TinyIce 是一个用 Go 编写的轻量级 Icecast2 兼容流媒体服务器，其核心设计理念是将复杂的流媒体基础设施压缩到单个可执行文件中。与传统 Icecast2 需要配合 Nginx 反向代理和 certbot 实现 HTTPS 的繁琐流程不同，TinyIce 内置了 ACME 客户端，可自动完成 Let's Encrypt 证书的申请、部署与续期。本文深入剖析其 Auto-HTTPS 实现机制与多租户隔离架构，为工程落地提供具体参数。
Auto-HTTPS 实现原理
TinyIce 的自动 HTTPS 能力源于其内置的 ACME 客户端实现。服务器首次启动时，用户仅需配置域名和 ACME 邮箱地址，即可完成 Let's Encrypt 注册流程。TinyIce 支持 HTTP-01 挑战验证，当 Let's Encrypt 的验证服务器向 http://your-domain/.well-known/acme-challenge/ 发送请求时，TinyIce 能够即时响应挑战令牌以证明域名控制权。证书成功颁发后，服务器会自动配置 tls.Config，并将证书路径和私钥持久化到本地存储。证书有效期通常为 90 天，TinyIce 内置的续期检查机制会在到期前自动触发重新签发流程，确保服务不因证书过期而中断。
在工程实践中，用户只需确保 80 端口开放用于 ACME 挑战验证，443 端口用于 HTTPS 流媒体服务，TinyIce 会自动处理 TLS 终止，无需额外配置 Nginx 或 Apache。启动参数可使用 -acme-email 指定注册邮箱，-acme-host 指定需要签发证书的域名。服务器会自动完成与 Let's Encrypt CA 的通信、挑战响应、证书获取以及后续的自动续期。
TinyIce 的双协议架构处理了一个实际痛点：现代浏览器要求 HTTPS 播放，而许多传统编码器（如 BUTT、Mixxx）仍使用 HTTP 推送流。TinyIce 允许编码器通过 HTTP 8000 端口推送数据，同时通过 HTTPS 8443 端口向听众提供加密播放。
多租户隔离架构
TinyIce 将多租户模型抽象为管理员用户与挂载点的绑定关系。每个管理员账户只能创建和管理自己名下的 mountpoint，系统在数据层强制执行租户隔离。首次启动时，TinyIce 会生成唯一的随机管理员凭证，用户必须从终端保存这些凭据才能继续操作，这一设计避免了默认密码带来的安全风险。
在认证层面，TinyIce 使用加盐的 bcrypt 哈希存储密码，并启用 CSRF 保护防止跨站请求伪造。HTTP 响应头也经过加固处理，减少信息泄露风险。API 层实现了基于租户的访问控制，每个请求到达时，系统会从上下文提取当前用户关联的租户 ID，并验证请求目标是否属于该租户。这种设计确保了即使某个租户的凭据泄露，也不会影响其他租户的数据安全。
TinyIce 还内置了审批工作流机制。新创建的 mountpoint 默认隐藏，需要管理员审批后才能对听众可见，这为多租户环境提供了额外的安全缓冲。
可观测性与监控
TinyIce 内置了生产级可观测性功能。通过 SSE（Server-Sent Events）推送实时流量数据，仪表板以硬件加速图表展示带宽使用情况。系统提供 Prometheus 格式的指标端点，可与主流监控系统集成。结构化日志支持 JSON 格式输出，便于日志聚合与分析。
工程化部署参数
部署 TinyIce 时，核心配置参数包括域名解析（需指向服务器公网 IP）、防火墙规则（开放 80/443 端口用于 ACME 与 HTTPS）、ACME 邮箱（用于证书到期通知）。运行命令如 ./tinyice -host 0.0.0.0 -port 8000 -daemon -log-file tinyice.log 可实现后台运行。
资源规划方面，单个 TinyIce 实例在中等码率（128kbps）下可支持约 500-1000 并发听众，内存占用约 100-200MB，具体取决于 mountpoint 数量与连接状态管理开销。播放历史存储在轻量级 SQLite 数据库中，默认保留每个 mountpoint 最近 100 首播放曲目。
总结
TinyIce 通过单二进制设计、ACME 自动证书与租户级访问控制，为自托管流媒体服务提供了一种现代化的工程方案。对于需要在单一服务器上托管多个独立电台或需要简化 TLS 管理的团队，其架构设计具有直接的参考价值。
资料来源：GitHub DatanoiseTV/tinyice 项目文档