Sandbox CLI

# 等价的一次性启动参数
k8e-server --sandbox-advertise-hostname sandbox.example.com

# 旧版环境变量兜底 —— 注入到 k8e-server 进程环境（如 systemd），
# 不要在登录 shell 里设置；与上面的参数合并生效
# K8E_SANDBOX_ADVERTISED_HOSTNAME=sandbox.example.com

k8e sandbox-apikey create my-agent
# → {"name":"my-agent","key":"849a5302e66f98d1d5064ef8501703574af4053b7bf9cf5337f9533326ce2bc9",
#    "e2b_key":"e2b_849a5302e66f98d1d5064ef8501703574af4053b7bf9cf5337f9533326ce2bc9",
#    "ttl_days":30,"created_at":"...","expires_at":"..."}
# 当服务器的公网名字已知时，还会打印：
# mcp client config:
# {"url":"https://sandbox.example.com/mcp","headers":{"Authorization":"Bearer e2b_849a5302e66f98d1…"}}

# 可选：更长或永不过期的 bootstrap key
# k8e sandbox-apikey create my-agent --ttl 90d      # 也支持 720h 或纯数字天数
# k8e sandbox-apikey create my-agent --ttl never   # 也支持 none / 0

# 1. 下载对应平台二进制（约 44MB）
#    选择你的平台：linux-amd64 | linux-arm64 | darwin-amd64 | darwin-arm64 | windows-amd64.exe
curl -sLO https://github.com/xiaods/k8e/releases/latest/download/k8e-sandbox-cli-linux-amd64
chmod +x k8e-sandbox-cli-linux-amd64

# 2. 为下载的文件创建普通命令名软链接（不要重命名）
#    可选：把两者都移动到 PATH 目录，例如 ~/.local/bin/
ln -s k8e-sandbox-cli-linux-amd64 k8e-sandbox-cli

# 3. 连接：mTLS 认证 + 验证网关 + 安装 /k8e-sandbox skill
#    （Claude / Codex / Pi / dsh；--agent 指定目标，默认自动探测）
#    注意：--endpoint 和 --apikey 是全局参数，放在子命令之前
./k8e-sandbox-cli --endpoint sandbox.example.com:50051 --apikey 849a5302e66f98d1d5064ef8501703574af4053b7bf9cf5337f9533326ce2bc9 connect

# 参数也可以放在子命令后面（两种写法都有效）
# ./k8e-sandbox-cli connect --endpoint sandbox.example.com:50051 --apikey 849a… --ca-file ./sandbox-ca.crt

# 多集群：使用命名 profile（见下方「配置与认证」）
# ./k8e-sandbox-cli --profile prod connect --apikey 849a5302e66f98d1d5064ef8501703574af4053b7bf9cf5337f9533326ce2bc9

k8e-sandbox-cli tls export-ca --output ~/sandbox-ca.crt
# 或输出到标准输出：  k8e-sandbox-cli tls export-ca -

sudo cat /var/lib/k8e/server/tls/sandbox-ca.crt > ~/sandbox-ca.crt

scp user@server:~/sandbox-ca.crt ./
./k8e-sandbox-cli --endpoint <服务器 IP>:50051 --apikey <key> \
  connect --ca-file ./sandbox-ca.crt

k8e-sandbox-cli run 'echo hello from k8e'
# → {"duration_ms":…,"exit_code":0,"session_id":"sess-…","status":"completed",
#    "stdout":"hello from k8e\n","stderr":"","…":…}

# Shell 命令（默认 lang=bash）
k8e-sandbox-cli run "ls -la /workspace"

# TypeScript —— 类型注解通过 tsx 运行
k8e-sandbox-cli run "const nums: number[] = [1, 2, 3]; console.log(nums.reduce((a, b) => a + b, 0))" --lang ts

# 后台执行（立即返回 run_id，然后轮询）
k8e-sandbox-cli run "sleep 30; echo done" --background
k8e-sandbox-cli poll <run-id>

# 基于租户的跨进程会话复用
k8e-sandbox-cli run "echo hello" --tenant my-project

# 流式查看长时间运行的输出
k8e-sandbox-cli run "python3 train.py" --session-id $SID --raw

# 子 Agent：共享父 Pod + workspace 的子会话
k8e-sandbox-cli subagent <parent-sid>

# 快照：内容寻址的保存/恢复
SID=$(k8e-sandbox-cli create | jq -r .session_id)
k8e-sandbox-cli run "echo work > /workspace/state.txt" --session-id $SID
k8e-sandbox-cli snapshot save $SID my-state
k8e-sandbox-cli snapshot list
# ... 之后从快照新建会话：
k8e-sandbox-cli snapshot restore my-state
# 基于现有快照增量恢复（KIP-16 M2）：
k8e-sandbox-cli snapshot restore my-state --base older-state

k8e-sandbox-cli run "python3 -m http.server 8080 --bind 127.0.0.1" --background
k8e-sandbox-cli expose 8080
# -> {"url":"http://<gateway>/k8e/expose/<sid>/8080/","port":8080,"session_id":"..."}
curl http://<gateway>/k8e/expose/<sid>/8080/
k8e-sandbox-cli exposed            # 列出活跃暴露
k8e-sandbox-cli unexpose 8080      # 停止暴露

k8e-sandbox-cli --endpoint sandbox.example.com:50051 --apikey <key> connect \
  --reset-certs --ca-file /path/to/trusted-new-ca.crt

k8e-sandbox-cli --profile prod connect --apikey <64 位 hex key>
k8e-sandbox-cli --profile prod run 'echo hi'
# 或：export K8E_SANDBOX_PROFILE=prod

# 只认证（mTLS 证书；不安装 skill）—— 之后命令不再需要 --apikey
k8e-sandbox-cli --endpoint sandbox.example.com:50051 --apikey <key> login

k8e-sandbox-cli run "echo hello"

# 或通过环境变量：
K8E_SANDBOX_ENDPOINT=sandbox.example.com:50051 K8E_SANDBOX_APIKEY=<key> k8e-sandbox-cli login

# 按命令覆盖端点：
K8E_SANDBOX_ENDPOINT=10.0.0.2:50051 k8e-sandbox-cli run "echo hello"