap。保持期间实例在运行，并按运行计量。0：不理会保持。null：30000（默认）。

            maximum: 900000 · minimum: 0
          • delete_after_msinteger | nullrequired

            实例空闲多久后被删除，与停止使用同一个起算点：下一个需要实例的请求会得到一个新实例，即版本模板的克隆，不含被删除的实例在内存和磁盘中积累的东西（需要长久保存的数据请放在存储卷或数据库中）。一秒到一小时，一小时是平台的时间，也是上限：超出会被拒绝 (400 invalid_field)，需要保持预热的实例应计入 min_instances。null（未设置时的值）：节点的一小时 (--app-delete-after-seconds)。修改对应用现有的实例和之后创建的实例同样有效：每个节点至少每秒按应用当前的时间检查一次每个实例。不适用于应用的键控实例，键控实例用 keys.delete_after_idle_ms。

            maximum: 3600000 · minimum: 1000
          • suspend_after_msoptionalinteger | null

            已停止的实例在保存内存并真正休眠之前保持暂停多久，单位为毫秒：暂停时，下一个请求在一两毫秒内得到响应，内存照常计量；休眠时，唤醒要多几毫秒，只计量它保存的数据。节点会把它限制在节点让任何实例保持暂停的最长时间内（十分钟）；宿主机内存不足、其他虚拟机需要占用槽位，或者有人请求休眠，都会让它更早休眠。null（默认）：节点的最长时间。数据库的 suspend_after_seconds 就是其应用的这一设置。

            maximum: 86400000 · minimum: 1000
          • wake_daily_atoptionalstring | null

            每天的某个 UTC 时刻 (HH:MM)，在此时唤醒应用中处于休眠状态的键控实例和有状态服务的实例，让它们完成等待唤醒才能做的工作（比如数据库维护）；节点根据应用请求创建和删除的实例只会被请求唤醒。唤醒本身不算活动：唤醒后运行的东西才算，运行完毕后实例会再次休眠。此外，无论这里怎么设置，有状态服务的实例都会为其 PostgreSQL 服务器 pg_cron 任务的下一次运行而被唤醒。null（默认）：不唤醒。数据库的 wake_daily_at 就是其应用的这一设置。

            pattern: ^([01][0-9]|2[0-3]):[0-5][0-9]$
        • keysrequired

          以下之一：

          • object
          • null
        • egressobject | nullrequired

          与沙箱相同的出站规则（default、allow、deny、http、inject），没有时为 null；按调用给出的原样保存（PATCH 会像节点那样按键逐个合并）。规则立即生效，不产生新版本：服务该应用的节点会把它们应用到其组内的每个实例上，包括现有的实例（运行中的实例对其已有连接也生效）和之后创建的实例；键控实例不受这些规则约束。控制平面只检查它们是不是由这些键组成、不超过 256 KiB 的对象：规则的内容由节点在应用时检查，节点读不懂其规则的实例，所有出站流量都会被拒绝（节点日志会说明原因）。

          • defaultoptionalallow或deny或null
          • allowoptionalarray | null
          • denyoptionalarray | null
          • httpoptionalarray | null
          • injectoptionalarray | null
          • deny_portsoptionalarray | null

            任何连接都到达不了的端口，TCP 或 UDP，无论连往哪里，也无论规则的其他部分怎么说。浏览器会话的规则总是包含 25、465、587 以及矿池监听的端口（3333、4444、5555、7777、14444、45700）：无论其规则如何修改，控制平面都会把它们加上。

        • metadata映射，值为stringrequired
        • logsobjectrequired

          应用日志包含哪些内容，每一项为给出的值或默认值 (AppLogSettings)。

          • outputbooleanrequired
          • keepbooleanrequired
          • requestsobjectrequired
            • sample_ratenumberrequired
              maximum: 1 · minimum: 0
            • keep_errorsbooleanrequired
        • publicbooleanrequired

          是否在其默认域名 (url) 上响应。

        • depends_on数组，元素为objectrequired
          • servicestringrequired
          • conditionstringrequired
        • networkobjectrequired
          • aliases数组，元素为stringrequired
          • endpoint_modestringrequired
        • drivesoptional数组，元素为object

          其实例挂载的云盘 (AppCreate.drives)：没有指定时为空列表 []。

          • drivestringrequired
          • pathstringrequired
          • modestringrequired
        • key_drivesoptional数组，元素为object

          每个键的实例自有的云盘 (AppCreate.key_drives)：没有给出时为空列表 []。

          • namestringrequired
          • pathstringrequired
          • size_bytesinteger | nullrequired
            format: int64
          • nocopyoptionalunknown

            只有给出为 true 时才会出现。

        • runtimeoptional

          运行时设置 (AppCreate.runtime)。null：没有。

          以下之一：

          • Runtime
            • ulimits映射，值为RuntimeLimitGivenrequired
            • sysctls映射，值为stringrequired
            • tmpfs数组，元素为objectrequired
              • pathstringrequired
              • size_bytesinteger | nullrequired
              • modeintegerrequired
            • dnsobjectrequired
              • servers数组，元素为stringrequired
              • search数组，元素为stringrequired
              • options数组，元素为stringrequired
            • shm_size_bytesinteger | nullrequired
          • null
        • tracesoptionalobject

          应用请求的链路追踪包含哪些内容，每一项为给出的值或默认值 (AppTraceSettings)：sample_rate 为 0 时不产生任何 span。

          • sample_ratenumberrequired
            maximum: 1 · minimum: 0
          • trust_incomingbooleanrequired
    • volumes数组，元素为objectrequired

      服务挂载的项目存储卷。

      • modelstring | nullrequired

        它在模型中的名称。null：为有状态服务挂载但未命名卷的路径创建的。

      • namestringrequired

        它在项目中的名称。

      • idstring | nullrequired

        null：尚未创建 (to_make)。

        pattern: ^vol-
      • sharedbooleanrequired

        有多个服务挂载它，或者某个服务有多个实例：每个服务的每个实例同时挂载它。

      • statusto_make或made或there或externalrequired

        to_make：导入会创建它（试运行时对将要创建的存储卷这样说明）；made：本次导入创建了它；there：之前的导入创建了它，或者已有同名的存储卷；external：模型把它标为 external，而项目中已有它。

      • used_by数组，元素为stringrequired
    • secrets数组，元素为objectrequired

      模型中授予服务的 secrets。

      • modelstringrequired

        它在模型中的名称。

      • namestringrequired

        保存它的项目机密：即模型中的名称，其中机密名称不允许的每个字符都写成下划线。

      • therebooleanrequired

        项目中是否已有它。导入（非试运行）时如果它还不存在，会被拒绝，返回 404 secret_not_found。

      • used_by数组，元素为stringrequired
    • left_out数组，元素为objectrequired

      属于未启用 profile 的服务，导入不会处理它们。

      • namestringrequired
      • profiles数组，元素为stringrequired
    • absent数组，元素为stringrequired

      项目中有而模型中没有的服务：保持原样。

    • deploystring | nullrequired

      导入触发的部署 (GET /v1/deploys/{id})。null：试运行，或者没有服务需要新版本。

      pattern: ^dpl-
  • accountsoptional数组，元素为object

    随 sole_owner 返回：该用户是唯一所有者的那些账户。

    • idstringrequired
      pattern: ^acct-[0-9a-hjkmnp-tv-z]{16}$
    • namestringrequired

输入以搜索……

↑↓ 切换↵ 选择Esc 关闭