在阿里云 ECS 上给 dsh-comfyui 配一台能出图的后端
dsh-comfyui 自己不含算力。它做的是把 DeepSeek Harness 的 Agent 接到一个正在跑的 ComfyUI 上，默认地址 http://127.0.0.1:8188。所以"上云"这件事的真实含义是：把 ComfyUI 那半边搬到 ECS，DSH 和插件留在你天天用的机器上。GPU 按小时计费，没必要为了聊天再养一台。
下面按"定拓扑 → 选规格 → 开口子 → 填字段"的顺序走，最后收四个真会绊人的坑。
先把拓扑定下来
三种摆法，选一种再动手：
同机。DSH 和 ComfyUI 都在一台带 GPU 的机器上，baseUrl 保持默认。最省事，但笔记本上的显卡跑大图会很难受。
VPC 内网。DSH 也跑在阿里云上（另一台 ECS，或同 VPC 的容器），baseUrl 填 ComfyUI 实例的私网 IP。生产环境建议从这个摆法起步：流量不出 VPC，安全组只放行同安全组，公网完全不必暴露。
EIP 公网。ComfyUI 在 ECS，DSH 在你本地。给实例绑 EIP，baseUrl 填 EIP，安全组按来源 IP 放行。方便，但你要接受"这个端口在公网上"的事实 —— 所以只对自己的出口 IP 开。
实例规格：出图吃的是显存
ComfyUI 的瓶颈几乎总在显存，不在核数。挑规格时先问自己三个数：目标分辨率、单批张数、要加载几个模型。视频工作流还要再叠一层，帧数直接换显存。
CPU 实例只能跑轻量工作流。小模型、低分辨率、纯 CPU 节点能跑，但常规扩散模型工作流会慢到没有实用价值。只是偶尔出张缩略图，CPU 机型也行；涉及人像、风格迁移、短视频，就得是 GPU。
系统盘别抠。模型动辄几十 GB，装两三个工作流就上百 GB，还要留输出空间。数据盘单独挂一块，日后迁移更省事。
安全组：只开一个口，开给谁
ComfyUI 自身没有鉴权，谁能连上 8188，谁就能提交任务、读你的输出。所以安全组这一条要当成硬约束：
- 入方向只加一条，端口 8188，来源写你自己的固定出口 IP，别写
0.0.0.0/0。 - 走 VPC 内网时，来源改成同安全组或对端网段，公网规则一条都不留。
- 出方向默认即可，出图不需要额外放行。
改完记得确认实例绑的是这份规则，而不是默认安全组。
让 ComfyUI 真的对外监听
安全组开了还不算通。ComfyUI 默认只监听回环地址，进程起来了、本机 curl 得到，外部一律连不上。启动时要用 --listen 让它绑到对外网卡（内网摆法绑私网网卡就够），端口保持一致。
DSH 侧填什么
设置页的 ComfyUI 分区能改的字段不多，重点是这几个：
baseUrl：同机留默认；内网填私网 IP；公网填 EIP。带不带协议头要写全。apiKeyEnv：远程若要鉴权，这里填环境变量名（默认COMFYUI_API_KEY），不是密钥本身。comfyuiDirs：本机 ComfyUI 安装目录列表，用来定位 models、自定义节点、音色库。远程摆法下它帮不上忙，留空即可。outputDir：删除资产时定位文件用，默认自动推断；远程时对不上就会删不掉。mediaHost：生成媒体的外网访问基址。公网摆法必须显式配，理由见坑四。
填完点测试连接，通了再往下。
坑一 · 最新版装进了 0.1.1 的老宿主
现象：dsh plugin --profile web add dsh-comfyui 装完，启动就弹风险提示，或者设置页里 ComfyUI 那一栏根本不出。
原因：版本线不匹配。0.5.x 要求宿主是 dsh ≥ 0.1.2 且小于 0.3；0.1.1 的宿主只能配 0.3.x 那条 beta 线。README 的配对表写得很清楚，但 latest 标签默认给最新版，很容易装上不该装的那条线。
解决：先 dsh --version 看宿主版本。落在 0.1.2 到 0.3 之间就用默认安装；还是 0.1.1 就装 dsh-comfyui@beta，留在 0.3.x 线，别为了追新去动宿主。
坑二 · 端口通了，面板却自己收起来
现象：本机 curl 得到 ComfyUI，点会话头部的「ComfyUI 面板」按钮却没反应，按钮不高亮，页面顶部弹一条提醒，看着像插件没装上。
原因：面板按钮点下去时会探测后端和 ComfyUI 的连接，连不上就自动收起。常见成因是 ComfyUI 只监听回环地址、端口和 baseUrl 对不上，或者安全组刚改完但进程还没重启。
解决：先在本机确认端口通，再回到 DSH 把 baseUrl 的协议、主机、端口逐段核对，最后看一眼顶部提醒里的具体原因 —— 它写的不只是"失败"，而是失败在哪一层。
坑三 · 勾了运行前必读，run 一直被拒
现象：工作流在库里看得见，参数也齐，Agent 一调 run 就返回被拒绝，提示要先读技能包。
原因：这个工作流的技能包勾了「运行前必读」。本会话如果还没读过它，run 会被拦下来。这不是权限问题，也不是实例配置问题，是设计好的闸门。
解决：让 Agent 先取一次技能包正文再跑，并留意每次新会话都要重来一遍。排错时先看这道闸，比怀疑安全组快。
坑四 · 内网能出图，公网链接是空的
现象：在 ECS 本机或同一 VPC 里打开媒体链接正常，换成手机或家里的机器就是空白；有时还伴随鉴权失败。
原因：两个独立的点。一是鉴权：密钥写进了 cordis.yml 明文，或者 apiKeyEnv 指向的环境变量在宿主进程里根本不存在。二是地址：mediaHost 没配对外基址（默认自动检测），在 NAT 或 EIP 后面它猜不到，于是生成的链接指向一个外部访问不到的地址。
解决：密钥改用 apiKeyEnv（默认 COMFYUI_API_KEY）指向环境变量，绝不写进配置文件明文 —— 它不会下发到浏览器，但配错了就是连不上。mediaHost 显式写成 EIP 或已解析的域名，配完重新生成一张图再验，旧链接不会自动改写。
上线前的验收清单
四步都过一遍再交付：ECS 上 curl 本地端口；从 DSH 所在机器 curl 私网或 EIP 地址；设置页点测试连接；生成一张图并从另一台设备打开媒体链接。第四步最容易被跳过，也最容易在交付后暴露问题。
最后补一句安全口径：这个插件在扫描里是「含敏感能力」，且尚无人工评估。它会碰本地文件、向外发请求、驱动远端 ComfyUI；放到公网上之前，请把这句话当成提醒而不是免责声明。
总结
把 ComfyUI 放 ECS、把 DSH 留在手边，关键就三件事：安全组只对自己的来源开口、baseUrl 与实际监听对齐、mediaHost 和密钥各就各位；同类插件的中文清单在 这里。
适合与不适合
适合：本地没有像样显卡、但需要经常出图的人；要给团队搭一台共用出图后端的；已经在阿里云上有 VPC、想把生成服务收进内网的；需要长期保留输出、又不想占本地磁盘的。
不适合：想省掉 ComfyUI 运维、直接调托管出图 API 的；只跑纯文本工作流、根本不涉及画面的；预算只够 CPU 实例却要做常规人像与视频的；不愿意为公网端口做来源限制的。
标签：dsh-comfyui、DeepSeek Harness、阿里云 ECS
本文由 DeepSeek Harness Hub 自动整理，数据来源于插件详情页。
