浏览器里的数据科学 IDE
8787 是 RStudio Server 的默认 Web 端口，商业版 Posit Workbench 也延续这一约定：用户在浏览器里获得完整的 R 或 Python 开发环境，会话运行在服务器上，因此自带用户级命令执行能力。它的定位介于开发工具与生产系统之间：团队共享算力依赖它，但它一旦暴露在不可信网络，等价于把这批服务器账号交给了任何能访问该页面的人。
基本信息
| 服务 | RStudio Server / Posit Workbench |
|---|---|
| 协议 | TCP/HTTP（8787） |
| 用途 | 服务端 R 与 Python 开发环境 |
| 配置位置 | /etc/rstudio/rserver.conf 中的 www-port |
| 暴露要求 | 内网加认证；公网必须反向代理加 TLS 与单点登录 |
典型使用场景
- 团队共享算力：统一在服务器上跑分析，避免数据分散到个人电脑
- 教学与培训：为学员批量开通账号并统一环境
- 排障：用户反馈打不开时先确认服务状态与端口监听
- 端口变更：与既有系统冲突时修改配置并重启服务
- 安全核对：确认页面是否在公网可直接访问、是否有单点登录
访问方式与控制
| 访问方式 | 控制手段 | 风险等级 |
|---|---|---|
| 内网直连 | 网络层隔离与账号口令 | 中，取决于口令强度 |
| 反向代理加单点登录 | 统一身份与访问审计 | 低 |
| 公网直连 | 仅应用自身账号体系 | 高 |
| 内网但无口令策略 | 默认口令与共享账号混用 | 高 |
状态与端口核对
状态与端口核对
# 查看服务状态
systemctl status rstudio-server | head -5
# 查看监听端口与绑定地址
ss -lntp | grep 8787
# 修改端口后需要重启服务生效
# /etc/rstudio/rserver.conf 中设置 www-port
rstudio-server verify-installation会话与用户绑定：同一账号并发登录时，新会话可能接管旧会话，用户会感觉自己的分析环境被顶掉。排障前先确认账号使用情况，避免把并发冲突误判为服务故障。
8787 的会话拥有用户级 shell：可以读写该用户有权限的全部文件，也可以访问内网其他系统。历史上此类服务出现过未授权访问与远程执行类问题，因此它应当按开发入口而不是普通网页来防护。
加固要点
- 对外访问统一走反向代理并启用 TLS
- 接入企业单点登录或严格口令策略，禁用共享账号
- 限制来源网段，禁止公网直连
- 纳入补丁管理，与服务端口一同巡检