技术 on cyp0633's Blog

终端Agent是更趁手的通用Agent

Mon, 02 Feb 2026 21:40:54 +0800

体验了许多的AI工具，我觉得最趁手的还是OpenCode之类的终端agent。决定终端agent优势的因素，我分三个部分：基于本地、终端形态，以及human in the loop。

为什么是本地agent？

当LLM能够通过工具调用和外界打配合的时候，就已经意味着它的能力已经超越了单纯的聊天解闷，或是解决一些逻辑问题。无论是调用Python增强自己的计算精度，还是调用网络搜索获取最新的结果，甚至调用生图工具另请高明生成一张图片，这项能力似乎在至少9个月前就已经在ChatGPT中落地了。然后就是轰轰烈烈的大agent时代，先是Cursor和Claude Code等coding agent使劲从 ~~程序员~~ vibe coder钱包里榨钱，以及MCP赋予了自定义工具的能力，之后中间省略直到最近千问整合接入了阿里的各种产品，大模型的能力边界也确确实实地随着工具的丰富而不断地扩展。

模型决定了agent分析问题的准确性、调用工具的技巧，工具（或者MCP/Skills）决定了agent可以做到的事情，而agent本身运行的平台，则决定了其在不额外添加工具的情况下能办到什么。回想我体验过agent，在第三个方面都有一些特征：

ChatGPT普通模式，不清楚是怎么做的，不过可以调用Python，只能用一些已有的包。可以读取用户上传的文件，另有多种App（可能是类似skill的东西），可以连接云盘。
ChatGPT agent模式，在OpenAI的服务器上起一个类似Debian的容器，天然沙盒化。在上述功能外支持了接近完整的Linux能力。
千问App¹，全都做成了单独的模式，单独的deep research，单独的代码执行，而用阿里旗下的点外卖、找路线，嘿，又是一个单独的模式。
Cursor/Copilot/Cline等AI IDE（插件），在IDE中运行，以代码为中心，改代码甚至写论文都非常方便。
Codex和OpenCode等终端编码agent，通常依托终端界面，以及本地文件系统和程序工具。
Claude for Desktop和Codex App，像是Claude Code套了个壳子，不过拥有更友好的GUI界面。

当agent在本地电脑上运行的时候，它更能够像人类一样使用电脑，而不是被局限在某个App或某个平台里。利用现有的环境也可以节省很多重复性的安装依赖等工作，并使用当前人类熟悉的配置文件。更重要的是，本地agent具有本地文件系统的优势，除了代码仓库，也可以十分方便地浏览工作资料等文件，甚至操纵本地运行的客户端程序。相反，在云端运行的agent仿佛带有一种隔阂，不依赖本地的状态则不像是在“为用户”处理工作。，

的确，本地的文件太过繁杂，而现在仍然需要明确告诉agent哪里有文件，它才能自觉去引用、去综合、去整理，而不能自动地附带上下文。而我要说，基于云、连接网盘的方案有一样的问题，且难以推动云存储商实现便捷的文件查找接口（即使强如OneDrive搜索功能，也未必能给ChatGPT相似级别的权限）；而对于本地，大规模RAG是一个理论上可解且工程上可行的问题，但目前确实有一些文件检索路线上的争论。

本地终端的另一个优势在于，通过利用本地的命令行工具链，它能够很好地遵守Unix哲学，通过shell管道和文件系统组合各种小工具，以达到极高的自由度。丰富的训练数据令LLM天生熟练使用shell，而无需花费额外context介绍工具调用或者MCP的spec。这是云端agent难以办到的，而即使是提供一个容器的ChatGPT agent模式，也更难包含所有任务需要的工具。

至于chatbot提供的工具，Codex App和Claude App也能够添加其他MCP/工具，体验也已经基本是对齐的。

为什么是终端？

我们暂且认为本地相对更有优势，好，那么为什么是终端，而不是IDE或者GUI的形式？有主观原因也有客观原因。

其一是大多的AI IDE均基于VS Code，其性能虽然在IDE中算是较为优秀，但打开项目后仍然常有数百至数千MB的开销。这在编码任务中非常方便，因为能随时审查agent对代码的修改；但在常常涉及二进制文件的其他通用任务中，则显得相对累赘。正如朱亦博老师在Step 3.5 Flash博客中提到的，许多人并不会紧盯着执行过程中的过程，写了什么样的Python脚本，而是希望专注于运行结果，而结果很可能并不由代码呈现。

倒不是说终端agent都多轻多快，当然OpenCode和Claude Code等工具由于实现问题，占用内存也很大，所以这里重的感觉也未必客观，或者更多的是一种跟手感。

Claude for Desktop等桌面agent很好，有很强的computer use能力，在代替人解放繁杂工作这一方面，Anthropic算是起步比较早，整得也比较明白的。也有一个比较全面的marketplace，提供了接入各种第三方平台的工具。对于买了Claude订阅的普通人来说，它是一个比较理想的通用agent形态。

大部分GUI形式agent也有自己的问题，就是在远程主机上用起来十分不方便。且不提三大系统唯独缺了一个Linux版本，不管是连接Windows本地的WSL，还是远程Linux服务器，都不能指定agent的实际运行环境。Windows上的PowerShell还是不要谈Unix哲学了，毕竟它连Unix都不是。相比于标准稀碎、网络要求高的远程桌面，SSH（或类SSH）作为既成标准，连接起来一般不会出什么差错，且由于传输的数据量不太大，在处理一些主要依赖远程机器的任务时，效率也更高。当然这并不是一个常见的需求，更多的还是我的个人喜好，如果Claude for Desktop糊一层客户端与服务端通信的协议，或许也会解决这个问题。

为什么不是OpenClaw？

OpenClaw很好，好在它打通了自主行动的链条，比被动的一问一答、等待指令更加灵活；但它坏就坏在过于灵活，对于人类完全是黑盒，几乎完全不可控也不受监管，也没有内置沙盒机制（当然用户应该有这样的自觉），甚至还有Moltbook这样的注入攻击温床。如果说使用Antigravity删除家目录这种事可以通过停止agent运行或者加入命令黑白名单来解决，那么对于并不会全程暴露执行过程的OpenClaw来说，则无异于蒙着眼睛凭感觉开车，一般来说能到达终点，而翻下悬崖也没什么意外。

经过几年的发展，coding agent已经有了很多防止把代码库改炸掉的方案，比如建立多个worktree分别编辑，比如利用git的功能来暂存修改，比如使用bubblewrap把agent装进沙盒，等等等等。然而，显然OpenClaw一个都没做到，顶多也就是个MVP（2026年2月）。Docker并不能解决所有问题，agent的权限范围越大，其能力也就越强，辛辛苦苦写了一大串ACL，到头来总会遇到因权限而无法完成的任务。还不如使用声明式的方案，所有的更改以文件形式暂存，用户审核后再应用到系统中——文件而非命令的配置，某种程度上又是一种Unix哲学。或者甚至直接给整个硬盘打快照，起码给了用户救回来的机会。

毫无疑问这种高度自主化的agent将会是未来的发展方向，但在它彻底融入日常生活，放心地把任务交给它之前，起码还是先加一些安全措施吧。起码现在，我宁愿盯着OpenCode的执行过程，并随时准备停止、接管或者完善任务。

为什么老是提千问？只是因为我没用过豆包，元宝只用来抢红包。 ↩︎

Cumulus Linux 5.1 & NVUE 使用笔记

Wed, 12 Nov 2025 22:55:22 +0800

~~怎么前一段时间搞软路由，这次搞起大号硬路由了（并非）~~

Cumulus Linux是NVIDIA给交换机做的Linux系统，基于Debian。NVIDIA把交换机ASIC的配置抽象出来以Linux配置的方式呈现，实际用下来使用相对熟悉的逻辑还是更方便一些。

虽然是基于Debian的，但NV似乎并没有完全承诺兼容，况且交换机上那颗双核X86 CPU恐怕连星露谷都带不起来，还是别整花活了。不同的Cumulus Linux版本自带的软件包也不同，操作逻辑等有着显著的差距。NV网站上有适用于各个版本的文档，当确定不下来的时候，与其找一个不知哪来的野文档 ~~（包括这篇）~~ 或是版本号对不上，不妨问问ChatGPT，让它开联网搜一搜。

从5.0版本开始，Cumulus Linux引入了NVUE（NVIDIA Unified Extensible）配置框架（也就是 nv 命令这一套），用来取代NCLU（即 net 命令）。在包括5.1在内的多个版本中，NCLU的后端也是NVUE，而在更新的一些版本中，则干脆没有了NCLU。无论如何什么时候，都应该尽量避免直接编辑 /etc/network/interfaces，更不应该使用systemd-networkd、netplan或者NetworkManager之类的工具，尽量将NVUE作为single source of truth。

用户管理

https://docs.nvidia.com/networking-ethernet-software/cumulus-linux-51/System-Configuration/Authentication-Authorization-and-Accounting/User-Accounts/

默认用户名是 cumulus，但和其他许多Linux一样，可以通过 adduser 工具添加用户，正常地设置密码，正常地配置SSH public key。

与简单的判断sudoer不同，NVUE有着自己的更细粒度的用户组权限控制。三个不同等级的用户组分别为：

nvshow，只能查看配置（如 nv show config），不能修改
nvset，可以执行 set 或 unset 命令，但不能实际提交（即真正生效）
nvapply，不仅可以编辑staging的配置，还可以提交生效

声明式配置管理

https://docs.nvidia.com/networking-ethernet-software/nvue-reference/Config-Commands/

NVUE进行系统配置的方法是声明式的。有些读者可能会立即想到Nix，事实上它们确实很相似：系统的状态由配置文件描述，更改系统的配置本质上就是更新配置文件，然后触发系统的重配置。的确，Linux系统的网络配置仍然由命令式的 ifupdown 等工具处理，NVUE只是将配置文件抽象为NVUE的配置模型，然后替我们生成底层的配置文件，或是调用对应的命令。只需查看 nvued.service 的日志就能发现这一点。

声明式配置的一个好处是，可以用一个文件直接描述系统的配置状态。只需要 nv config show 命令，就可以看到当前交换机的所有配置信息，就像这样：

yaml

- set:
    bridge:
      domain:
        tor_bridge:
          type: vlan-aware
          stp:
            state:
              up: {}
          vlan:
            '102': {}

    qos:
      roce:
        enable: on
        mode: lossless

    system:
      config:
        snippet:
          ifupdown2_eni:
            swp1: |
              post-up   ip neigh replace 10.0.255.2 lladdr 90:0a:84:xx:xx:xx dev swp1 nud permanent
              pre-down  ip neigh del     10.0.255.2 dev swp1              

    vrf:
      tora:
        table: auto
        router:
          static:
            192.168.106.0/24:
              address-family: ipv4-unicast
              via:
                10.0.255.2:
                  type: ipv4-address

    interface:
      eth0:
        type: eth
        ip:
          address:
            10.0.25.1/16: {}

      swp1:
        type: swp
        ip:
          address:
            10.0.255.1/24: {}
          vrf: tora

      tor_bridge:
        type: bridge

      vlan102:
        base-interface: tor_bridge
        type: svi
        vlan: 102
        ip:
          address:
            192.168.102.1/24: {}

这个片段展示了一个简单的交换机配置，包括VLAN、VRF、QoS以及接口配置等。可以看到，配置是以层次化的YAML格式呈现的，非常直观。值得注意的是里面有以命令形式存在的snippet，虽然的确是命令式配置，但也是NVUE不支持配置情况下的无奈之举（5.1.0还不支持固定neighbor）。

用文件描述配置的另一个好处在于，版本控制非常方便。事实上NVUE也是这么做的：它真的用Git来管理历史，不信可以试试 nv config history 命令，应用的配置相当于被commit了。同样还有来自Git的staging概念，熟悉Git的读者应该很容易上手这几个选项：

nv config apply：将暂存中的配置生效
nv config detach：放弃暂存的配置，从当前应用的配置开始做修改

对暂存的配置作出修改，有三种方式：其一是直接使用 nv set 和 nv unset 命令，其二是用新的配置文件替换当前的配置，其三则是将新的配置文件合并到当前的配置中。第一种方式相对更接近先前的命令式配置习惯，至于后两种方式，则使用下面的例子来说明。

假设当前 nv show config 输出如下：

yaml

- set:
    interface:
      eth0:
        type: eth
        ip:
          address:
            10.0.25.1/16: {}

有一个新的配置文件 new.yaml，内容如下：

yaml

- set:
      swp1:
        type: swp
        ip:
          address:
            10.0.255.1/24: {}

如果使用 nv config replace new.yaml 进行替换，那非常不巧，你的 eth0 配置就丢了，下一步大概就是去找串口线改配置了。而如果使用 nv config merge new.yaml，那就会把 swp1 的配置加进去，eth0 依然保留。

当你终于下定决心，要试试新调整的配置会不会把交换机搞崩的时候，可以使用 nv config apply 把配置提交生效。好消息是NVIDIA早就考虑到了配置错了SSH都连不上的问题，所以可以加一个 --confirm 选项，在10分钟内没有手动确认的话，配置会自动回滚，即使刚刚误用了 replace，也只是断10分钟而已。

排除连接问题

https://docs.nvidia.com/networking-ethernet-software/cumulus-linux-51/Monitoring-and-Troubleshooting/Troubleshooting-Network-Interfaces/Troubleshoot-Layer-1/

有时候因为各种原因某个口死活up不起来，Cumulus Linux提供了一个方便的工具：l1-show。

shell

cyp0633@cumulus:mgmt:~$ sudo l1-show 1-3
Port:  swp1
  Module Info
      Vendor Name: FINISAR CORP.          PN: FTLC1154RDNL-FH
      Identifier: 0x11 (QSFP28)           Type: 100g-lr4
  Configured State
      Admin: Admin Up     Speed: 100G     MTU: 9216
      Autoneg: Off                        FEC: Auto
  Operational State
      Link Status: Kernel: Up             Hardware: Up
      Speed: Kernel: 100G                 Hardware: 100G
      Autoneg: Off                        FEC: RS
      TX Power (mW): [1.8559, 1.839, 1.7584, 1.783]
      RX Power (mW): [0.878, 1.0508, 0.9174, 0.9853]
      Topo File Neighbor: None, None
      LLDP Neighbor:      cumulus, swp3
  Port Hardware State:
      Compliance Code: 100GBASE-LR4 or 25GBASE-LR
      Cable Type: Optical Module (separated)
      Speed: 100G                         Autodetect: FORCE - 100G
      Eyes: 385, 365, 419, 366            Grade: 31012, 21952, 31012, 25147
      Troubleshooting Info: No issue was observed.

当某个接口起不来的时候，不妨直接看 l1-show 的输出，在Troubleshooting Info一栏中，基本上有什么问题一目了然。

屏蔽了一些爬虫

Sun, 07 Sep 2025 10:57:46 +0800

本来读了研也确实没有本科那么强的折腾精神了，服务器除了续费和升级软件也没怎么动过。按理说这么小的网站Googlebot都基本不访问才对，但偶然检查一下还是发现了一些异样。以下分享三则最近发现的乱爬案例。

阿里云阴兵过境

第一关是不明新加坡阿里云爬虫。

位于香港的服务器上一直运行着一个Gitea做自己GitHub的镜像，由于某些原因没有挂Cloudflare，我那点垃圾代码按理说也没人看吧。诶恰恰相反，其实早在很久之前就有相当数量的爬虫在爬，只是比较节制，不会爬个没完。直到前段时间登上腾讯云，发现一个月竟然差不多用完了1TB的流量，并非互联网上一个偏远角落的正常访问量。以7天为尺度观察统计图表，好家伙直接把我CPU全跑满了呀。

腾讯云的统计

不过话说回来幸亏是CPU-bound的Gitea，CPU打满了，30M的带宽还没打满，不然下场估计是先被腾讯断网，现在跑得慢但起码还能访问。导出Gitea的日志一看（共49万行），大部分是我本科边抄边写的操作系统实验，算是别人的代码，不是垃圾代码：

log

Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/rss/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab3_result/tools/sign.c for 47.79.214.90:0, 404 Not Found in 0.2ms @ <autogenerated>:1(WebNotFound)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/commits/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab3_result/tools/kernel.ld for 47.79.199.163:0, 200 OK in 365.3ms @ repo/commit.go:44(repo.RefCommits)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs/printfmt.c for 47.79.215.248:0, 200 OK in 518.0ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab1_result/tools/lab1init for 47.79.197.254:0, 200 OK in 481.5ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/rss/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab2_result/libs/stdarg.h for 47.79.193.156:0, 404 Not Found in 0.5ms @ <autogenerated>:1(WebNotFound)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/commits/commit/0a7d3faa0b7804e45252a70e583ede3459b16949/labcodes/lab7/tools for 47.79.213.176:0, 200 OK in 223.1ms @ repo/commit.go:44(repo.RefCommits)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs/string.h for 47.79.199.252:0, 200 OK in 568.3ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/raw/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab2_result/libs/error.h for 47.79.215.8:0, 200 OK in 201.5ms @ repo/download.go:111(repo.SingleDownload)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/0a7d3faa0b7804e45252a70e583ede3459b16949/labcodes_answer/lab2_result/kern/debug for 47.79.204.14:0, 200 OK in 351.2ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab2_result/kern/libs/readline.c for 47.79.213.33:0, 200 OK in 519.4ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/raw/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab3_result/tools/kernel.ld for 47.79.194.9:0, 200 OK in 121.7ms @ repo/download.go:111(repo.SingleDownload)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs/stdlib.h for 47.79.192.216:0, 200 OK in 272.8ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs/dirent.h for 47.79.205.12:0, 200 OK in 283.5ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/commits/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs for 47.79.212.251:0, 200 OK in 163.6ms @ repo/commit.go:44(repo.RefCommits)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/blame/commit/d41b9e7f4fce933f5ce58c9c42e2f0bd5c7f6fc4/labcodes/lab7/Makefile for 47.79.213.33:0, 200 OK in 521.9ms @ repo/blame.go:42(repo.RefBlame)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/0a7d3faa0b7804e45252a70e583ede3459b16949/labcodes/lab7/tools/kernel.ld for 47.79.194.123:0, 200 OK in 392.8ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab3_result/tools for 47.79.192.112:0, 200 OK in 138.9ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/commits/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab3_result/tools/sign.c for 47.79.205.59:0, 200 OK in 105.0ms @ repo/commit.go:44(repo.RefCommits)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs/defs.h for 47.79.192.12:0, 200 OK in 154.0ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs/x86.h for 47.79.192.12:0, 200 OK in 345.3ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/blame/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab2_result/libs/defs.h for 47.79.198.73:0, 200 OK in 164.4ms @ repo/blame.go:42(repo.RefBlame)

Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/rss/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab3_result/tools/sign.c for 47.79.214.90:0, 404 Not Found in 0.2ms @ <autogenerated>:1(WebNotFound)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/commits/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab3_result/tools/kernel.ld for 47.79.199.163:0, 200 OK in 365.3ms @ repo/commit.go:44(repo.RefCommits)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs/printfmt.c for 47.79.215.248:0, 200 OK in 518.0ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab1_result/tools/lab1init for 47.79.197.254:0, 200 OK in 481.5ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/rss/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab2_result/libs/stdarg.h for 47.79.193.156:0, 404 Not Found in 0.5ms @ <autogenerated>:1(WebNotFound)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/commits/commit/0a7d3faa0b7804e45252a70e583ede3459b16949/labcodes/lab7/tools for 47.79.213.176:0, 200 OK in 223.1ms @ repo/commit.go:44(repo.RefCommits)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs/string.h for 47.79.199.252:0, 200 OK in 568.3ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/raw/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab2_result/libs/error.h for 47.79.215.8:0, 200 OK in 201.5ms @ repo/download.go:111(repo.SingleDownload)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/0a7d3faa0b7804e45252a70e583ede3459b16949/labcodes_answer/lab2_result/kern/debug for 47.79.204.14:0, 200 OK in 351.2ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab2_result/kern/libs/readline.c for 47.79.213.33:0, 200 OK in 519.4ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/raw/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab3_result/tools/kernel.ld for 47.79.194.9:0, 200 OK in 121.7ms @ repo/download.go:111(repo.SingleDownload)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs/stdlib.h for 47.79.192.216:0, 200 OK in 272.8ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs/dirent.h for 47.79.205.12:0, 200 OK in 283.5ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/commits/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs for 47.79.212.251:0, 200 OK in 163.6ms @ repo/commit.go:44(repo.RefCommits)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/blame/commit/d41b9e7f4fce933f5ce58c9c42e2f0bd5c7f6fc4/labcodes/lab7/Makefile for 47.79.213.33:0, 200 OK in 521.9ms @ repo/blame.go:42(repo.RefBlame)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/0a7d3faa0b7804e45252a70e583ede3459b16949/labcodes/lab7/tools/kernel.ld for 47.79.194.123:0, 200 OK in 392.8ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab3_result/tools for 47.79.192.112:0, 200 OK in 138.9ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/commits/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab3_result/tools/sign.c for 47.79.205.59:0, 200 OK in 105.0ms @ repo/commit.go:44(repo.RefCommits)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs/defs.h for 47.79.192.12:0, 200 OK in 154.0ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/src/commit/a29ae0982ac021cc2abeb75004af69b1b0d29f53/labcodes_answer/lab8_result/libs/x86.h for 47.79.192.12:0, 200 OK in 345.3ms @ repo/view_home.go:332(repo.Home)
Aug 05 08:57:04 VM-8-17-ubuntu gitea[4160705]: 2025/08/05 08:57:04 ...eb/routing/logger.go:102:func1() [I] router: completed GET /cyp0633/ucore-lab/blame/commit/5204cd45e8a0f09f7a27ddad803bf28d56474dba/labcodes_answer/lab2_result/libs/defs.h for 47.79.198.73:0, 200 OK in 164.4ms @ repo/blame.go:42(repo.RefBlame)

vibe了一个分析脚本，发现28分钟的记录时间内处理了 56182 个请求，平均每分钟高达2000多个；请求来自于750个不同的IP，全都来自于47.79.0.0/16这个阿里云新加坡的IP段，这样分摊到每个IP上，半个小时不到200次请求，看起来非常的人畜无害。这使得手写IP封禁或者速率限制变得不切实际。为了保险起见，该日先把Gitea关掉了。

为了进一步确认这些IP的身份，将Gitea暂时关闭数天后，还导出了Caddy的日志。

log

Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.2537313,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.201.138","remote_port":"56801","client_ip":"47.79.201.138","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/raw/commit/b66679d36acc0443078dafdfc5452880f376e015/layouts/partials/footer/script.html","headers":{"Cache-Control":["no-cache"],"Accept":["*/*"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Accept-Language":["en,en-US"],"Sec-Fetch-Mode":["navigate"],"Sec-Fetch-Site":["none"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Connection":["keep-alive"],"Pragma":["no-cache"],"Sec-Ch-Ua-Mobile":["?0"],"Upgrade-Insecure-Requests":["1"],"Sec-Fetch-User":["?1"],"Priority":["u=0, i"],"Sec-Fetch-Dest":["document"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Accept-Encoding":["gzip, deflate"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000190728,"status":502,"err_id":"00uu9mrsp","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.260209,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.212.84","remote_port":"39054","client_ip":"47.79.212.84","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/src/commit/25581cc44637909a75aacdf33f896192f0569689/layouts/partials/head/opengraph/include.html","headers":{"Accept-Language":["en,en-US"],"Connection":["keep-alive"],"Priority":["u=0, i"],"Sec-Fetch-Mode":["navigate"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Accept-Encoding":["gzip, deflate"],"Accept":["*/*"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Sec-Fetch-Dest":["document"],"Pragma":["no-cache"],"Upgrade-Insecure-Requests":["1"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Sec-Fetch-Site":["none"],"Sec-Fetch-User":["?1"],"Cache-Control":["no-cache"],"Sec-Ch-Ua-Mobile":["?0"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000227457,"status":502,"err_id":"aa84vne2s","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.2617188,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.206.1","remote_port":"30313","client_ip":"47.79.206.1","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/blame/commit/25a72940b8184b41de36fec9a3fcdd6387e006b0/layouts/partials/sidebar/left.html","headers":{"Sec-Fetch-Dest":["document"],"Upgrade-Insecure-Requests":["1"],"Cache-Control":["no-cache"],"Sec-Ch-Ua-Mobile":["?0"],"Accept-Encoding":["gzip, deflate"],"Pragma":["no-cache"],"Connection":["keep-alive"],"Sec-Fetch-Mode":["navigate"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Sec-Fetch-Site":["none"],"Sec-Fetch-User":["?1"],"Priority":["u=0, i"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Accept-Language":["en,en-US"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Accept":["*/*"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000177793,"status":502,"err_id":"7jqfa7yiq","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.2736785,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.198.78","remote_port":"25315","client_ip":"47.79.198.78","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/raw/commit/2fd3bde9a40790bf98893b0c5062a2f4c0ac9d8f/layouts/partials/article-list/compact.html","headers":{"Sec-Ch-Ua-Platform":["\"macOS\""],"Connection":["keep-alive"],"Cache-Control":["no-cache"],"Pragma":["no-cache"],"Sec-Fetch-Site":["none"],"Accept":["*/*"],"Sec-Ch-Ua-Mobile":["?0"],"Accept-Language":["en,en-US"],"Sec-Fetch-Dest":["document"],"Upgrade-Insecure-Requests":["1"],"Sec-Fetch-Mode":["navigate"],"Sec-Fetch-User":["?1"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Accept-Encoding":["gzip, deflate"],"Priority":["u=0, i"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000182872,"status":502,"err_id":"89gyde5bz","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.2741818,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.215.201","remote_port":"12618","client_ip":"47.79.215.201","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/commits/commit/25a72940b8184b41de36fec9a3fcdd6387e006b0/layouts/partials/sidebar/left.html","headers":{"Sec-Ch-Ua-Mobile":["?0"],"Accept":["*/*"],"Accept-Language":["en,en-US"],"Priority":["u=0, i"],"Sec-Fetch-Site":["none"],"Connection":["keep-alive"],"Upgrade-Insecure-Requests":["1"],"Sec-Fetch-Dest":["document"],"Accept-Encoding":["gzip, deflate"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Sec-Fetch-Mode":["navigate"],"Sec-Fetch-User":["?1"],"Cache-Control":["no-cache"],"Pragma":["no-cache"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000194264,"status":502,"err_id":"mzpuq5vau","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.2894285,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.195.97","remote_port":"5843","client_ip":"47.79.195.97","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/commits/commit/2fd3bde9a40790bf98893b0c5062a2f4c0ac9d8f/layouts/partials/article-list/tile.html","headers":{"Accept":["*/*"],"Cache-Control":["no-cache"],"Sec-Fetch-Mode":["navigate"],"Sec-Ch-Ua-Mobile":["?0"],"Sec-Fetch-Site":["none"],"Upgrade-Insecure-Requests":["1"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Pragma":["no-cache"],"Priority":["u=0, i"],"Accept-Encoding":["gzip, deflate"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Sec-Fetch-Dest":["document"],"Sec-Fetch-User":["?1"],"Connection":["keep-alive"],"Accept-Language":["en,en-US"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.00023476,"status":502,"err_id":"v3azrf597","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.2902029,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.193.3","remote_port":"51386","client_ip":"47.79.193.3","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/blame/commit/d04b3a8771386c9988be00adda53f0bf542cf269/layouts/partials/helper/image.html","headers":{"Cache-Control":["no-cache"],"Sec-Ch-Ua-Mobile":["?0"],"Accept-Encoding":["gzip, deflate"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Upgrade-Insecure-Requests":["1"],"Accept-Language":["en,en-US"],"Sec-Fetch-Mode":["navigate"],"Sec-Fetch-User":["?1"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Connection":["keep-alive"],"Sec-Fetch-Dest":["document"],"Sec-Fetch-Site":["none"],"Accept":["*/*"],"Priority":["u=0, i"],"Pragma":["no-cache"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000307345,"status":502,"err_id":"6gv9knvpm","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.2950988,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.193.80","remote_port":"24245","client_ip":"47.79.193.80","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/commits/commit/c6661196ad92dfa72513582c40f75a6a5f514851/layouts/partials?page=1","headers":{"Sec-Ch-Ua-Mobile":["?0"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Sec-Fetch-User":["?1"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Accept":["*/*"],"Upgrade-Insecure-Requests":["1"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Pragma":["no-cache"],"Sec-Fetch-Dest":["document"],"Accept-Encoding":["gzip, deflate"],"Cache-Control":["no-cache"],"Accept-Language":["en,en-US"],"Priority":["u=0, i"],"Sec-Fetch-Mode":["navigate"],"Connection":["keep-alive"],"Sec-Fetch-Site":["none"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000194966,"status":502,"err_id":"ju8k688tg","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.3023942,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.205.248","remote_port":"12381","client_ip":"47.79.205.248","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/rss/commit/0af9d23e4989ed7ada10e6990802ccd9a28d8797/layouts/partials/sidebar/right.html","headers":{"Sec-Ch-Ua-Platform":["\"macOS\""],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Sec-Fetch-Mode":["navigate"],"Upgrade-Insecure-Requests":["1"],"Pragma":["no-cache"],"Cache-Control":["no-cache"],"Sec-Ch-Ua-Mobile":["?0"],"Sec-Fetch-Dest":["document"],"Sec-Fetch-User":["?1"],"Accept-Language":["en,en-US"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Accept-Encoding":["gzip, deflate"],"Accept":["*/*"],"Priority":["u=0, i"],"Connection":["keep-alive"],"Sec-Fetch-Site":["none"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000187251,"status":502,"err_id":"4m19ms28b","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.3110833,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.212.84","remote_port":"57044","client_ip":"47.79.212.84","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/commits/commit/2fd3bde9a40790bf98893b0c5062a2f4c0ac9d8f/layouts/partials/article-list/compact.html","headers":{"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Sec-Fetch-Site":["none"],"Priority":["u=0, i"],"Cache-Control":["no-cache"],"Pragma":["no-cache"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Sec-Ch-Ua-Platform":["\"macOS\""],"Upgrade-Insecure-Requests":["1"],"Sec-Ch-Ua-Mobile":["?0"],"Connection":["keep-alive"],"Sec-Fetch-Mode":["navigate"],"Sec-Fetch-User":["?1"],"Accept":["*/*"],"Accept-Language":["en,en-US"],"Accept-Encoding":["gzip, deflate"],"Sec-Fetch-Dest":["document"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000179277,"status":502,"err_id":"hk01fb751","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.31186,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.205.70","remote_port":"51797","client_ip":"47.79.205.70","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/src/commit/d04b3a8771386c9988be00adda53f0bf542cf269/layouts/partials/helper/icon.html","headers":{"Accept":["*/*"],"Accept-Language":["en,en-US"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Pragma":["no-cache"],"Sec-Fetch-Site":["none"],"Sec-Ch-Ua-Mobile":["?0"],"Accept-Encoding":["gzip, deflate"],"Priority":["u=0, i"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Sec-Fetch-Dest":["document"],"Cache-Control":["no-cache"],"Connection":["keep-alive"],"Upgrade-Insecure-Requests":["1"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Sec-Fetch-User":["?1"],"Sec-Fetch-Mode":["navigate"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.00037888,"status":502,"err_id":"7dz5tnw6r","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.3274698,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.200.118","remote_port":"13643","client_ip":"47.79.200.118","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/rss/commit/0af9d23e4989ed7ada10e6990802ccd9a28d8797/layouts/partials/data/description.html","headers":{"Priority":["u=0, i"],"Sec-Ch-Ua-Mobile":["?0"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Sec-Fetch-Mode":["navigate"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Connection":["keep-alive"],"Cache-Control":["no-cache"],"Sec-Fetch-User":["?1"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Upgrade-Insecure-Requests":["1"],"Sec-Fetch-Dest":["document"],"Accept-Encoding":["gzip, deflate"],"Accept":["*/*"],"Accept-Language":["en,en-US"],"Sec-Fetch-Site":["none"],"Pragma":["no-cache"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000217268,"status":502,"err_id":"ht5drxez1","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.3605616,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.215.215","remote_port":"44762","client_ip":"47.79.215.215","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/src/commit/25581cc44637909a75aacdf33f896192f0569689/layouts/partials/head/opengraph/provider","headers":{"Sec-Fetch-Site":["none"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Cache-Control":["no-cache"],"Priority":["u=0, i"],"Sec-Fetch-User":["?1"],"Pragma":["no-cache"],"Accept-Language":["en,en-US"],"Sec-Ch-Ua-Mobile":["?0"],"Sec-Fetch-Dest":["document"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Connection":["keep-alive"],"Upgrade-Insecure-Requests":["1"],"Accept-Encoding":["gzip, deflate"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Accept":["*/*"],"Sec-Fetch-Mode":["navigate"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000191609,"status":502,"err_id":"fhuzf2976","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.3730135,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.215.163","remote_port":"20753","client_ip":"47.79.215.163","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/raw/commit/0af9d23e4989ed7ada10e6990802ccd9a28d8797/layouts/partials/data/description.html","headers":{"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Pragma":["no-cache"],"Cache-Control":["no-cache"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Sec-Fetch-Mode":["navigate"],"Connection":["keep-alive"],"Accept-Language":["en,en-US"],"Accept-Encoding":["gzip, deflate"],"Upgrade-Insecure-Requests":["1"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Accept":["*/*"],"Sec-Ch-Ua-Mobile":["?0"],"Sec-Fetch-Site":["none"],"Sec-Fetch-Dest":["document"],"Sec-Fetch-User":["?1"],"Priority":["u=0, i"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000226774,"status":502,"err_id":"kprf6bcji","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.4402184,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.195.231","remote_port":"49027","client_ip":"47.79.195.231","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/raw/commit/25581cc44637909a75aacdf33f896192f0569689/layouts/partials/head/style.html","headers":{"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Sec-Ch-Ua-Mobile":["?0"],"Pragma":["no-cache"],"Sec-Fetch-User":["?1"],"Cache-Control":["no-cache"],"Connection":["keep-alive"],"Accept":["*/*"],"Sec-Fetch-Mode":["navigate"],"Upgrade-Insecure-Requests":["1"],"Accept-Language":["en,en-US"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Sec-Fetch-Dest":["document"],"Sec-Fetch-Site":["none"],"Accept-Encoding":["gzip, deflate"],"Priority":["u=0, i"],"Sec-Ch-Ua-Platform":["\"macOS\""]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000254457,"status":502,"err_id":"yp9xbpai2","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.4595432,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.200.216","remote_port":"3491","client_ip":"47.79.200.216","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/raw/commit/d04b3a8771386c9988be00adda53f0bf542cf269/layouts/partials/helper/icon.html","headers":{"Connection":["keep-alive"],"Accept-Encoding":["gzip, deflate"],"Sec-Fetch-Dest":["document"],"Cache-Control":["no-cache"],"Accept-Language":["en,en-US"],"Accept":["*/*"],"Sec-Fetch-Site":["none"],"Sec-Ch-Ua-Mobile":["?0"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Pragma":["no-cache"],"Sec-Fetch-User":["?1"],"Sec-Fetch-Mode":["navigate"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Priority":["u=0, i"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Upgrade-Insecure-Requests":["1"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000294471,"status":502,"err_id":"txnhq2xhy","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}
Aug 19 21:00:32 VM-8-17-ubuntu caddy[5430]: {"level":"error","ts":1755608432.4613986,"logger":"http.log.error","msg":"dial tcp :3001: connect: connection refused","request":{"remote_ip":"47.79.200.119","remote_port":"54239","client_ip":"47.79.200.119","proto":"HTTP/1.1","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/src/commit/25a72940b8184b41de36fec9a3fcdd6387e006b0/layouts/partials/sidebar/left.html","headers":{"Sec-Ch-Ua-Mobile":["?0"],"Priority":["u=0, i"],"Upgrade-Insecure-Requests":["1"],"Cache-Control":["no-cache"],"Connection":["keep-alive"],"Pragma":["no-cache"],"Accept-Language":["en,en-US"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/91.0.4472.124"],"Sec-Ch-Ua":["\"Google Chrome\";v=\"135\", \"Not-A.Brand\";v=\"8\", \"Chromium\";v=\"135\""],"Accept-Encoding":["gzip, deflate"],"Sec-Ch-Ua-Platform":["\"macOS\""],"Sec-Fetch-Dest":["document"],"Accept":["*/*"],"Sec-Fetch-Mode":["navigate"],"Sec-Fetch-Site":["none"],"Sec-Fetch-User":["?1"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"http/1.1","server_name":"git.cyp0633.icu"}},"duration":0.000191127,"status":502,"err_id":"a7uvn7yxk","err_trace":"reverseproxy.statusError (reverseproxy.go:1373)"}

没想到即使遭遇了数天的HTTP 502，这些IP还是不死心，在坚持不懈地进行访问。一模一样的IP段，一模一样的访问模式，一模一样的假User-Agent。在意识到还是不如套个Cloudflare来得方便后，我便打开了代理开关，把这些IP全都上报到了AbuseIPDB。这个阿里云用户似乎没有完全罢休，在切换到Cloudflare后仍然锲而不舍地爬了好一会，造成了Cloudflare访问统计上的一座高峰；之后还使用阿里云香港，隶属于AS45102的IP继续尝试访问，不过都被Cloudflare挡下来了。

Cloudflare 访问统计

刷爆对象存储，但是细水长流

前段时间阿里云给我发了条短信：

【阿里云】尊敬的cyp*33，截至2025-08-21 18:02:57，您的剩余可用额度为1.24元。根据您以往消费情况预测，剩余可用额度可能不足以支撑您未来7天的消费，为了避免欠费导致产品停止服务，请您及时充值。您可以登录阿里云官网查询账户可用额度信息和延停权益。

当时没太在意，以为是正常的余额消耗，因为虽然OSS一个月花不了几毛钱，但阿里云上还有大模型推理，可能最近用模型太多了。然而过了四天，就用掉了0.71元，消耗速度有些异常：

【阿里云】尊敬的cyp*33，截至2025-08-25 15:02:10，您的剩余可用额度为0.53元。根据您以往消费情况预测，剩余可用额度可能不足以支撑您未来3天的消费。为了避免欠费导致产品停止服务，请您及时充值。您可以登录阿里云官网查询账户可用额度信息和延停权益。

进阿里云一看，才发现是OSS在花钱。为了节省Netlify的空间，提高国内的访问速度，Netlify上仅有博客的核心静态资源，而图片等大文件托管在内地的一个公共读阿里云OSS上。虽然开启了Referer白名单防盗链，但鉴于Referer投可以伪造，所以还是不保险。相比于之前的消耗速度，一天两毛钱已经算是警告了：如果再不处理，恐怕真的要欠费了。

依旧导出了一些OSS的日志：

csv

__source__,__time__,__topic__,acc_access_region,access_id,archive_direct_read_size,bucket,bucket_location,bucket_storage_type,cdn_in,cdn_out,client_ip,content_length_in,content_length_out,delta_data_size,ec,end_time,error_code,extend_information,get_request,host,http_method,http_status,http_type,intranet_in,intranet_out,logging_flag,metering_datasize,metering_datasize_ca,metering_datasize_zrs,metering_datasize_zrsii,network_in,network_out,object,object_size,operation,owner_id,process_img,process_img_size,put_request,referer,region,request_id,request_length,request_uri,requester_id,response_body_length,response_time,restore_priority,server_cost_time,sign_type,start_time,storage,storage_type,sync_in,sync_out,sync_request,target_storage_class,time,user_agent,user_defined_log_fields,vpc_addr,vpc_id
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,185189,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,need-for-speed-unbound%2FNeed%20for%20Speed%E2%84%A2%20Unbound%202023-01-22%2010-57-14.mp4_20230122_151607.850.avif,185189,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E979E8569830337BD3AC,750,/need-for-speed-unbound/Need%20for%20Speed%E2%84%A2%20Unbound%202023-01-22%2010-57-14.mp4_20230122_151607.850.avif HTTP/1.1,-,185189,24,-,22,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,76636,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,nuc-homelab%2Fdiskperf.avif,76636,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E97978A51C363838F585,662,/nuc-homelab/diskperf.avif HTTP/1.1,-,76636,41,-,41,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,233860,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,vscode-latex%2Fvscode-with-extension.avif,233860,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E97978A51C35354AF585,676,/vscode-latex/vscode-with-extension.avif HTTP/1.1,-,233860,33,-,31,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,144022,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,windows-11-bugs%2Fwin11bug21.avif,144022,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E9794A68943931DED990,668,/windows-11-bugs/win11bug21.avif HTTP/1.1,-,144022,31,-,30,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,158049,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,wild-chicken-university%2Ftianyancha.avif,158049,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E9798F796838331F52B9,676,/wild-chicken-university/tianyancha.avif HTTP/1.1,-,158049,30,-,27,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,28216,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,vmware-ubuntu-12.04%2Faccount.avif,28216,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E9792E174C34349AADA1,669,/vmware-ubuntu-12.04/account.avif HTTP/1.1,-,28216,33,-,32,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,55299,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,windows-11-21996-leaked%2Fstart-menu.avif,55299,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E979AF9A9630396238AC,676,/windows-11-21996-leaked/start-menu.avif HTTP/1.1,-,55299,27,-,26,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,14143,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,windows-11-21996-leaked%2Foobe4.avif,14143,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E979AF9A9635306338AC,671,/windows-11-21996-leaked/oobe4.avif HTTP/1.1,-,14143,33,-,32,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,20354,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,windows-11-21996-leaked%2Fwindows-10-calendar.avif,20354,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E9798D51EC3531998676,685,/windows-11-21996-leaked/windows-10-calendar.avif HTTP/1.1,-,20354,34,-,34,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,32798,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,windows-11-21996-leaked%2Foobe5.avif,32798,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E9798D51EC3230A48676,671,/windows-11-21996-leaked/oobe5.avif HTTP/1.1,-,32798,32,-,30,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,61159,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,windows-11-bugs%2Fwin11bug5.avif,61159,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E979C759F63035B22080,667,/windows-11-bugs/win11bug5.avif HTTP/1.1,-,61159,23,-,18,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,199772,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,nuc-homelab%2Fsiyuan.avif,199772,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E979C70CA13536A34EB1,660,/nuc-homelab/siyuan.avif HTTP/1.1,-,199772,45,-,44,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,41757,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,csapp-bufferlab%2Fstackframe.avif,41757,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E979C70CA13931A94EB1,668,/csapp-bufferlab/stackframe.avif HTTP/1.1,-,41757,67,-,66,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0

__source__,__time__,__topic__,acc_access_region,access_id,archive_direct_read_size,bucket,bucket_location,bucket_storage_type,cdn_in,cdn_out,client_ip,content_length_in,content_length_out,delta_data_size,ec,end_time,error_code,extend_information,get_request,host,http_method,http_status,http_type,intranet_in,intranet_out,logging_flag,metering_datasize,metering_datasize_ca,metering_datasize_zrs,metering_datasize_zrsii,network_in,network_out,object,object_size,operation,owner_id,process_img,process_img_size,put_request,referer,region,request_id,request_length,request_uri,requester_id,response_body_length,response_time,restore_priority,server_cost_time,sign_type,start_time,storage,storage_type,sync_in,sync_out,sync_request,target_storage_class,time,user_agent,user_defined_log_fields,vpc_addr,vpc_id
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,185189,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,need-for-speed-unbound%2FNeed%20for%20Speed%E2%84%A2%20Unbound%202023-01-22%2010-57-14.mp4_20230122_151607.850.avif,185189,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E979E8569830337BD3AC,750,/need-for-speed-unbound/Need%20for%20Speed%E2%84%A2%20Unbound%202023-01-22%2010-57-14.mp4_20230122_151607.850.avif HTTP/1.1,-,185189,24,-,22,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,76636,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,nuc-homelab%2Fdiskperf.avif,76636,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E97978A51C363838F585,662,/nuc-homelab/diskperf.avif HTTP/1.1,-,76636,41,-,41,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,233860,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,vscode-latex%2Fvscode-with-extension.avif,233860,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E97978A51C35354AF585,676,/vscode-latex/vscode-with-extension.avif HTTP/1.1,-,233860,33,-,31,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,144022,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,windows-11-bugs%2Fwin11bug21.avif,144022,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E9794A68943931DED990,668,/windows-11-bugs/win11bug21.avif HTTP/1.1,-,144022,31,-,30,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,158049,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,wild-chicken-university%2Ftianyancha.avif,158049,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E9798F796838331F52B9,676,/wild-chicken-university/tianyancha.avif HTTP/1.1,-,158049,30,-,27,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,28216,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,vmware-ubuntu-12.04%2Faccount.avif,28216,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E9792E174C34349AADA1,669,/vmware-ubuntu-12.04/account.avif HTTP/1.1,-,28216,33,-,32,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,55299,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,windows-11-21996-leaked%2Fstart-menu.avif,55299,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E979AF9A9630396238AC,676,/windows-11-21996-leaked/start-menu.avif HTTP/1.1,-,55299,27,-,26,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,14143,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,windows-11-21996-leaked%2Foobe4.avif,14143,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E979AF9A9635306338AC,671,/windows-11-21996-leaked/oobe4.avif HTTP/1.1,-,14143,33,-,32,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,20354,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,windows-11-21996-leaked%2Fwindows-10-calendar.avif,20354,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E9798D51EC3531998676,685,/windows-11-21996-leaked/windows-10-calendar.avif HTTP/1.1,-,20354,34,-,34,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,32798,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,windows-11-21996-leaked%2Foobe5.avif,32798,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E9798D51EC3230A48676,671,/windows-11-21996-leaked/oobe5.avif HTTP/1.1,-,32798,32,-,30,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,61159,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,windows-11-bugs%2Fwin11bug5.avif,61159,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E979C759F63035B22080,667,/windows-11-bugs/win11bug5.avif HTTP/1.1,-,61159,23,-,18,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,199772,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,nuc-homelab%2Fsiyuan.avif,199772,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E979C70CA13536A34EB1,660,/nuc-homelab/siyuan.avif HTTP/1.1,-,199772,45,-,44,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0
log_dispatch,1756752249,oss_access_log,-,-,-,cyp0633-blogasset,oss-cn-qingdao-h,standard,,,46.62.169.27,-,41757,-,-,,-,-,,cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,GET,200,https,,,true,,,,,,,csapp-bufferlab%2Fstackframe.avif,41757,GetObject,1385315732671155,,,,https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com,,68B5E979C70CA13931A94EB1,668,/csapp-bufferlab/stackframe.avif HTTP/1.1,-,41757,67,-,66,NotSign,,,,,,-,-,02/Sep/2025:02:44:09,"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36",-,172563320,0

在开启日志后5天的时间里，OSS总共有10217次访问，而其中：

有一个IP 46.62.169.27猜出了我的Referer白名单，访问了 5571 次，其中最多的一个小时访问了376次；
有至少7个GCP的IP带着Thumbor的User-Agent和空Referer访问了1451次，鉴于我并不用这个软件，应该是被盗图了；
还有一些其他的可疑访问，但数量较少。

为了防止进一步当冤大头，我再次开始了vibe。ChatGPT给我提供了一个方案：利用Netlify Functions给图片签名，一次访问签整个页面的图片，然后用户使用带签名的URL访问OSS。OSS可以设为私有读，从而防止被猜出OSS白名单；签名TTL可以设置得很小，以防止损失过大。以下是基于Hugo完整的代码，虽然全是vibe的，但证明有效。

netlify/functions/sign-oss.js，在Netlify服务器上运行，用于访问阿里服务器进行签名（同时要安装 ali-oss NPM包）：

javascript

'use strict';

const OSS = require('ali-oss');

// Allow all by default for a dedicated bucket; override via OSS_ALLOWED_PREFIXES
const RAW_PREFIXES = process.env.OSS_ALLOWED_PREFIXES;
const ALLOWED_PREFIXES = (RAW_PREFIXES && RAW_PREFIXES.trim().length > 0 ? RAW_PREFIXES : '*')
 .split(',').map(s => s.trim()).filter(Boolean);

function isAllowedKey(key) {
 if (!/^[\w\-./]+$/.test(key)) return false;
 if (ALLOWED_PREFIXES.includes('*')) return true;
 return ALLOWED_PREFIXES.some(p => key.startsWith(p));
}

function parseAllowedOrigins() {
 return (process.env.ALLOWED_ORIGINS || '')
  .split(',')
  .map(s => s.trim())
  .filter(Boolean);
}

const client = new OSS({
 region: process.env.OSS_REGION,
 accessKeyId: process.env.OSS_ACCESS_KEY_ID,
 accessKeySecret: process.env.OSS_ACCESS_KEY_SECRET,
 bucket: process.env.OSS_BUCKET
});

exports.handler = async (event) => {
 try {
  const method = (event.httpMethod || 'GET').toUpperCase();
  const headers = event.headers || {};
  const origin = headers.origin || headers.Origin || '';
  const allowedOrigins = parseAllowedOrigins();
  const acao = allowedOrigins.length ? (allowedOrigins.includes(origin) ? origin : '*') : '*';

  if (method === 'OPTIONS') {
   return {
    statusCode: 204,
    headers: {
     'access-control-allow-origin': acao,
     'access-control-allow-methods': 'GET,POST,OPTIONS',
     'access-control-allow-headers': 'content-type',
     'cache-control': 'private, max-age=60'
    }
   };
  }

  if (method !== 'GET' && method !== 'POST') {
   return { statusCode: 405, body: 'Method Not Allowed' };
  }

  if (allowedOrigins.length && !allowedOrigins.includes(origin)) {
   return { statusCode: 403, body: 'Forbidden', headers: { 'access-control-allow-origin': acao } };
  }

  let keys = [], ttl = 600;
  if (method === 'GET') {
   const qs = event.queryStringParameters || {};
   const rawKeys = qs.keys || '';
   keys = String(rawKeys).split(',').map(s => s.trim()).filter(Boolean);
   ttl = parseInt(qs.ttl || '600', 10);
  } else {
   let bodyObj = {};
   if (event.body) {
    try {
     const text = event.isBase64Encoded ? Buffer.from(event.body, 'base64').toString('utf8') : event.body;
     bodyObj = JSON.parse(text);
    } catch (_) {
     bodyObj = {};
    }
   }
   keys = Array.isArray(bodyObj.keys) ? bodyObj.keys : [];
   ttl = parseInt(bodyObj.ttl ?? 600, 10);
  }

  ttl = Math.min(Math.max(ttl, 30), 3600);
  const sanitized = keys.filter(isAllowedKey);
  if (sanitized.length === 0) {
   return {
    statusCode: 400,
    headers: { 'access-control-allow-origin': acao },
    body: JSON.stringify({ error: 'No valid keys' })
   };
  }

  const now = Math.floor(Date.now() / 1000);
  const urls = await Promise.all(sanitized.map(async (key) => {
   const url = client.signatureUrl(key, { expires: ttl, method: 'GET' });
   return { key, url, exp: now + ttl };
  }));

  return {
   statusCode: 200,
   headers: {
    'content-type': 'application/json; charset=utf-8',
    'cache-control': 'private, max-age=60',
    'access-control-allow-origin': acao,
    'access-control-allow-methods': 'GET,POST,OPTIONS',
    'access-control-allow-headers': 'content-type'
   },
   body: JSON.stringify({ urls })
  };
 } catch (e) {
  return { statusCode: 500, body: JSON.stringify({ error: 'Server error' }) };
 }
};

'use strict';

const OSS = require('ali-oss');

// Allow all by default for a dedicated bucket; override via OSS_ALLOWED_PREFIXES
const RAW_PREFIXES = process.env.OSS_ALLOWED_PREFIXES;
const ALLOWED_PREFIXES = (RAW_PREFIXES && RAW_PREFIXES.trim().length > 0 ? RAW_PREFIXES : '*')
 .split(',').map(s => s.trim()).filter(Boolean);

function isAllowedKey(key) {
 if (!/^[\w\-./]+$/.test(key)) return false;
 if (ALLOWED_PREFIXES.includes('*')) return true;
 return ALLOWED_PREFIXES.some(p => key.startsWith(p));
}

function parseAllowedOrigins() {
 return (process.env.ALLOWED_ORIGINS || '')
  .split(',')
  .map(s => s.trim())
  .filter(Boolean);
}

const client = new OSS({
 region: process.env.OSS_REGION,
 accessKeyId: process.env.OSS_ACCESS_KEY_ID,
 accessKeySecret: process.env.OSS_ACCESS_KEY_SECRET,
 bucket: process.env.OSS_BUCKET
});

exports.handler = async (event) => {
 try {
  const method = (event.httpMethod || 'GET').toUpperCase();
  const headers = event.headers || {};
  const origin = headers.origin || headers.Origin || '';
  const allowedOrigins = parseAllowedOrigins();
  const acao = allowedOrigins.length ? (allowedOrigins.includes(origin) ? origin : '*') : '*';

  if (method === 'OPTIONS') {
   return {
    statusCode: 204,
    headers: {
     'access-control-allow-origin': acao,
     'access-control-allow-methods': 'GET,POST,OPTIONS',
     'access-control-allow-headers': 'content-type',
     'cache-control': 'private, max-age=60'
    }
   };
  }

  if (method !== 'GET' && method !== 'POST') {
   return { statusCode: 405, body: 'Method Not Allowed' };
  }

  if (allowedOrigins.length && !allowedOrigins.includes(origin)) {
   return { statusCode: 403, body: 'Forbidden', headers: { 'access-control-allow-origin': acao } };
  }

  let keys = [], ttl = 600;
  if (method === 'GET') {
   const qs = event.queryStringParameters || {};
   const rawKeys = qs.keys || '';
   keys = String(rawKeys).split(',').map(s => s.trim()).filter(Boolean);
   ttl = parseInt(qs.ttl || '600', 10);
  } else {
   let bodyObj = {};
   if (event.body) {
    try {
     const text = event.isBase64Encoded ? Buffer.from(event.body, 'base64').toString('utf8') : event.body;
     bodyObj = JSON.parse(text);
    } catch (_) {
     bodyObj = {};
    }
   }
   keys = Array.isArray(bodyObj.keys) ? bodyObj.keys : [];
   ttl = parseInt(bodyObj.ttl ?? 600, 10);
  }

  ttl = Math.min(Math.max(ttl, 30), 3600);
  const sanitized = keys.filter(isAllowedKey);
  if (sanitized.length === 0) {
   return {
    statusCode: 400,
    headers: { 'access-control-allow-origin': acao },
    body: JSON.stringify({ error: 'No valid keys' })
   };
  }

  const now = Math.floor(Date.now() / 1000);
  const urls = await Promise.all(sanitized.map(async (key) => {
   const url = client.signatureUrl(key, { expires: ttl, method: 'GET' });
   return { key, url, exp: now + ttl };
  }));

  return {
   statusCode: 200,
   headers: {
    'content-type': 'application/json; charset=utf-8',
    'cache-control': 'private, max-age=60',
    'access-control-allow-origin': acao,
    'access-control-allow-methods': 'GET,POST,OPTIONS',
    'access-control-allow-headers': 'content-type'
   },
   body: JSON.stringify({ urls })
  };
 } catch (e) {
  return { statusCode: 500, body: JSON.stringify({ error: 'Server error' }) };
 }
};

netlify.toml 添加配置，指定函数目录：

toml

[build]
  functions = "netlify/functions"

[functions]
  node_bundler = "esbuild"

config.toml，定义OSS前缀链接：

toml

[params.oss]
hosts = [
  "https://cyp0633-blogasset.oss-cn-qingdao.aliyuncs.com/",
  "https://cyp0633-blogasset.cn-qingdao.oss.aliyuncs.com/"
]

layouts/_default/_markup/render-image.html，将具有上述前缀的链接替换为 data-oss-key：

html

{{- /*
 Override: detect OSS remote images and emit data-oss-key for client signing,
 other images fall back to theme default behavior.
*/ -}}
{{- $dest := .Destination | safeURL -}}
{{- $alt := .PlainText | safeHTML -}}

{{- /* Determine if remote and hosted on OSS */ -}}
{{- $isRemote := or (hasPrefix $dest "http://") (hasPrefix $dest "https://") -}}
{{- $ossHosts := site.Params.oss.hosts | default (slice) -}}
{{- $matchOss := false -}}
{{- if $isRemote -}}
 {{- if gt (len $ossHosts) 0 -}}
  {{- range $ossHosts -}}
   {{- if hasPrefix $dest . -}}
    {{- $matchOss = true -}}
   {{- end -}}
  {{- end -}}
 {{- else -}}
  {{- /* Fallback: aliyun OSS domain heuristic (aliyuncs.com and aliyun.com) */ -}}
  {{- if or (findRE `^https?://[^/]*(aliyuncs\.com)/` $dest) (findRE `^https?://[^/]*(aliyun\.com)/` $dest) -}}
   {{- $matchOss = true -}}
  {{- end -}}
 {{- end -}}
{{- end -}}

{{- if and $isRemote $matchOss -}}
 {{- /* Extract object key (path without leading slash) */ -}}
 {{- $key := (replaceRE `^https?://[^/]*/` `` $dest) -}}
 {{- $key = (replaceRE `^/` `` $key) -}}
 {{- $placeholder := `data:image/gif;base64,R0lGODlhAQABAIAAAAAAAP///ywAAAAAAQABAAACAUwAOw==` -}}
 <figure style="max-width: 80%; margin: auto;">
  <img data-oss-key="{{ $key }}" src="{{ $placeholder | safeURL }}" loading="lazy" {{ with $alt }} alt="{{ . }}" {{ end }}
   style="width: 100%; height: auto; max-height: 70vh; object-fit: contain;">
  {{ if .Title }}
  <figcaption>{{ .Title | markdownify }}</figcaption>
  {{ end }}
 </figure>
{{- else -}}
 {{- /* Default theme behavior for local or non-OSS remote images */ -}}
 {{- $image := .Page.Resources.GetMatch (printf "%s" (.Destination | safeURL)) -}}
 {{- $Permalink := .Destination | relURL | safeURL -}}
 <figure style="max-width: 80%; margin: auto;">
  <img src="{{ $Permalink }}" loading="lazy" {{ with $alt }} alt="{{ . }}" {{ end }}
   style="width: 100%; height: auto; max-height: 70vh; object-fit: contain;">
  {{ if .Title }}
  <figcaption>{{ .Title | markdownify }}</figcaption>
  {{ end }}
 </figure>
{{- end -}}

{{- /*
 Override: detect OSS remote images and emit data-oss-key for client signing,
 other images fall back to theme default behavior.
*/ -}}
{{- $dest := .Destination | safeURL -}}
{{- $alt := .PlainText | safeHTML -}}

{{- /* Determine if remote and hosted on OSS */ -}}
{{- $isRemote := or (hasPrefix $dest "http://") (hasPrefix $dest "https://") -}}
{{- $ossHosts := site.Params.oss.hosts | default (slice) -}}
{{- $matchOss := false -}}
{{- if $isRemote -}}
 {{- if gt (len $ossHosts) 0 -}}
  {{- range $ossHosts -}}
   {{- if hasPrefix $dest . -}}
    {{- $matchOss = true -}}
   {{- end -}}
  {{- end -}}
 {{- else -}}
  {{- /* Fallback: aliyun OSS domain heuristic (aliyuncs.com and aliyun.com) */ -}}
  {{- if or (findRE `^https?://[^/]*(aliyuncs\.com)/` $dest) (findRE `^https?://[^/]*(aliyun\.com)/` $dest) -}}
   {{- $matchOss = true -}}
  {{- end -}}
 {{- end -}}
{{- end -}}

{{- if and $isRemote $matchOss -}}
 {{- /* Extract object key (path without leading slash) */ -}}
 {{- $key := (replaceRE `^https?://[^/]*/` `` $dest) -}}
 {{- $key = (replaceRE `^/` `` $key) -}}
 {{- $placeholder := `data:image/gif;base64,R0lGODlhAQABAIAAAAAAAP///ywAAAAAAQABAAACAUwAOw==` -}}
 <figure style="max-width: 80%; margin: auto;">
  <img data-oss-key="{{ $key }}" src="{{ $placeholder | safeURL }}" loading="lazy" {{ with $alt }} alt="{{ . }}" {{ end }}
   style="width: 100%; height: auto; max-height: 70vh; object-fit: contain;">
  {{ if .Title }}
  <figcaption>{{ .Title | markdownify }}</figcaption>
  {{ end }}
 </figure>
{{- else -}}
 {{- /* Default theme behavior for local or non-OSS remote images */ -}}
 {{- $image := .Page.Resources.GetMatch (printf "%s" (.Destination | safeURL)) -}}
 {{- $Permalink := .Destination | relURL | safeURL -}}
 <figure style="max-width: 80%; margin: auto;">
  <img src="{{ $Permalink }}" loading="lazy" {{ with $alt }} alt="{{ . }}" {{ end }}
   style="width: 100%; height: auto; max-height: 70vh; object-fit: contain;">
  {{ if .Title }}
  <figcaption>{{ .Title | markdownify }}</figcaption>
  {{ end }}
 </figure>
{{- end -}}

assets/ts/custom.ts，用于收集 data-oss-key 请求签名：

typescript

type SignedEntry = { key: string; url: string; exp: number };

function collectOssKeys(): string[] {
 const imgs = Array.from(document.querySelectorAll<HTMLImageElement>('img[data-oss-key]'));
 const keys = imgs
  .map((img) => img.dataset.ossKey || '')
  .filter((k) => k.length > 0);
 return Array.from(new Set(keys));
}

async function fetchSignedUrls(keys: string[], ttlSeconds = 600): Promise<Map<string, string>> {
 const endpoint = '/.netlify/functions/sign-oss';
 const url = `${endpoint}?ttl=${encodeURIComponent(String(ttlSeconds))}&keys=${encodeURIComponent(keys.join(','))}`;
 const res = await fetch(url, { credentials: 'omit', cache: 'no-store' });
 if (!res.ok) return new Map();
 const data = (await res.json()) as { urls?: SignedEntry[] };
 const map = new Map<string, string>();
 (data.urls || []).forEach((u) => {
  if (u && u.key && u.url) map.set(u.key, u.url);
 });
 return map;
}

function applySignedUrls(map: Map<string, string>): void {
 document.querySelectorAll<HTMLImageElement>('img[data-oss-key]').forEach((img) => {
  const key = img.dataset.ossKey || '';
  const signed = key ? map.get(key) : undefined;
  if (signed) {
   img.src = signed;
   img.removeAttribute('data-oss-key');
  }
 });
}

async function initOssSigning(): Promise<void> {
 const keys = collectOssKeys();
 if (keys.length === 0) return;
 try {
  const map = await fetchSignedUrls(keys, 600);
  applySignedUrls(map);
 } catch {
  // no-op
 }
}

if (document.readyState === 'loading') {
 document.addEventListener('DOMContentLoaded', () => {
  void initOssSigning();
 });
} else {
 void initOssSigning();
}

另外还需要在Netlify上设置环境变量：

ALLOWED_PREFIXES：如果所有图片都在同一个目录下可以使用；
OSS_REGION：OSS地域，例如 oss-cn-qingdao；
OSS_BUCKET：OSS Bucket名称，例如 cyp0633-blogasset；
OSS_ACCESS_KEY_ID 和 OSS_ACCESS_KEY_SECRET：访问密钥。

就行了。构建时Hugo会自动将OSS链接替换为key，只能在访问时签名，签名只能用于特定的文件，且有效期有限；即使key特征明显，也无法直接访问OSS。

在部署这个方案之后，收到的成效非常显著：

46.62.169.27再也没有出现过；
盗图的Thumbor也没有再出现过；
搜索引擎索引（包括Bingbot、Googlebot、ChatGPT搜索和Petalbot等）正常访问。

按小时的访问量统计

Top IP 访问量统计

不出意外的话，你也能访问这个页面的图片内容，如果不能的话，请你在评论区留言，除非你的评论区也加载不出来：）

超级分布式Gitea爬虫

其实大家都知道上面的办法治标不治本，我也知道。8月针对爬取Gitea的办法是屏蔽网段+挂CF，而一旦网段这个简单的特征被稀释，或者说爬取者找到了足够大的IP池，这个办法就不会有任何效果了。而对于大的AI训练者来说，他们最不缺的就是钱——起码与几万张B200相比，几台VPS根本不算什么。

于是在10月末，我又收到了这样的日志：

json

{"level":"info","ts":1761649310.1998942,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.70.42.189","remote_port":"11100","client_ip":"172.70.42.189","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/raw/commit/028ae12ea56077fb630bbf12ed46781db583fe2a/layouts/_default/baseof.html","headers":{"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/134.0.0.0 Safari/537.36 Edg/134.0.0.0"],"Accept-Language":["en-US,en;q=0.5"],"Referrer":["https://www.google.com/"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"X-Forwarded-For":["23.239.187.90"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Cdn-Loop":["cloudflare; loops=1"],"X-Forwarded-Proto":["https"],"Cf-Connecting-Ip":["23.239.187.90"],"Cf-Ipcountry":["US"],"Accept-Encoding":["gzip, br"],"Cf-Ray":["9959effb9b4a057f-IAD"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.065625343,"size":352,"status":200,"resp_headers":{"Alt-Svc":["h3=\":443\"; ma=2592000"],"Last-Modified":["Thu, 24 Dec 2020 10:06:58 GMT"],"X-Frame-Options":["SAMEORIGIN"],"Cache-Control":["private, max-age=300"],"Content-Disposition":["inline; filename=\"baseof.html\"; filename*=UTF-8''baseof.html"],"Content-Encoding":["gzip"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Access-Control-Expose-Headers":["Content-Disposition"],"Content-Type":["text/plain; charset=utf-8"],"Server":["Caddy"],"Set-Cookie":["REDACTED"],"X-Content-Type-Options":["nosniff"],"Etag":["\"ce0ddae104d973c67c938411e1c9fc19c4f383ef-gzip\""],"Vary":["Accept-Encoding"]}}
{"level":"info","ts":1761649310.2023957,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"162.158.79.51","remote_port":"11567","client_ip":"162.158.79.51","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/ns3-datacenter/commits/commit/dc680c3cf9a4de64facbb20355ae718e1a51adbb/simulator/bake","headers":{"Cf-Visitor":["{\"scheme\":\"https\"}"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.3"],"Accept-Encoding":["gzip, br"],"Cf-Ray":["9959effb9a9cd679-IAD"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Cdn-Loop":["cloudflare; loops=1"],"Cf-Connecting-Ip":["45.41.164.103"],"X-Forwarded-For":["45.41.164.103"],"Cf-Ipcountry":["US"],"Accept-Language":["en-US,en;q=0.5"],"Referrer":["https://www.google.com/"],"X-Forwarded-Proto":["https"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.071713334,"size":26876,"status":200,"resp_headers":{"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"],"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Set-Cookie":["REDACTED"],"X-Frame-Options":["SAMEORIGIN"]}}
{"level":"info","ts":1761649310.2423117,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.71.166.230","remote_port":"11416","client_ip":"172.71.166.230","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/compiler-lab/raw/commit/f9764c54da2bf5ed944b69de05030d407fd32a16/lab1/convert_test.go","headers":{"Cf-Visitor":["{\"scheme\":\"https\"}"],"Accept-Language":["en-US,en;q=0.5"],"Cf-Connecting-Ip":["140.99.218.213"],"Cf-Ipcountry":["MX"],"User-Agent":["Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.3"],"Referrer":["https://www.google.com/"],"Cf-Ray":["9959effbef97379d-DFW"],"Cdn-Loop":["cloudflare; loops=1"],"X-Forwarded-For":["140.99.218.213"],"Accept-Encoding":["gzip, br"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"X-Forwarded-Proto":["https"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.088202332,"size":1103,"status":200,"resp_headers":{"Alt-Svc":["h3=\":443\"; ma=2592000"],"X-Frame-Options":["SAMEORIGIN"],"Cache-Control":["private, max-age=300"],"Last-Modified":["Sat, 25 Mar 2023 02:59:49 GMT"],"Content-Disposition":["inline; filename=\"convert_test.go\"; filename*=UTF-8''convert_test.go"],"Etag":["\"b4da01f8edc68fb19d2ea64add3fb0cdf169de00-gzip\""],"X-Content-Type-Options":["nosniff"],"Access-Control-Expose-Headers":["Content-Disposition"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Set-Cookie":["REDACTED"],"Server":["Caddy"],"Content-Type":["text/plain; charset=utf-8"],"Content-Encoding":["gzip"],"Vary":["Accept-Encoding"]}}
{"level":"info","ts":1761649310.269168,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.71.210.233","remote_port":"10408","client_ip":"172.71.210.233","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/rss/commit/92a6d71ce5d49583a8ad6ac0819cdbef740e6fe4/exampleSite/README.md","headers":{"Cf-Connecting-Ip":["75.102.28.121"],"User-Agent":["Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.3"],"Accept-Language":["en-US,en;q=0.5"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Cdn-Loop":["cloudflare; loops=1"],"Referrer":["https://www.google.com/"],"Cf-Ray":["9959effd19159b4a-HKG"],"X-Forwarded-Proto":["https"],"Cf-Ipcountry":["JP"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"X-Forwarded-For":["75.102.28.121"],"Accept-Encoding":["gzip, br"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.00977558,"size":9325,"status":404,"resp_headers":{"Set-Cookie":["REDACTED"],"X-Frame-Options":["SAMEORIGIN"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Content-Type":["text/html; charset=utf-8"]}}
{"level":"info","ts":1761649310.327542,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.71.166.230","remote_port":"11416","client_ip":"172.71.166.230","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/rss/commit/57bfea833850e0565cf81d9a26c52359427151a2/archetypes/tags.md","headers":{"Accept-Encoding":["gzip, br"],"Referrer":["https://www.google.com/"],"Cdn-Loop":["cloudflare; loops=1"],"Cf-Connecting-Ip":["23.230.234.184"],"Cf-Ipcountry":["US"],"X-Forwarded-For":["23.230.234.184"],"Accept-Language":["en-US,en;q=0.5"],"Cf-Ray":["9959effcdcf3e956-DFW"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"X-Forwarded-Proto":["https"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/134.0.0.0 Safari/537.36 Trailer/93.3.8652.5"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.013796775,"size":9322,"status":404,"resp_headers":{"X-Frame-Options":["SAMEORIGIN"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"],"Set-Cookie":["REDACTED"]}}
{"level":"info","ts":1761649310.4023278,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.70.115.160","remote_port":"10314","client_ip":"172.70.115.160","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/ns3-datacenter/src/commit/f92fef3b51b8354ae8941280a43a2554c9646017/simulator/pybindgen-0.22.0/tox.ini","headers":{"Cdn-Loop":["cloudflare; loops=1"],"Cf-Connecting-Ip":["213.201.198.112"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"Accept-Encoding":["gzip, br"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/134.0.0.0 Safari/537.3"],"Referrer":["https://www.google.com/"],"X-Forwarded-For":["213.201.198.112"],"Accept-Language":["en-US,en;q=0.5"],"X-Forwarded-Proto":["https"],"Cf-Ray":["9959effbbf96dd82-EWR"],"Cf-Ipcountry":["US"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.26401861,"size":30170,"status":200,"resp_headers":{"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"],"Set-Cookie":["REDACTED"],"X-Frame-Options":["SAMEORIGIN"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"]}}
{"level":"info","ts":1761649310.4635193,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.70.38.6","remote_port":"14185","client_ip":"172.70.38.6","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/ModelComputer/commits/commit/8f16f8e97d493fd4683831f95cd8825f4ea9f760/ALU","headers":{"Accept-Encoding":["gzip, br"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Cf-Connecting-Ip":["23.226.223.128"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"Accept-Language":["en-US,en;q=0.5"],"Cf-Ray":["9959effc7d1c392b-IAD"],"Cdn-Loop":["cloudflare; loops=1"],"X-Forwarded-For":["23.226.223.128"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.3"],"Referrer":["https://www.google.com/"],"X-Forwarded-Proto":["https"],"Cf-Ipcountry":["US"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.195946316,"size":26304,"status":200,"resp_headers":{"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Set-Cookie":["REDACTED"],"X-Frame-Options":["SAMEORIGIN"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"]}}
{"level":"info","ts":1761649310.4655995,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.71.194.111","remote_port":"14185","client_ip":"172.71.194.111","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/src/commit/c41a3e0621b51c831804502d761b2ddd370ccd38/layouts/index.html","headers":{"Referrer":["https://www.google.com/"],"Accept-Language":["en-US,en;q=0.5"],"X-Forwarded-Proto":["https"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/132.0.0.0 Safari/537.36 OPR/117.0.0.0"],"X-Forwarded-For":["89.116.14.139"],"Cf-Ray":["9959effc0c1cd6e8-IAD"],"Cf-Connecting-Ip":["89.116.14.139"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"Accept-Encoding":["gzip, br"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Cdn-Loop":["cloudflare; loops=1"],"Cf-Ipcountry":["US"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.262741163,"size":32454,"status":200,"resp_headers":{"Set-Cookie":["REDACTED"],"X-Frame-Options":["SAMEORIGIN"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"]}}
{"level":"info","ts":1761649310.472112,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"162.158.175.131","remote_port":"11188","client_ip":"162.158.175.131","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/ns3-datacenter/src/commit/281afc20f5e6a6ba20a13cab31e730a435959050/simulator/ns-3.39/.vscode/tasks.json","headers":{"Referrer":["https://www.google.com/"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"Cf-Connecting-Ip":["45.56.186.71"],"Accept-Encoding":["gzip, br"],"Cf-Ray":["9959effbb9ee4796-DFW"],"X-Forwarded-Proto":["https"],"Accept-Language":["en-US,en;q=0.5"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.3"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Cdn-Loop":["cloudflare; loops=1"],"Cf-Ipcountry":["US"],"X-Forwarded-For":["45.56.186.71"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.342308283,"size":35925,"status":200,"resp_headers":{"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"],"Set-Cookie":["REDACTED"],"X-Frame-Options":["SAMEORIGIN"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"]}}
{"level":"info","ts":1761649310.4908528,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.69.22.17","remote_port":"12062","client_ip":"172.69.22.17","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/ns3-datacenter/src/commit/40b84300cf5bc6b41953239419aa8b9022a793d4/simulator/ns-3.35/bindings/python/ns__init__.py","headers":{"Referrer":["https://www.google.com/"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Cdn-Loop":["cloudflare; loops=1"],"Accept-Encoding":["gzip, br"],"X-Forwarded-Proto":["https"],"Cf-Ray":["9959effbeaef15e1-SJC"],"Cf-Ipcountry":["US"],"X-Forwarded-For":["166.0.180.40"],"User-Agent":["Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.10 Safari/605.1.1"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"Accept-Language":["en-US,en;q=0.5"],"Cf-Connecting-Ip":["166.0.180.40"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.341574757,"size":28822,"status":200,"resp_headers":{"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"],"Set-Cookie":["REDACTED"],"X-Frame-Options":["SAMEORIGIN"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"]}}
{"level":"info","ts":1761649310.4981875,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.71.191.124","remote_port":"12844","client_ip":"172.71.191.124","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/blame/commit/a5986b92fdd601bd8b9e6907b01750bf9fbde741/layouts/_default/single.html","headers":{"User-Agent":["Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.10 Safari/605.1.1"],"Accept-Language":["en-US,en;q=0.5"],"X-Forwarded-Proto":["https"],"Cf-Connecting-Ip":["104.194.220.229"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"X-Forwarded-For":["104.194.220.229"],"Cf-Ray":["9959effbfb0be639-IAD"],"Cdn-Loop":["cloudflare; loops=1"],"Accept-Encoding":["gzip, br"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Cf-Ipcountry":["US"],"Referrer":["https://www.google.com/"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.297898894,"size":86599,"status":200,"resp_headers":{"Set-Cookie":["REDACTED"],"X-Frame-Options":["SAMEORIGIN"],"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"]}}
{"level":"info","ts":1761649310.509331,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"162.158.122.174","remote_port":"10970","client_ip":"162.158.122.174","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/src/commit/34cd7852bc115f926b131e99c6384609d048f28f/layouts/partials/pagination.html","headers":{"Referrer":["https://www.google.com/"],"Cdn-Loop":["cloudflare; loops=1"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"X-Forwarded-For":["45.157.185.71"],"Accept-Language":["en-US,en;q=0.5"],"Accept-Encoding":["gzip, br"],"Cf-Ray":["9959effc4a4acbb6-MAD"],"Cf-Ipcountry":["ES"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.3"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"X-Forwarded-Proto":["https"],"Cf-Connecting-Ip":["45.157.185.71"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.291499759,"size":36375,"status":200,"resp_headers":{"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"X-Frame-Options":["SAMEORIGIN"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"],"Set-Cookie":["REDACTED"]}}
{"level":"info","ts":1761649310.5167801,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.71.23.49","remote_port":"10556","client_ip":"172.71.23.49","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/NanaMail-android/src/commit/59c843537d84d1c6737d5d71a708b459ab53cf98/.idea/gradle.xml","headers":{"Cf-Ipcountry":["US"],"Cf-Connecting-Ip":["85.254.125.48"],"X-Forwarded-For":["85.254.125.48"],"Accept-Language":["en-US,en;q=0.5"],"Referrer":["https://www.google.com/"],"Cf-Ray":["9959effc2e95afbf-ATL"],"User-Agent":["Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.3"],"Accept-Encoding":["gzip, br"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"Cdn-Loop":["cloudflare; loops=1"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"X-Forwarded-Proto":["https"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.298081216,"size":34775,"status":200,"resp_headers":{"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"],"Set-Cookie":["REDACTED"],"X-Frame-Options":["SAMEORIGIN"]}}
{"level":"info","ts":1761649310.5189972,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.68.234.49","remote_port":"11517","client_ip":"172.68.234.49","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/ostep-homework/commits/commit/375d19ba4b693a0f70f7632b82729fb212471564/threads-locks/test-and-set.s","headers":{"Cdn-Loop":["cloudflare; loops=1"],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.3"],"Cf-Ray":["9959effd0f4de1cd-MRS"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Referrer":["https://www.google.com/"],"Cf-Ipcountry":["IN"],"X-Forwarded-For":["110.44.2.253"],"X-Forwarded-Proto":["https"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"Cf-Connecting-Ip":["110.44.2.253"],"Accept-Language":["en-US,en;q=0.5"],"Accept-Encoding":["gzip, br"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.195997813,"size":26607,"status":200,"resp_headers":{"Set-Cookie":["REDACTED"],"X-Frame-Options":["SAMEORIGIN"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"]}}
{"level":"info","ts":1761649310.554788,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"104.23.190.253","remote_port":"10096","client_ip":"104.23.190.253","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/ns3-datacenter/src/commit/cbf82ca5c485aa25a521641d98f7057869b65c98/simulator/netanim-3.109/qtpropertybrowser/src/QtCheckBoxFactory","headers":{"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.3"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"Cf-Ray":["9959effc08b82732-EWR"],"Cdn-Loop":["cloudflare; loops=1"],"X-Forwarded-Proto":["https"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Cf-Ipcountry":["US"],"X-Forwarded-For":["84.37.134.1"],"Accept-Language":["en-US,en;q=0.5"],"Accept-Encoding":["gzip, br"],"Referrer":["https://www.google.com/"],"Cf-Connecting-Ip":["84.37.134.1"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.362997391,"size":29091,"status":200,"resp_headers":{"Content-Type":["text/html; charset=utf-8"],"Set-Cookie":["REDACTED"],"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"X-Frame-Options":["SAMEORIGIN"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"]}}
{"level":"info","ts":1761649310.5676897,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.71.175.92","remote_port":"12402","client_ip":"172.71.175.92","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/ostep-homework/blame/commit/a9800f62f7c4b5b73acf8b239912981066893c30/threads-cv/main-common.c","headers":{"Cf-Visitor":["{\"scheme\":\"https\"}"],"Cdn-Loop":["cloudflare; loops=1"],"User-Agent":["Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.3"],"Cf-Ray":["9959effcecf13acd-DFW"],"X-Forwarded-For":["85.254.139.44"],"Accept-Encoding":["gzip, br"],"Cf-Connecting-Ip":["85.254.139.44"],"Cf-Ipcountry":["US"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Accept-Language":["en-US,en;q=0.5"],"Referrer":["https://www.google.com/"],"X-Forwarded-Proto":["https"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.232635982,"size":148573,"status":200,"resp_headers":{"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"],"Set-Cookie":["REDACTED"],"X-Frame-Options":["SAMEORIGIN"]}}
{"level":"info","ts":1761649310.5740168,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"172.70.34.170","remote_port":"12627","client_ip":"172.70.34.170","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/k12-math-paper-generator/commits/commit/a42e3bc68b2f3285da3368127b642b5999fef9a0/frontend/src/App.vue","headers":{"X-Forwarded-For":["89.116.14.10"],"X-Forwarded-Proto":["https"],"Cf-Ipcountry":["US"],"User-Agent":["Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.10 Safari/605.1.1"],"Accept-Language":["en-US,en;q=0.5"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Accept-Encoding":["gzip, br"],"Referrer":["https://www.google.com/"],"Cdn-Loop":["cloudflare; loops=1"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"Cf-Ray":["9959effc0f995a45-IAD"],"Cf-Connecting-Ip":["89.116.14.10"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.371793012,"size":68154,"status":200,"resp_headers":{"Alt-Svc":["h3=\":443\"; ma=2592000"],"X-Frame-Options":["SAMEORIGIN"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"],"Set-Cookie":["REDACTED"],"Server":["Caddy"]}}
{"level":"info","ts":1761649310.6670785,"logger":"http.log.access.log1","msg":"handled request","request":{"remote_ip":"162.158.167.69","remote_port":"12289","client_ip":"162.158.167.69","proto":"HTTP/2.0","method":"GET","host":"git.cyp0633.icu","uri":"/cyp0633/stack-mod/blame/commit/41c3033d1ac6b9596ce3ae861484e855b619705a/i18n/en.yaml","headers":{"Referrer":["https://www.google.com/"],"Accept-Encoding":["gzip, br"],"Cf-Ray":["9959effec835cf2e-SJC"],"Cf-Connecting-Ip":["50.114.108.24"],"Accept":["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"],"Cdn-Loop":["cloudflare; loops=1"],"Cf-Ipcountry":["US"],"Cf-Visitor":["{\"scheme\":\"https\"}"],"User-Agent":["Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.10 Safari/605.1.1"],"Accept-Language":["en-US,en;q=0.5"],"X-Forwarded-For":["50.114.108.24"],"X-Forwarded-Proto":["https"]},"tls":{"resumed":false,"version":772,"cipher_suite":4865,"proto":"h2","server_name":"git.cyp0633.icu"}},"bytes_read":0,"user_id":"","duration":0.064485444,"size":121024,"status":200,"resp_headers":{"X-Frame-Options":["SAMEORIGIN"],"Server":["Caddy"],"Alt-Svc":["h3=\":443\"; ma=2592000"],"Date":["Tue, 28 Oct 2025 11:01:50 GMT"],"Cache-Control":["max-age=0, private, must-revalidate, no-transform"],"Content-Type":["text/html; charset=utf-8"],"Set-Cookie":["REDACTED"]}}

与上次Gitea被大规模爬取不同，日志中的2134个不同的源IP来自世界各地的不同国家，也有着各种可以以假乱真的User-Agent，光凭最简单的两个特征已经无法分辨爬虫和正常访问；Referrer 字段倒是统一的Google，一个根本无法屏蔽的值。在开始记录到爬取停止的30分钟内总共有超过25000条请求，也就是说平均每秒近14条，且endpoint基本都是 /src、/raw/ 和 /blame/ 之类的高开销请求。

怎么办呢？部分在ChatGPT的帮助下（用AI防御AI），本着尽量不影响正常用户访问（虽然没几个）、尽量block掉爬虫的原则，有了这么几种办法：

表层特征过滤和速率限制

由于爬虫有着巨大的IP池和不断变化的User-Agent，这些表层措施（甚至包括fail2ban）可以说收效甚微。而这些爬虫IP十分随机，以至于试了好几个都在AbuseIPDB上完全没有风险，下载其数据库也无法有效匹配。

同样的，由于请求被分摊到了大量IP上，针对IP做限速也是完全无效的。半小时的请求平均下来每个IP才12次，真人的请求都比这个多。

JS challenge

就像前两天被打得叫苦不迭的GNOME GitLab和AUR一样，上Anubis之类的JS challenge？其实很可能没什么用，从代价来看它根本防御不了爬虫。

无节制的爬虫与DDoS有着本质的区别。DDoS的目的是把服务器打垮、资源耗尽，即内存频繁缺页、CPU负载过高、刷爆CDN流量，或是令网络提供商不得不进行路由黑洞等，而不追求真的能访问到网页内容，因此DDoS通常有着极高的强度，而平均到每次请求所允许的开销很低，尤其考虑到DDoS的直接请求者经常是各种IoT肉鸡的情况下。从这个角度上来说，JS challenge通过大幅增加请求者的计算开销来阻挡DDoS是非常有效的。

而爬虫则不同。一方面，它们在提高爬取强度之前，需要确保访问的内容是可用的，所以不会以“打死”为目的；另一方面，财大气粗的AI企业能够购买大量合法的网络资源。更多的总资源，更少的请求频率，使得分配到每次请求的计算开销显著提高，即使让爬虫去解JS challenge成本也是可控的，AI企业有足够的动机去做这件事。

上面链接中的博客说的是同一件事。计算发现解一个Anubis这样的challenge成本几乎为零，而某个刚刚套壳了别人模型的厂恰巧也发现了，只要给爬虫加个runtime就行了。

Gitea限制用户访问

Gitea配置中自带一个限制高开销endpoint的选项：

ini

1
2

[service]
REQUIRE_SIGNIN_VIEW = expensive

开启后，所有未登录用户访问 /src、/raw/、/blame/ 等高开销页面时会被重定向到登录页面。这非常非常有效，只需检测一下登录状态，就能让正常用户继续访问，起码可以clone下来仓库自己研究，而爬虫则会收到一个Unauthorized。

直到爬虫（或者后面的人）找到了个口子：/compare/ 路径。不知为何这个路径没有被Gitea算作高开销，反而实际上开销比前三个更大。所以这个办法也宣告失败了。

自己写一层gateway

Anubis也是gateway，不过自己写一个gateway可以做很多自由的事，甚至坏事。Gitea本身对外提供OAuth2接口，可以在gateway中判断是否登录，然后决定是否放行请求。还可以根据系统负载来动态决定是否对未登录用户进行更严格的限制。

我有一个坏想法：Gitea的上述高开销端点都是根据模板渲染出来的，gateway也可以使用这些模板来伪造以假乱真的响应内容。与此同时，也有足够轻量的生成乱序假代码的逻辑。你可能猜到了我的目的：对爬虫进行投毒。只要做好足够的禁止爬虫声明，并在渲染出来的网页上显著标识“这是伪造内容”，大概便无需为此而自责，正常人应该都可以识别出来。

只是写这样的gateway有点工作量，等开题结束再说吧。

深层特征辨别

TLS指纹也算是一种特征，这可能是一种可行的方向，但效率恐怕没有下面这种的高。

验证Cookie

同样是揭露 Anubis 有效性的那篇博客探讨了一种Caddy设置cookie的方法（具体请自己点进去看），我推测这是一个非常简单且有效的办法。Gitea对于每个初次访问者都会设置CSRF token cookie，而统计发现上述爬取时段内非首次访问的请求仅有0.41% 具有cookie；这证明了这些爬虫没有处理cookie的能力。

这个博客提到的方法中，如果没有携带cookie，则仅能返回一个自动刷新的空页面；而携带了cookie的请求则会被正常转发到后端Gitea。这样一来，爬虫就只能拿到空页面了。

未雨绸缪，好消息是我的博客是静态页面，爬也没用。坏消息是评论系统是动态的，而且开销还不低。不过也好搞，到时候把评论关了完事。

Meta连爬6天

怎么都挑我时间紧的时候打啊，上次是忙开题，这次又是忙找实习，我真没空陪你们闹了。

感谢阿里巴巴公开免费的Qwen3.6-Plus，对于这些数据分析来说非常够用，又没有GPT-5.4那样的严重AI味。

最重量级的一集，robots.txt 也不管，登录限制的endpoint遇到redirect也嗯爬，之前提到的 /compare/ 口子也嗯爬，6天爬了110万次请求。几点观察：

完全无视 robots.txt，作为落在通配符上的其他UA，仍然应爬尽爬。
前几天的爬取主要落在 src、commits、raw、blame、rss 等endpoint上，而最近几个小时才转移到 compare 这个未拦截的端点。所以到第6天才被腾讯云告警发现，之前流量也没浪费多少。
6天内也不是一直在爬，每天总有那么几个小时没有爬；但在爬取时段，基本维持在每秒3次左右的频率上。
find、releases、actions、commit、activity 等endpoint也有所爬取，但并不随着commit变化，加之 find 被验证登录了，所以频率也不高，加起来才几千次请求。
几个高开销端点的commit hash均为真实存在，我就奇怪了，上述的endpoint都加了登录限制，compare爬得又晚，它到底是怎么知道commit hash的？而且有36%的请求是重复的，看样子还是不太死心。
IP段比较集中，103个IPv6分布在2a03:2880:f810::/48下，101个IPv4分布在/24下，都是Meta自己的归属地西雅图的IP。

当然，也不是所有的bot都遵守了 robots.txt 要求，但是这么久的请求中，根本不查询这些要求的，只有Meta一家别无分店。不同于ExternalFetcher，ExternalAgent并没有标明不遵守 robots.txt。

UA	结论
meta-externalagent/1.1	❌ 从未查询，直接无视
Applebot	❌ 查了但照爬不误
DotBot/1.2 (Moz)	✅ 完全遵守
YandexBot/3.0	✅ 完全遵守（在允许名单内）
ClaudeBot/1.0	✅ 完全遵守
facebookexternalhit/1.1	✅ 完全遵守
bingbot/2.0	✅ 完全遵守（在允许名单内）

剩下的不必多言，大家请看图。

分端点爬取次数随时间的分布

话又说回来了，说这些我自己也没什么办法，不管是上面的阿里云还是各路IP池，还都是用黑手套的IP来爬取的，给雇主留点面子。直到这里明晃晃地使用了Meta自己的IP段、Meta自己的User-Agent，更是肆无忌惮，目前的时间也只能谴责而已。总之Meta是真的找不出数据训llama5了是吧，能爬我的代码爬得起劲那真是这辈子有了。

在 Linux 上使用微软套件的最好办法，就是没有办法

Wed, 05 Mar 2025 16:49:43 +0800

大半年前，在工位的电脑上装了EndeavourOS，从此开始了无Windows的学习生活尝试。在Linux上打大部分游戏都有完善方案的现在，用Linux办公仍然是个难题，很神奇吧？拜微软所赐，Linux上现在还没有我习惯的原生版MS Office，更没有OneDrive和Office 365。

WPS Office：又不是不能用

在Windows上，WPS Office就已经与MS Office（Microsoft 365）相爱相杀了二十多年；而在缺失MS Office的Linux原生办公方案中，WPS Office仍然是其中翘楚，比什么LibreOffice高到不知哪里去了。

或许拜近些年的信创风所赐，需要称赞的是Linux上的WPS Office清爽无广告，该有的基本功能也都有。不出意外的话，这已经是原生Linux办公软件中体验最好的一个了。然而在一些小细节上，雷老板的产品仍然没打磨好：比如交叉引用功能，Word会自动提取文章中已有的标签和编号格式，而WPS文字就不会，不得不手动添加标签。

OneDrive也是个麻烦：第三方的onedriver客户端经常丢认证掉挂载，只能重新打开开关，同时用WPS也没有增量同步和自动保存。

Office Online：六边形战士，但六边都不长

微软原厂方案，OneDrive集成，在线编辑实时保存，不需要虚拟机或者转译，占用空间小，真有这种美事？有的兄弟有的，但这些话都只说了一半。只有最基础的功能，打开网页巨慢无比（挂了梯子），打的字时不时会被吃掉，字体都不能正常显示，操作比虚拟机还卡。套着微软的光环也不行，如果说WPS的同步和细节问题都可以克服一下，那么有以上任何一条都表示，Office Online基本是不可用的。

我看大家也别笑金山文档、腾讯文档甚至Google Docs什么的，起码人家操作真流畅。

虚拟机：堕落的混乱邪恶派

虚拟机纯属无奈之举呀，毕竟要划走好几个核，以及数GB的内存；明明是为了躲避垃圾Windows才装的Linux，反过来又把Windows请回来了。但除此之外基本都是优点，全功能的Office，一般不出岔子的OneDrive，剩下的缺点基本只有与GNOME桌面环境格格不入了。

WinApps：想法很美好，但没有Wayland

虚拟机的更进一步，加入了与桌面环境的深度集成，甚至可以在主机中注册文件扩展，听起来非常美好。但装了一半才发现没有Wayland显示协议，都5202年了真有人用X11吗。

总结

除了原生WPS和虚拟机以外都不及格。如果能忍虚拟机带来的额外开销，那么虚拟机是最好的；如果不能，我会选择WPS Office。

记导出 Android 版 NTQQ 聊天记录

Tue, 31 Dec 2024 16:46:00 +0800

正值2024年的最后一天，群友突发奇想，该做群聊年终总结了。而众所周知，自从QQ全平台更新到了NT架构，原有的聊天记录导出方法就全都失效了。本文记录一下根据网上现有方案导出Android版NTQQ（版本9.1.5）聊天记录的过程。

我准备了一台root过的小米15，以及一台Linux PC。

导出数据库¹

其实由于各平台使用了统一的NT架构进行核心的消息处理，各个平台导出的数据库大同小异，但获取密钥的方式差异比较大。PC版QQ需要使用IDA进行反编译调试，试了几次并没有成功，Android设备没有root的读者可以尝试使用PC版QQ的方法，在此不详述。而root后的Android手机可以通过adb shell运行 su 切换为root用户，这样能够方便地进入QQ的私有目录浏览所需的文件。

shell

1
2
3

dada:/ $ su
dada:/ # whoami
root

密钥由 uid 和 rand 两个参数生成。其中 uid 并不是用户的QQ号，而是形如 u_xxxxxxx 的一串字符串；rand 嵌在数据库文件中。

首先获取 uid。进入 /data/data/com.tencent.mobileqq/files/uid/ 目录，其中的文件名记录了QQ号和 uid 的对应关系。

shell

1
2
3

dada:/ # ls -l /data/user/0/com.tencent.mobileqq/files/uid/                                                                              
total 0
-rw------- 1 u0_a327 u0_a327 0 2023-12-22 18:49 2660000000###u_U6vwQunVqPOUxxxxxxxxxx

然后获取数据库。这个时候强烈建议暂时关闭QQ的 自启动和后台运行权限，以防QQ运行时修改数据库，从而影响校验和计算和比对。其数据库保存在 /data/user/0/com.tencent.mobileqq/databases/nt_db/nt_qq_<QQ_path_hash>/nt_msg.db 中，其中 QQ_path_hash 可以在 ¹ 页面顶部的小工具中计算得到。

shell

dada:/ # ls -lh /data/user/0/com.tencent.mobileqq/databases/nt_db/nt_qq_5937760ce9717f9d58748067ce3a5e3b                                                            
total 3.5M
......
-rw------- 1 u0_a327 u0_a327 2.3G 2024-12-31 18:20 nt_msg.db
-rw------- 1 u0_a327 u0_a327  16K 2024-12-31 15:56 nt_msg.db-first.material
-rw------- 1 u0_a327 u0_a327  16K 2024-12-31 15:48 nt_msg.db-last.material
-rw------- 1 u0_a327 u0_a327  32K 2024-12-31 18:21 nt_msg.db-shm
-rw------- 1 u0_a327 u0_a327 499K 2024-12-31 18:21 nt_msg.db-wal
......

先将数据库复制到一个普通用户可以获取的位置，然后使用 adb pull 将其保存到电脑上：

shell

dada:/ # cp /data/user/0/com.tencent.mobileqq/databases/nt_db/nt_qq_5937760ce9717f9d58748067ce3a5e3b/nt_msg.db /sdcard/

# 这之后都在本机 shell 中运行
$ adb pull sdcard/nt_msg.db ./
sdcard/nt_msg.db: 1 file pulled, 0 skipped. 171.7 MB/s (2487477248 bytes in 13.817s)

提取字符串后，建议在手机和PC上分别计算校验和，确保数据完整性。 rand 字段在数据库二进制文件的 QQ_NT 字段附近。使用 strings 提取数据库中的可读字符串，然后使用 grep 将其找出，或使用其他类似工具读取二进制文件：

shell

$ strings nt_msg.db | grep --context 3 "QQ_NT"
SQLite header 3
QQ_NT DB
Z68aUxXX
1.0.0.1" HMAC_SHA1
\[`-

由上述信息，得到 rand 字符串为 Z68aUxXX。

解密数据库²

先计算数据库口令，在 ¹ 顶部的小工具中可以计算。看起来腾讯在数据库的头上加了些元数据，先把它截掉：

shell

`1`	`tail -c +1025 nt_msg.db > nt_msg.clean.db`

之后用sqlcipher打开，输入以下内容，将你的口令替换进去，尝试解密：

shell

$ sqlcipher nt_msg.clean.db
SQLite version 3.45.3 2024-04-15 13:34:05 (SQLCipher 4.6.0 community)
Enter ".help" for usage hints.
sqlite> PRAGMA key = '<your-key>';
PRAGMA kdf_iter = 4000;
PRAGMA cipher_hmac_algorithm = HMAC_SHA1;
ok
sqlite> SELECT name FROM sqlite_master WHERE type='table';
c2c_msg_table
c2c_msg_flow_table
group_msg_table
group_msg_flow_table
c2c_temp_msg_table
c2c_temp_msg_flow_table
......

如果能像上面这样看到表名，那么到这一步都是正确的。解密时，若按照 ² 中的教程操作可能出现“database disk image is malformed”，这可能并没有出问题。这时候可以先dump下来，然后再导入未加密的SQLite数据库³：

shell

sqlite> .output nt_msg.sql
sqlite> .dump
sqlite> .exit
$ cat nt_msg.sql | sed -e 's|^ROLLBACK;\( -- due to errors\)*$|COMMIT;|g' | sqlite3 nt_msg.decrypt.db

现在得到的 nt_msg.decrypt.db 就是解密后的数据库了，可以直接打开查看。

导出聊天记录

数据库的schema很抽象，其中一列甚至是二进制。好在网络上已经有了数据库字段含义 ⁴ 和二进制Protobuf payload定义⁵，对于提取文字消息而言是非常够用的。

首先将该链接内的Protobuf定义编译为Python类：

shell

`1`	`protoc --python_out=. message.proto`

我让Claude帮我写了一份代码，用于把特定群组的文字消息导出为JSON，包含发送方和发送时间，效果还行，搭配上述Python类食用即可，可以选择发送时间：

python

import sqlite3
import base64
import json
from datetime import datetime
import argparse
from message_pb2 import Message

def timestamp_to_datetime(timestamp):
    """将时间戳转换为可读的日期时间格式"""
    return datetime.fromtimestamp(timestamp).strftime('%Y-%m-%d %H:%M:%S')

def decode_message(blob_content):
    """解码BLOB数据并解析protobuf消息"""
    try:
        message = Message()
        message.ParseFromString(blob_content)
        return message
    except Exception as e:
        print(f"Error decoding message: {e}")
        return None


def extract_text_messages(message):
    """从消息中提取文字内容"""
    messages = []
    for single_msg in message.messages:
        if single_msg.messageType == 1:  # 文字消息
            print("Debug info for message:")
            print(f"Raw sendTimestamp: {single_msg.sendTimestamp}")
            print(f"Raw senderUid: {single_msg.senderUid}")
            print(f"Raw messageText: {single_msg.messageText}")
            print("Message full content:")
            print(single_msg)
            print("------------------------")
            
            messages.append({
                'time': timestamp_to_datetime(single_msg.sendTimestamp),
                'sender_id': single_msg.senderUid,
                'content': single_msg.messageText
            })
    return messages


def fetch_messages(db_path, group_id, start_time=None, end_time=None):
    """从数据库中获取消息"""
    conn = sqlite3.connect(db_path)
    cursor = conn.cursor()
    
    query = 'SELECT "40050", "40033", "40800" FROM group_msg_table WHERE "40027" = ?'
    params = [group_id]
    
    if start_time:
        query += ' AND "40050" >= ?'
        params.append(start_time)
    if end_time:
        query += ' AND "40050" <= ?'
        params.append(end_time)
    
    query += ' ORDER BY "40050" ASC'
    
    try:
        cursor.execute(query, params)
        results = cursor.fetchall()
        
        all_messages = []
        for timestamp, sender_id, content in results:
            if content:  # 确保内容不为空
                message = decode_message(content)
                if message:
                    # 从protobuf中只提取消息文本
                    for single_msg in message.messages:
                        if single_msg.messageType == 1:  # 文字消息
                            all_messages.append({
                                'timestamp': timestamp_to_datetime(timestamp),
                                'sender_id': sender_id,
                                'content': single_msg.messageText
                           python extract.py --help                                                                                                                    ✔  20:21:06   
usage: extract.py [-h] [--start START] [--end END] [--output OUTPUT] db_path group_id

Extract QQ group chat messages

positional arguments:
  db_path          Path to the SQLite database file
  group_id         Group ID to extract messages from

options:
  -h, --help       show this help message and exit
  --start START    Start timestamp (optional)
  --end END        End timestamp (optional)
  --output OUTPUT  Output JSON file path (optional)

        conn.close()


def main():
    parser = argparse.ArgumentParser(description='Extract QQ group chat messages')
    parser.add_argument('db_path', help='Path to the SQLite database file')
    parser.add_argument('group_id', type=int, help='Group ID to extract messages from')
    parser.add_argument('--start', type=int, help='Start timestamp (optional)')
    parser.add_argument('--end', type=int, help='End timestamp (optional)')
    parser.add_argument('--output', help='Output JSON file path (optional)')
    
    args = parser.parse_args()
    
    messages = fetch_messages(args.db_path, args.group_id, args.start, args.end)
    
    # 将结果转换为JSON
    output = {
        'group_id': args.group_id,
        'messages': messages
    }
    
    # 输出结果
    if args.output:
        with open(args.output, 'w', encoding='utf-8') as f:
            json.dump(output, f, ensure_ascii=False, indent=2)
    else:
        print(json.dumps(output, ensure_ascii=False, indent=2))

if __name__ == "__main__":
    main()

import sqlite3
import base64
import json
from datetime import datetime
import argparse
from message_pb2 import Message

def timestamp_to_datetime(timestamp):
    """将时间戳转换为可读的日期时间格式"""
    return datetime.fromtimestamp(timestamp).strftime('%Y-%m-%d %H:%M:%S')

def decode_message(blob_content):
    """解码BLOB数据并解析protobuf消息"""
    try:
        message = Message()
        message.ParseFromString(blob_content)
        return message
    except Exception as e:
        print(f"Error decoding message: {e}")
        return None


def extract_text_messages(message):
    """从消息中提取文字内容"""
    messages = []
    for single_msg in message.messages:
        if single_msg.messageType == 1:  # 文字消息
            print("Debug info for message:")
            print(f"Raw sendTimestamp: {single_msg.sendTimestamp}")
            print(f"Raw senderUid: {single_msg.senderUid}")
            print(f"Raw messageText: {single_msg.messageText}")
            print("Message full content:")
            print(single_msg)
            print("------------------------")
            
            messages.append({
                'time': timestamp_to_datetime(single_msg.sendTimestamp),
                'sender_id': single_msg.senderUid,
                'content': single_msg.messageText
            })
    return messages


def fetch_messages(db_path, group_id, start_time=None, end_time=None):
    """从数据库中获取消息"""
    conn = sqlite3.connect(db_path)
    cursor = conn.cursor()
    
    query = 'SELECT "40050", "40033", "40800" FROM group_msg_table WHERE "40027" = ?'
    params = [group_id]
    
    if start_time:
        query += ' AND "40050" >= ?'
        params.append(start_time)
    if end_time:
        query += ' AND "40050" <= ?'
        params.append(end_time)
    
    query += ' ORDER BY "40050" ASC'
    
    try:
        cursor.execute(query, params)
        results = cursor.fetchall()
        
        all_messages = []
        for timestamp, sender_id, content in results:
            if content:  # 确保内容不为空
                message = decode_message(content)
                if message:
                    # 从protobuf中只提取消息文本
                    for single_msg in message.messages:
                        if single_msg.messageType == 1:  # 文字消息
                            all_messages.append({
                                'timestamp': timestamp_to_datetime(timestamp),
                                'sender_id': sender_id,
                                'content': single_msg.messageText
                           python extract.py --help                                                                                                                    ✔  20:21:06   
usage: extract.py [-h] [--start START] [--end END] [--output OUTPUT] db_path group_id

Extract QQ group chat messages

positional arguments:
  db_path          Path to the SQLite database file
  group_id         Group ID to extract messages from

options:
  -h, --help       show this help message and exit
  --start START    Start timestamp (optional)
  --end END        End timestamp (optional)
  --output OUTPUT  Output JSON file path (optional)

        conn.close()


def main():
    parser = argparse.ArgumentParser(description='Extract QQ group chat messages')
    parser.add_argument('db_path', help='Path to the SQLite database file')
    parser.add_argument('group_id', type=int, help='Group ID to extract messages from')
    parser.add_argument('--start', type=int, help='Start timestamp (optional)')
    parser.add_argument('--end', type=int, help='End timestamp (optional)')
    parser.add_argument('--output', help='Output JSON file path (optional)')
    
    args = parser.parse_args()
    
    messages = fetch_messages(args.db_path, args.group_id, args.start, args.end)
    
    # 将结果转换为JSON
    output = {
        'group_id': args.group_id,
        'messages': messages
    }
    
    # 输出结果
    if args.output:
        with open(args.output, 'w', encoding='utf-8') as f:
            json.dump(output, f, ensure_ascii=False, indent=2)
    else:
        print(json.dumps(output, ensure_ascii=False, indent=2))

if __name__ == "__main__":
    main()

用法：

shell

$ python extract.py --help
usage: extract.py [-h] [--start START] [--end END] [--output OUTPUT] db_path group_id

Extract QQ group chat messages

positional arguments:
  db_path          Path to the SQLite database file
  group_id         Group ID to extract messages from

options:
  -h, --help       show this help message and exit
  --start START    Start timestamp (optional)
  --end END        End timestamp (optional)
  --output OUTPUT  Output JSON file path (optional)

最后祝各位新年快乐！

RivaTuner Statistics Server 游戏悬浮窗入门

Mon, 22 Jul 2024 00:00:00 +0000

RivaTuner Statistics Server（下称RTSS）能够根据用户设定的悬浮窗样式，在特定应用/游戏中显示实时性能数据。它并不像游戏加加等程序一样是个开箱即用的工具，因此仍然需要进行一些摸索。

初始设置

安装环节在此略过，本文需要RTSS和HWiNFO64。

打开RTSS后，如果出现"xxx cannot be hooked right now"，可以暂时忽视。打开主界面后，需要先把 “Show OSD” 和 “OSD support” 两个开关打开。

RTSS 主界面

导入现有悬浮窗样式

现在打开游戏并不会显示任何悬浮窗，因为并没有自定义样式。为了方便，可以先从网上下一个，比如这个，或是其他的ovx文件。

在RTSS主界面点击 Setup，找到 Plugins，将 OverlayEditor 的勾勾上，然后双击它，就进入了编辑悬浮窗样式的界面。

点击左上角的 Layouts，点击 Import，选择刚刚下载的ovx，你下载的样式就被导入进来了。然后保存即可。

悬浮窗编辑器

悬浮窗编辑器上已经显示了样式预览，你也可以打开游戏试一试。当前买家秀和卖家秀基本差不多，但似乎部分数据是空的，比如CPU温度、频率和功耗等。可能因硬件而异，仅供参考。

添加并替换HWiNFO64数据源

上述的数据源均是来自于RTSS自己的测量，因此对新硬件的支持可能较差。可以从HWiNFO64中获取硬件数据，更准确，数据也更多。

先打开HWiNFO64，在启动画面上可勾选 “仅传感器”（Sensors Only），然后点击设置，勾选 “共享内存支持”（Shared Memory Support） ¹，以允许RTSS读取数据。然后，启动HWiNFO64。

回到上图中的悬浮窗编辑器，点击 Data sources，点击 Edit，即可进入数据源列表窗口。它们名称前的图标代指的是来源应用程序，如小飞机就是Afterburner，因为我没开（也不必开）所以全部显示N/A。

在数据源列表下方点击 Add，添加新的数据源。Data provider选择HWiNFO64，然后选择上面缺失的CPU温度（CPU Package）和功耗（CPU Package Power）点击OK，这样就导入了两个缺失的数据源。

找到上面显示N/A的缺失数据源中对应CPU温度和功耗的名称（CPU power和CPU temperature），分别双击上面添加的CPU Package和CPU Package Power打开编辑窗口，在 Overlay data source properties 里改为上面对应的名字，这样RTSS就会认为是不同的数据源提供的同一个数据。

点击OK，CPU温度和功耗应该都正常显示了。但还有一个CPU频率上文故意没有添加，可能是因为该CPU中有两种不同规模的核心，所以一起统计频率是不合适的。

添加数据源

使用HWiNFO64自定义传感器设计数据源

本章的目标是自定义一个数据源，从而在HWiNFO64和RTSS中分别显示P核和E核的平均频率。RTSS本身并不支持通过运算得到新的数据源，所以需要在HWiNFO64中定义。当然也可以通过简单的算术运算，得到其他的结果。在此之前建议将HWiNFO64的语言设为英语²。

自定义传感器需要编辑注册表，虽然我也不知道为什么非要这么做。以如下文件为例，该文件新建了一个叫做CoreUltraExtended的传感器，有Avg P-core Clock和Avg E-core Clock两个频率传感器指标，分别将平均P-core频率和平均E-core频率求和然后求平均。

如果你也使用酷睿Ultra 7 155H，可以将下面内容另存为 .reg 格式，直接导入；其他操作可以参考教程，对照下列步骤操作，还是看不懂的话可以让GPT解释。

reg

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\HWiNFO64\Sensors\Custom\CoreUltraExtended]

[HKEY_CURRENT_USER\Software\HWiNFO64\Sensors\Custom\CoreUltraExtended\Clock0]
"Name"="Avg P-core Clock"
"Value"="\"P-core 8 Clock\" + \"P-core 9 Clock\" + \"P-core 10 Clock\" + \"P-core 11 Clock\" + \"P-core 12 Clock\" + \"P-core 13 Clock\" / 6"

[HKEY_CURRENT_USER\Software\HWiNFO64\Sensors\Custom\CoreUltraExtended\Clock1]
"Name"="Avg E-core Clock"
"Value"="\"E-core 0 Clock\" + \"E-core 1 Clock\" + \"E-core 2 Clock\" + \"E-core 3 Clock\" + \"E-core 4 Clock\" + \"E-core 5 Clock\" + \"E-core 6 Clock\" + \"E-core 7 Clock\" +  / 8"

编辑完成后，注册表大概是这个样子。

注册表预览

现在打开HWiNFO64传感器界面，应该有了新的选项；进入刚刚的添加数据源处，应该也可以看到了。把上述新增的数据源添加进来，不用改名。

悬浮窗里每个数据，对应的都是一个层（layer）双击悬浮窗编辑器里那个空的CPU频率显示（MHz），进入层属性界面。

层属性界面

Hypertext 一栏中为该层的格式化文本，其中两个百分号包裹着的是数据源的名称，换行使用 \n 转义。通过改为上图的文本，可以实现两种核心频率的分别显示。

该选项标注的12小时限制并非12小时后必须重新开启一次，事实上重新打开HWiNFO64时会自动重启计时。但是如果HWiNFO64一直开着，那么RTSS会在12小时后自动断开连接。 ↩︎
这是一个可能的bug，调整语言后可能无法获取值： https://www.hwinfo.com/forum/threads/custom-user-sensors-in-hwinfo.5817/post-46045 ↩︎

安装 Arch Linux 「未曾设想的道路」

Thu, 02 May 2024 10:06:00 +0800

TL;DR：使用EndeavourOS的LiveCD可以与官方ISO一样安装Arch Linux，还能享受Gparted、浏览器、文字编辑器等图形界面软件的便利。

在数次尝试中，使用Arch Linux官方LiveCD的tty界面安装系统总是令我感觉十分不便，或许我还是需要一个带图形界面的安装器，但又不愿意抛弃命令行安装方法。然而，虽然Arch Linux并没有提供图形化LiveCD，但是与其共享同一个软件库的EndeavourOS有啊！LiveCD里带的工具也算比较全乎。

理论存在，开始实践。

分区

分区反倒是我觉得最困难的。

这一步要先考虑好将内核镜像装到EFI分区还是系统分区 /boot里面（对应 EFI 分区的挂载点）。前者会多花至少100MB空间，但不管怎么样，都应该先保证EFI分区空间足够。联想给了一个仅260MB的EFI分区（/dev/nvme1n1p1），而且后面跟着的就是MSR和Windows系统分区，不敢动，所以选择后者，又不是不能用.jpg。

然后可以先将Arch的系统分区分出来了。我分了一个Btrfs分区（/dev/nvme0n1p2），有两个子卷 @ 和 @home，分别挂载到 / 和 /home。分区操作很容易使用Gparted搞定，然后在终端中输入：

sudo btrfs subvolume create /mnt/@
sudo btrfs subvolume create /mnt/@home
sudo umount -R /mnt
sudo mount -o subvol=@ /dev/nvme1n1p2 /mnt
sudo mount --mkdir -o subvol=@home /dev/nvme1n1p2 /mnt/home
sudo mount /dev/nvme1n1p1 /mnt/efi

这时候带一个桌面环境的LiveCD的优势又体现出来了：可以一边用Gparted看分区，一边在终端里操作。

安装

然后就是正常的安装流程了。换完源之后进入root账户，然后：

1
2

pacstrap -K /mnt base linux linux-firmware nano intel-ucode btrfs-progs networkmanager iwd man-db man-pages # 每人需要的包不同
genfstab -U /mnt >> /mnt/etc/fstab

建议在生成完fstab之后检查一下，确定btrfs的子卷挂载点是对的。然后就是chroot进入新系统，设置时区和硬件时间：

1
2
3

arch-chroot /mnt
ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
hwclock --systohc

以及本地化、主机名、密码等等，参考Arch Wiki就行了，不要忘了。也可以先enable一下NetworkManager和iwd的service。

然后是引导器，我使用rEFInd，先按照Wiki中的步骤安装即可，会自动添加Btrfs驱动。注意其chroot环境下会添加LiveCD的分区信息（而非新系统的），所以不如全图图掉，从 Arch Wiki 示例上换个新的 /boot/refind_linux.conf（chroot路径），以下配置已加入Btrfs子卷配置。

plaintext

1
2
3

"Boot using default options"     "root=PARTUUID=XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX rw rootflags=subvol=@ add_efi_memmap initrd=@\boot\intel-ucode.img initrd=@\boot\amd-ucode.img initrd=@\boot\initramfs-%v.img"
"Boot using fallback initramfs"  "root=PARTUUID=XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX rw rootflags=subvol=@ add_efi_memmap initrd=@\boot\intel-ucode.img initrd=@\boot\amd-ucode.img initrd=@\boot\initramfs-%v-fallback.img"
"Boot to terminal"               "root=PARTUUID=XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX rw rootflags=subvol=@ add_efi_memmap initrd=@\boot\intel-ucode.img initrd=@\boot\amd-ucode.img initrd=@\boot\initramfs-%v.img systemd.unit=multi-user.target"

这时候图形界面的另一个优点就体现出来了，可以直接从Arch Wiki里方便地复制内容。这里的PARTUUID可以用 blkid 查看，输入Btrfs分区的UUID即可（子卷的你也找不到啊）。另外不要忘了针对性地更改 /efi/EFI/refind/refind.conf（chroot路径），以检测Arch Linux initramfs和Btrfs子卷。

确定步骤都正确走完了的话，就可以重启了。rEFInd会自动把自己设为默认的。

后续工作

重新启动后当然是tty了，用NetworkManager连上网之后，就可以装些别的了。我装了这些：

`1`	`sudo pacman -S gnome sudo vi adobe-source-han-sans-otc-fonts`

仅供参考，有需要的自己装就行。

和「LSP」一起写代码：VS Code + Clangd 编写 C/C++

Tue, 27 Feb 2024 23:19:00 +0800

微软出品的VS Code官方C/C++ 插件当然很好，似乎在C/C++ 用户中也是用得较为广泛的，调试功能很好用。然而在稍大一点的项目中，有时会出现找不到代码索引的问题，以及代码补全、提示不够智能等，在一定程度上Clangd就能够解决这个问题。

Clangd是LLVM社区的一个项目，是一个基于 ~~LSP~~ Language Server Protocol的C/C++ 语言服务器（类似于rust-analyzer、gopls等），与编辑器插件和其他工具结合使用，能够提供错误提示、代码补全、重构、语法高亮等功能。

对比

以下部分选取之前的课程实验uCore代码，对Clangd 15.0.0和微软C/C++ 插件的对应部分功能进行比较。

Clangd：能够正确找到符号对应的源文件

C/C++：未找到符号定义，仅有返回值提示

Clangd：有较完整的补全列表

C/C++：无法补全

Clangd：识别到格式错误，并提供修改建议

C/C++：未识别到格式错误

注：C/C++ 插件也能够读取 compile_commands.json，但索引很慢，且对于JSON中没有覆盖到的源文件，并不能推测符号位置，并不是完全不能找到定义。然而即使找到，提示功能也逊于Clangd。

安装

首先你需要安装Clang，macOS的Xcode命令行工具自带，Linux可以通过包管理器安装（也可以只安装clang-tools），Windows则可以使用 llvm-mingw 中的Clang。个人建议有条件的话使用一个较新的版本，特性会有显著的差异。

关于 Windows 下安装 llvm-mingw

从上述GitHub页面的releases中选择一个版本，下载assets中适合你电脑处理器的版本压缩包（如 llvm-mingw-yyyymmdd-ucrt-x86_64.zip）
将该压缩包所有内容解压到电脑上你喜欢的位置
将含有数百个exe那个文件夹加入到环境变量中（通常路径含有 bin）
打开你的终端，如果运行 clang -v 显示与刚刚下载所匹配的版本，则安装完成

在Windows和macOS下，Clang默认能够模拟GCC命令，因此无需再安装GCC。

然后你当然需要VS Code，以及clangd插件，但没有必要卸载官方C/C++ 插件。但如果确实安装了，需要在VS Code的设置（文件-首选项-设置或Code-首选项-设置）中禁用其IntelliSense代码补全（C_Cpp.intelliSenseEngine 设置为 disabled）。

解析、索引文件

Clangd并不是强在可以完全自动找出索引，而是可以通过方便的方式生成索引。很多简单的项目可以直接使用类似 clang main.c 之类的一条命令编译，此时Clangd也可以正常找到引用的所有文件和符号，下面这一段也就暂时没用了。

然而复杂的项目则不然。就拿阿里巴巴前两年一篇HPCC论文的代码来说，ns-3本身就是一个十分复杂的项目，仿真程序的引用也弯弯绕绕，也总不能把头文件全部装到系统目录中。虽然有较为方便的编译运行方式，但Clangd就不能自动处理所有引用了。因此下面介绍了几种办法，供各位参考。

给Clangd传入参数

就像GCC/Clang一样，可以将 -I 等参数传入Clangd，来指定它寻找头文件的范围。VS Code可以对每个工作区设定单独的Clangd参数（clangd.arguments），这样每个项目的配置都可以不同了。

虽然小项目手动传命令确实不麻烦，但小项目也用不着手动索引呀。所以这个办法其实不是特别方便。

使用Bear生成 `compile_commands.json`

compile_commands.json 记录了每个源文件的编译命令。例如HPCC代码的（该JSON仅供参考，不同版本生成工具格式有所改变）：

json

[
    {
        "command": "c++ -c -O0 -ggdb -g3 -std=gnu++11 -Wno-error=deprecated-declarations -fstrict-aliasing -Wstrict-aliasing -fPIC -pthread -Isimulation/build -Isimulation -I/usr/include/libxml2 -DNS3_ASSERT_ENABLE -DNS3_LOG_ENABLE -DHAVE_PACKET_H=1 -DHAVE_SQLITE3=1 -DHAVE_IF_TUN_H=1 -o src/wimax/model/ss-scheduler.cc.1.o simulation/src/wimax/model/ss-scheduler.cc",
        "directory": "simulation/build",
        "file": "simulation/src/wimax/model/ss-scheduler.cc"
    },
    {
        "command": "c++ -c -O0 -ggdb -g3 -std=gnu++11 -Wno-error=deprecated-declarations -fstrict-aliasing -Wstrict-aliasing -fPIC -pthread -Isimulation/build -Isimulation -I/usr/include/libxml2 -DNS3_ASSERT_ENABLE -DNS3_LOG_ENABLE -DHAVE_PACKET_H=1 -DHAVE_SQLITE3=1 -DHAVE_IF_TUN_H=1 -o src/wimax/model/wimax-mac-queue.cc.1.o simulation/src/wimax/model/wimax-mac-queue.cc",
        "directory": "simulation/build",
        "file": "simulation/src/wimax/model/wimax-mac-queue.cc"
    },
    {
        "command": "c++ -c -O0 -ggdb -g3 -std=gnu++11 -Wno-error=deprecated-declarations -fstrict-aliasing -Wstrict-aliasing -fPIC -pthread -Isimulation/build -Isimulation -I/usr/include/libxml2 -DNS3_ASSERT_ENABLE -DNS3_LOG_ENABLE -DHAVE_PACKET_H=1 -DHAVE_SQLITE3=1 -DHAVE_IF_TUN_H=1 -o src/wimax/model/bs-scheduler-simple.cc.1.o simulation/src/wimax/model/bs-scheduler-simple.cc",
        "directory": "simulation/build",
        "file": "simulation/src/wimax/model/bs-scheduler-simple.cc"
    },
    ......
]

正因为Clangd同时也可以识别Clang的参数，所以通过提供编译命令，Clangd可以自动获取其引用的源代码所在的目录，从而处理引用，以及一些其他的功效。这个文件一般也没人手搓，太麻烦了。

虽然C/C++ 生态的构建系统千变万化，但是仍然可以用 Bear 截取编译命令。不同版本Bear使用方式不同，需要预先注意：

shell

# 较老版本
bear <compile_command>
# 较新版本
bear -- <compile_command>

这样跑过一次编译之后，就在当前目录生成 compile_commands.json 文件了。

使用CMake生成 `compile_commands.json`

如果整个项目使用CMake来构建，可以添加这个参数来生成它：

bash

`1`	`cmake -DCMAKE_EXPORT_COMPILE_COMMANDS=1`

CMake会将该文件存放至编译产物的目录中。如果其所处目录并不是在 build/ 中，那么需要手动将其移到项目根目录中。

我最终还是放弃了自己托管邮箱——转为了 Fastmail

Sun, 01 Oct 2023 22:46:00 +0800

不可否认的是，maddy 是一款非常优秀、令人舒适的邮件服务器软件，关于安装，我写过一篇文章¹。在使用它的接近两年内，除了升级，我完全没有动过它，就连升级时也基本是无痛的。如果谁仍然想要自建一个邮件服务器，我还是会推荐maddy。五美元一月的Vultr托管邮件也十分稳定，25端口也只需要开个工单就能开通，同时Maddy占内存极小，跑点儿其他的也不亏。一切都按预期正常工作着，但还是有一些放弃自己托管的理由：

有时会当成spam，这个得怪收件人信箱，但确实是个普遍问题²；
没有一个好用的webmail，之前用的Rainloop总感觉差那么点意思，而且独立的webmail总要多占一份空间；
担心downtime，所以非常要紧的服务一直都用Gmail ~~（实际上downtime比我梯子挂掉的时间还少）~~ ；
每个月得花 $5，虽然不多，但是也不少（手上其他服务器不给开25端口）；
~~大四闲得慌。~~

Maddy作为部署简单、功能全面的邮件服务器可以说是先行者了，现在也涌现了许多很好的自托管服务，比如 mox 解决了webmail的问题。当然这篇文章写出来不是为了推荐自托管服务的，这个话题可能也不是由我来讨论了。

之所以想到放弃，缘于前两天看到了一个 V 站的帖子，然后看到了最低19美元一年的 Migadu，学生开工单享受半价优惠。这家从文档到服务都非常实诚，只按照使用量（收发量、邮件存储）计费，（几乎）不限制域名和邮箱数量，每个邮箱有自己的收发件箱，ToS里全都是“只有best effort服务，但是真的best effort"，域名数和使用空间等限制都是软限制，稍微超出一点儿也不打紧，甚至还在文档里diss了友商所谓的“加密”³。当然最重要的原因是我可以省下每年60美元的服务器，一年就能省下350块钱。

但Micro套餐内仅有5GB空间和每天20封邮件，虽然都是软限制，可以偶尔超过，但考虑到我博客的评论系统有回复自动发邮件提醒，万一评论区两个人对起线来……如果是Migadu，我可能只能选择90美元一年的Mini套餐了。这两个之间差价有点儿大，于是看向了Fastmail。Standard套餐50美元一年，还是能省下70多块钱；空间和发信量的痛点也都解决了，虽然是统一的信箱但是也不影响使用，也能使用不同的地址进行收发。如果不想用自己的域名了，还可以再添加一些Fastmail提供的后缀结尾的邮箱（甚至有 @fastmail.cn）。

如果抛开套餐用量比较两家的服务，我认为它们走了两条不同的路：Migadu为本就是tech-savvy的用户服务，将尽可能多的技术细节提供给用户，只做最纯粹的电子邮件，推荐的也是开源邮件客户端和开源迁移方案；而Fastmail更多的面向普通用户，可以直接导入Gmail等服务，针对每个IMAP客户端有应用专用密码，甚至连域名都可以在它那里买。

整理一个表格，对比Fastmail和Migadu套餐的区别：

套餐	Fastmail	Migadu
年付价格 (USD)	50	19 (Micro) / 90 (Mini)
每天收/发限制	/	200/20 (Micro) / 1000/100 (Mini)
存储空间	30GB	5GB (Micro) / 30GB (Mini)
多地址/域名处理	单个域名；可添加邮箱地址，共用一个信箱	无限邮箱，无限域名，各有单独信箱
其他服务	日历、联系人、记事本	日历、联系人（beta）

如果Migadu能够以50美元一年以下的价格提供一个存储&发信多一点儿的套餐，我决策时一定会选择它；然而没有，所以还是投奔了Fastmail。

如果只有中国手机号，Fastmail的注册会卡在手机验证码的一关，开工单就能解决；如果使用其他人的referral，也需要在工单里说明，客服会手动加上首年10% 的优惠。Fastmail和Migadu两者应该是都不支持支付宝和微信的，但支持PayPal（中国版支持不明）和Stripe（理论上支持银联卡）。

Fastmail有一个迁移向导，输入原来的IMAP服务器、账户名称和密码，就能把信箱搬过来了，功能倒是很像IMAPSync，只不过在它的服务器上运行。效果不错，迁移也很快，非常舒服。

不得不说，国内的访问体验确实有点慢，远比不上国内的服务 ~~（废话）~~ ，但相对之前自建的速度其实快多了。说真的，只要不被墙就很好了。

尴尬的是，迁过来的消息总共只用了0.1GB；又翻了翻一直以来用的QQ邮箱和Gmail，分别用了146MB和420MB，这么看的话5GB的空间还是长期够用的。又转念一想，我博客这个鸟不拉屎的地方也基本没人发评论，每天20封其实也够用了。意识到这个问题后，再次反思放弃自托管的五个理由，发现只有最后一个最真切。别说了，几年前那股折腾劲儿又上来了。

最后，如果你也想找个邮件托管商，我推荐Migadu的Micro套餐，完全够用；如果你订了Fastmail，可以使用我的 referral 注册，你享受首年10% 优惠，我也可以每月得到约0.5美元的余额。

Armbian + R2S 番外篇：透明代理

Sun, 17 Sep 2023 20:46:00 +0800

透明代理这个东西说起来很容易理解，就是设备感知不到有的流量被代理，却有开了代理的效果。这个东西对于学习境外内容的体验提升很大，因为部分应用并不遵循系统代理设置，或设置很麻烦。避免将代理配置文件存放在电脑上，也可以防止电脑上的应用窃取代理信息。

透明代理本身在中文互联网已经是聊烂了的话题，但使用Nftables实现的透明代理很少，在主路由上实现透明代理的更少。我的网络拓扑大概是：外部网络 - R2S - 无线AP - 其他设备。本文将基于这个拓扑，实现在R2S上使用Nftables实现透明代理。

这个东西作为上篇文章的一个小节显得有点喧宾夺主了，所以就单独写一篇文章吧。

前置知识

只需要基础的计网知识，以及初步了解Nftables（起码能看懂规则）。

另外丢掉那张老旧的（you know what）Netfilter数据包流向图吧，由于Nftables的链是可以自由添加、自定义优先级的，现在它应该是这样¹：

Netfilter 数据包流向图

思路

要达到的效果是这样的：

DHCP服务器将默认DNS服务器指向本机的Telescope DNS，由其负责解析²，直连DoH
局域网内通信不经过代理工具，包括DHCP等特殊服务
其他来自局域网内的TCP/UDP流量都经过代理工具，由代理工具分流
不代理路由本身流量，暂时没需求

也就是说流量会经过Nftables和代理工具两次分流。对于较为固定、不高于三层的分流规则，交给Nftables效率更高；而对于按站点分流之类的规则，则交给代理工具，更灵活。

对于第一条，局域网内机器发送数据包的路径为：

局域网内客户端发出DNS请求
Nftables prerouting 对目的为局域网内的请求进行直连，不代理
Telescope DNS接收到请求（此处设未缓存）
Telescope DNS向上游发出请求，不带任何meta mark
Nftables postrouting 进行NAT
远程DNS服务器收到请求，返回结果
Nftables prerouting 对来自局域网外的请求直连
Telescope DNS收到上游回复
Telescope DNS将结果返回给客户端
Nftables postrouting 进行NAT
客户端收到回复

对内网的包：

局域网内客户端发出请求
Nftables prerouting 对目的为局域网内的请求进行直连，不代理
进入 forward 链，转发给目标机器或/同时被本机处理

对分流决定代理的正常TCP/UDP流量：

局域网内客户端发出请求
Nftables prerouting 对于来自局域网、目标为外网的请求，进行 tproxy
代理工具接收并封装请求，并发送到代理服务器，带有meta mark 2
Nftables postrouting 进行NAT
代理服务器处理代理请求，返回结果
Nftables prerouting 对于来自外网的请求，不代理（直接发往代理工具）
代理工具接收并解封装请求，将结果返回给客户端
Nftables postrouting 进行NAT
客户端收到回复

对于决定不分流的正常TCP/UDP流量，其实也和上面相似，只不过代理工具直接将请求发往目标服务器，目标服务器也直接把结果返回给代理工具。

实现

类似于 Xray TProxy 透明代理之类的本机透明代理方案很多，一般也适用于旁路由。核心的规则其实就两条，也就是在 prerouting 的链上加入（tproxy 仅支持 prerouting）：

perl

1
2

ip protocol tcp tproxy to 127.0.0.1:12345 meta mark set 1
ip protocol udp tproxy to 127.0.0.1:12345 meta mark set 1

然而就以上面链接中这篇教程的配置为例，它包含如下三行规则，通过跳过目的为本地IP的代理，同时避免了远程服务器发回的流量被重新代理和局域网内主机间流量被代理的问题：

perl

1
2
3

ip daddr $RESERVED_IP return
ip daddr 192.168.0.0/16 tcp dport != 53 return
ip daddr 192.168.0.0/16 udp dport != 53 return

第二个问题很好理解。而这些规则能解决第一个问题，主要原因在于主路由已经做好了NAT，看起来已经是从远程主机IP发往代理客户端主机IP的流量了，也就是有了目的IP在上述范围内的特征。同样的方法却不能套到主路由上，因为NAT一般在 postrouting 阶段去做，而 tproxy 一般在 prerouting 阶段进行³。此时，网络层的目的IP仍然是本机的外网IP，而非192.168.0.1这样的局域网IP。

然而，出于某些原因，我们并不能在 postrouting 阶段等待NAT完成后再更改目的IP⁴，也就是说这个阶段已经不能把数据包拐到代理上面了。考虑到 tproxy 的作用阶段，实际上在 prerouting 中同时进行Nftables阶段的分流和 tproxy 更为合适。相应的，为了识别远程服务器发回流量，我们要添加一条规则，也就是源IP不在内网IP段中，则不代理。

另外不管是上面的教程还是Linux kernel文档³，都指出 tproxy 应搭配自定义IP route使用，以让透明代理的包正确地传输到本地。在进行透明代理的同时为数据包附上meta mark 1，这样就可以被以下两条命令定义的路由规则捕获，然后被传输到本地：

bash

1
2

ip rule add fwmark 1 lookup 100 # 对于带标记 1 的包，使用编号为 100 的路由表（100 没有什么特殊含义）
ip route add local 0.0.0.0/0 dev lo table 100 # 对于路由表 100，经过 lo 设备发送到 0.0.0.0

实验表明去掉这两条规则后，无法正确进行透明代理。由于 tproxy 并不会修改数据包本身的内容，所以我猜测该数据包可能会按照默认策略路由，不会进入本地回环为代理工具所接收。

接下来就该配置代理软件了。我个人建议使用Xray-core，需要添加入站：

json

{
  "inbounds": [
    {
      "tag": "all-in",
      "port": 12345,
      "listen": "127.0.0.1",
      "protocol": "dokodemo-door",
      "settings": {
        "network": "tcp,udp",
        "followRedirect": true
      },
      "sniffing": {
        "enabled": true,
        "destOverride": [
          "http",
          "tls"
        ]
      },
      "streamSettings": {
        "sockopt": {
          "tproxy": "tproxy"
        }
      }
    },
  ]
}

并且建议为每个出站都设定meta mark不为1：

json

{
  "outbounds": [
    {
      "streamSettings":{        
        "sockopt": {
          "mark": 2
        },
      },
    },
  ]
}

在添加了上面的规则后，发现连不上新设备了，查找DHCP服务器的日志也并未发现端倪。发现由于DHCP的Discover目标为广播IP，并未被排除代理，所以被代理工具截留。我使用的workaround为添加一条规则，对目标为udp/67端口的数据包不代理，DHCP恢复正常。

宿舍的网络竟然有外界可以直接访问的公网IP（震惊），所以个人还加了 filter 表，用于防止外界白嫖代理。这个看一下下面的配置文件就明白，我不多讲。

配置

如果你希望使用此配置文件，请根据你路由器的接口分配、网段分配、代理工具等情况进行修改。另外也不要忘了添加 ip 路由规则。

perl

#!/usr/sbin/nft -f

flush ruleset

define RESERVED_IP = {
    192.168.0.0/24,
    0.0.0.0/8,
}

define WANLINK = lan0
define LANLINK = eth0

table ip nat {
    chain postrouting {
        type nat hook postrouting priority 100; policy accept;
        oifname $WANLINK masquerade
    }
}

table ip filter {
    chain input {
        type filter hook input priority 0; policy accept;
        # only accept local/LAN traffic to tproxy
        ip saddr != $RESERVED_IP tcp dport 12345 drop
    }
}

table ip xray {
    chain prerouting {
        type filter hook prerouting priority mangle; policy accept;
        # source not from LAN (e.g. server reply), don't proxy
        ip saddr != $RESERVED_IP return
        # dest loopback or local traffic, don't proxy
        ip daddr $RESERVED_IP return
        # allow dhcp traffic (daddr may be 255.255.255.0)
        udp dport 67 return
        # tproxy traffic
        ip protocol {tcp,udp} tproxy to 127.0.0.1:12345 meta mark set 1
    }
}

IPv6

本节参考⁵

IPv6透明代理的实现与上面相似，甚至可以不用建新表，而是修改 xray 表即可。

IPv6对应的路径设置如下：

bash

1
2

ip -6 rule add fwmark 1 table 106
ip -6 route add local ::/0 dev lo table 106

这里我直接将修改后的 xray 表列在下面：

perl

table inet xray {
    chain prerouting {
        type filter hook prerouting priority filter; policy accept;
        ip daddr { 127.0.0.0/8, 224.0.0.0/4, 255.255.255.255 } return
        ip6 daddr 2408::/16 return
        meta l4proto tcp ip daddr 192.168.0.0/16 return
        ip daddr 192.168.0.0/16 udp dport != 53 return
        ip6 daddr { ::1, fe80::/10 } return
        meta l4proto tcp ip6 daddr fd00::/8 return
        ip6 daddr fd00::/8 udp dport != 53 return

        # tailscale
        udp sport 41641 return
        udp dport 41641 return
        udp dport 3478 return
        udp sport 3478 return

        meta mark 2 return
        meta l4proto { tcp, udp } meta mark set 1 tproxy ip to 127.0.0.1:12345 accept
        meta l4proto { tcp, udp } meta mark set 1 tproxy ip6 to [::1]:12345 accept
    }

    chain divert {
        type filter hook prerouting priority mangle; policy accept;
        meta l4proto tcp socket transparent 1 meta mark set 1 accept
    }
}

如果你的代理工具只监听了IPv4地址，那么需要同时监听IPv6 [::1]:12345。

优化

Nftables数据包追踪

在编写Nftables配置的时候，经常可能有疑问，这个数据包到哪里去了。可以使用 nft monitor trace 监视特定数据包的流向和规则判定过程，详细使用方法见 ⁶。

米家设备无法连网

如果开启透明代理的情况下，发现米家设备无法联网（或者无法绑定到App），而关闭透明代理又恢复，那么可能是因为米家设备需要连接域名 mijia cloud（是的你没看错，中间一个空格），代理工具嗅探到了这个域名并尝试解析以分流，但其无法正常处理⁷，于是走默认。可以通过查看代理工具的日志来验证这个情况，Xray-core和Clash都可能会有这个问题。

解决方法是跳过这个域名的嗅探分流，如Xray-core加上这一段：

json

{
  "inbounds": [
    {
      "sniffing": {
        "domainsExcluded": [
          "mijia cloud"
        ]
      }
    }
  ]
}

干出这个事的小米工程师真该拉出去祭天。

境内流量完全直连

上述的配置会令境内外流量均经过代理工具，最直接的问题就是访问速度变慢。但可能也有些其他后果。

曾遇到一个非常玄学的问题，如国服原神“连接超时”，国服星穹铁道错误“1001_1”等。即使设置了正确的分流规则和DNS解析，也可能无法登录。抓包发现有许多和米哈游的TCP连接被reset掉，暂时不知道根本原因。

个人的解决办法是使用Nftables进行国内IP分流，具体可见这篇文章。实测使用该措施后，由于不需要回到用户态过代理软件，日常上网也会快一点。不过若依赖于特定代理软件的附加功能，如Xray-core的Full Cone NAT，则对于绕过的流量，也会一并失去这些功能。

此处附一个适用于IPv4和IPv6的转换脚本，将APNIC的数据转换为nftables格式，并输出到标准输出：

python

import re

# Function to calculate subnet mask from number of IPs
def get_cidr_from_size(size):
    import math
    return 32 - int(math.log2(size))

def parse_ip_ranges(file_path):
    v4_list = []
    v6_list = []

    # Regular expressions for extracting IPv4 and IPv6 ranges
    ipv4_regex = r'apnic\|CN\|ipv4\|([0-9]+\.[0-9]+\.[0-9]+\.[0-9]+)\|(\d+)\|'
    ipv6_regex = r'apnic\|CN\|ipv6\|([0-9a-fA-F:]+)\|(\d+)\|'

    with open(file_path, 'r') as file:
        for line in file:
            # Check for IPv4
            match_v4 = re.search(ipv4_regex, line)
            if match_v4:
                ip = match_v4.group(1)
                size = int(match_v4.group(2))
                # Calculate CIDR from the size
                cidr = get_cidr_from_size(size)
                subnet = f"{ip}/{cidr},"
                v4_list.append(subnet)

            # Check for IPv6
            match_v6 = re.search(ipv6_regex, line)
            if match_v6:
                ip = match_v6.group(1)
                prefix_length = int(match_v6.group(2))
                # Construct the subnet
                subnet = f"{ip}/{prefix_length},"
                v6_list.append(subnet)

    return v4_list, v6_list


def generate_nftables_rule(file_path):
    v4_list, v6_list = parse_ip_ranges(file_path)

    # Format the output in nftables style
    v4_rules = "define chnroute_list_v4 = {\n" + "\n    ".join(v4_list) + "\n}"
    v6_rules = "define chnroute_list_v6 = {\n" + "\n    ".join(v6_list) + "\n}"

    return v4_rules, v6_rules


if __name__ == "__main__":
    file_path = 'delegated-apnic-latest'  # Replace with your actual file path

    v4_rules, v6_rules = generate_nftables_rule(file_path)

    # Print the results
    print(v4_rules)
    print(v6_rules)

https://thermalcircle.de/doku.php?id=blog:linux:nftables_packet_flow_netfilter_hooks_detail 另外这也是一篇极佳的Nftables入门文章，推荐阅读。 ↩︎
或许有人担心这会影响Xray-core的域名分流，但其域名分流是依靠sniffing头中的SNI实现的，即使Xray-core得不到解析前的域名，也不会受到影响。 ↩︎
https://www.kernel.org/doc/Documentation/networking/tproxy.txt ↩︎ ↩︎
https://serverfault.com/a/125913 ↩︎
https://xtls.github.io/document/level-2/tproxy_ipv4_and_ipv6.html ↩︎
https://wiki.nftables.org/wiki-nftables/index.php/Ruleset_debug/tracing ↩︎
https://github.com/XTLS/Xray-core/issues/293 ↩︎

启用 AMD P-State EPP 调频驱动

Tue, 12 Sep 2023 23:05:00 +0800

Arch Linux的Linux 6.5内核终于在前几天进入了 core 软件库，其中一个重要的特性就是默认启用了P-State EPP (Active) 调频驱动¹。调频驱动不同于调速器，前者与特定的CPU有关；而后者与电源方案有关，如 powersave 就是一直运行在最低频率。

amd-pstate 是AMD CPU性能调频驱动，它在Linux内核中的现代AMD APU和CPU系列上引入了新的CPU频率控制机制。新机制基于协作处理器性能控制 (CPPC)，它提供比传统ACPI硬件P-state更精细的频率管理。当前的AMD CPU/APU平台使用ACPI P-State驱动程序来管理CPU频率和时钟，仅在3个P-state下进行切换。CPPC取代了ACPI P-state控制，并为Linux内核提供了灵活、低延迟的接口，以直接向硬件传达性能提示。

amd_pstate CPPC有3种操作模式：自主（active）模式、非自主（passive）模式和引导自主（guided）模式。通过不同的内核参数可以选择active/passive/guided模式。

在自主模式下，平台会忽略所需的性能级别请求，并仅考虑设置为最小、最大和能量性能首选项寄存器的值。

在非自主模式下，平台直接通过所需性能寄存器从操作系统获取所需的性能水平。

在引导自主模式下，平台根据当前工作负载并在操作系统通过最小和最大性能寄存器设置的限制内自主设置操作性能级别。

amd_pstate=active 是低级固件控制模式，由amd_pstate_epp驱动程序实现，并在命令行中将amd_pstate=active传递给内核。在此模式下，如果软件想要偏向CPPC固件的性能 (0x0) 或能效 (0xff)，amd_pstate_epp驱动程序会向硬件提供提示。然后CPPC功耗算法将计算运行时工作负载，并根据电源和热量、核心电压和其他一些硬件条件调整实时核心频率。²

简而言之，相比默认的 acpi_cpufreq，P-State能够让CPU从操作系统处直接获得性能需求hint，并进行更细粒度的频率控制。P-State EPP（active模式）响应更快，并能自定义hint，达到类似于调速器的效果。

P-State EPP支持Zen 2或更新的AMD CPU。本人使用的是联想R7000 2020，AMD Ryzen 7 4800H，也算是喝到了一大口汤吧。

启用CPPC

P-State EPP依赖于CPPC（Collaborative Processor Performance Control），所以首先要在BIOS中启用CPPC。请自查BIOS内是否有此选项，如果没有，需要使用 Smokeless_UMAF 访问BIOS中的隐藏选项，步骤如下。本文作者与插件作者不对任何损坏负责。

下载仓库中的 UMAF_BETA.zip，解压到一个空的FAT32格式的U盘中
用此U盘引导启动
进入Device Manager - AMD CBS - NBIO - SMU³

在这里应该就可以看到CPPC选项。即使已经显示Auto或者Default，也需要手动Enable。设置完成后按保存重启即可。

启用P-State EPP

可以直接运行上图中的 cpupower 工具来查看当前的调频驱动。如果你和我一样已经在运行Linux 6.5，那么可能什么都不用做了。

不同内核版本对P-State EPP的支持如下：

6.5起，默认启用P-State EPP¹
6.4起，支持Guided Autonomous模式⁴
6.3起，支持EPP，但默认不启用⁵⁶
5.17起，支持P-State

如果在使用6.3或6.4，开启EPP的方法就是添加内核参数，amd_pstate=[active|passive|guided]。关于如何修改内核参数，可参见 ArchWiki: kernel parameters。

其他优化

可以使用 auto-epp 来自动传递EPP hint，以在离电情况下功耗更低，或接入电源时性能释放更强。

在启用EPP的情况下，也可以直接将调速器设为 powersave，完全靠调频驱动进行调频⁷。

体验

在启用P-State EPP调频驱动后，CPU各内核的频率能够在适当的时候（如浏览网页等场景）降低至400 MHz（见下图的频率范围），在有需求时也能快速拉起频率。相比于之前最低频率仅能低至1.3GHz，此举有望能大幅降低低负载的package功耗。

启用 P-State EPP 后的效果

在进行简单的浏览网页和编写代码时，使用 balance_performance hint，流畅度完全没有问题。笔记本离电时使用 power hint，提频更消极，跑不满笔记本的高刷新率，但功耗更低；使用独显混合模式，续航大约4小时，遥遥领先于Windows，比同样60Wh电池的MBP13 2020（Intel）更强；若关闭独显，可能对续航有更大的提升。

此外也有网友称出现了重启的问题，反正我没遇到。

Armbian，更适合 R2S 软路由的系统

Fri, 14 Jul 2023 14:54:00 +0800

OpenWrt的困境

人们安装OpenWrt，是因为他们觉得它比路由器或者嵌入式设备的原厂固件更好用。

——《使用 OpenWrt 的理由》

不错，作为一个路由器系统来说OpenWrt确实实现了相对官方固件更好的可玩性。实际用久了自然会发现OpenWrt作为一个Linux来说是非常难用的，这点突出体现在其包管理上。官方软件源各种残缺，第三方软件源也充斥着野包，让我想起了用CentOS的时候。开发者倾向于为传统大发行版打包，相比较而言极少看到过opkg。OpenWrt官方甚至不建议升级软件包 ¹，因为包管理器并没有能力升级OpenWrt本身……这对Tailscale和Xray-core等需要经常更新的软件来说很致命。

整个OpenWrt给人的印象也是能省则省，因为它需要照顾到大量低性能的设备，甚至低至8MB Flash、32M RAM的设备；前文提到的包管理器区别是因为opkg不支持ABI兼容性监测；对于普通的Linux发行版也有诸多其他不同。而对于R2S这种1GB RAM的设备来说，倒没必要这么节省。更何况即使在Armbian上，日常占用RAM也仅有300MB，这里面还有100MB以上是Xray-core的缓存。

我并没有说OpenWrt不适合路由器使用，它的大部分配置都能点几下就完成设置，也有更多的中文资料，还有很多开箱即用的网络优化，在社区活跃开发者的帮助下，它十分适合路由器使用。但若是想要跳出插件开发者设定的笼子，尝试稍高级一点的玩法，OpenWrt就会显得各种别扭。而Armbian基于Debian或者Ubuntu，都是许多Linux用户再熟悉不过的发行版，因此使用Armbian不是找罪受，反而能够利用已有的其他Linux使用习惯和资料，是一个偷懒的选择。

因此，本文希望为读者提供另一种软路由的思路，让R2S兼有传统主路由的功能，又有更熟悉的Linux发行版体验。

我的网络拓扑大概如下（无线路由器连接的各个设备仅为示意）。R2S作为主路由使用，~~Redmi AC2100~~ （已升级为小米AX3000）作为AP，不存在旁路由。

网络拓扑

安装Armbian

安装Armbian的第一步就像OpenWrt一样，从官方网站下载对应的img（本文使用基于Ubuntu的Jammy），然后用你的工具烧录进SD卡。将R2S接入电源，指示灯应该闪烁。

初始设置需要将其WAN或LAN口接到另一台 已经启用DHCP 的路由器上，想办法找到其IP地址（比如进管理员后台），然后使用SSH登录，初始用户名和密码分别为 root 和 1234。注意其此时不能作为一个开箱即用的路由器，也就是说不能直接接入电脑。

登入后有一个初始引导，跟着做就行了，没什么好说的。然后这就是一个标准的Linux系统了，基本可以直接遵循其他Linux的操作方法。但国内许多用户会到手换源，由于Armbian是基于其他发行版做的，所以换源不完全一样。其软件源有两个位置，均需要更改：

/etc/apt/sources.list 与你安装的版本所基于的发行版有关，如Armbian Jammy基于Ubuntu Jammy，就换对应的源（如清华源，注意Ubuntu使用Ports源）；
/etc/apt/sources.list.d/armbian.list 是Armbian专属软件源，也要换（仍然如清华源）。

配置路由器功能

OpenWRT说白了也是个Linux，作为一个路由器所需要的功能也有许多方案可以通过后期手动安装实现。

顺着走到这一步，执行 ip l，一台R2S的显示应该类似于下面这样：

plaintext

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN mode DEFAULT group default qlen 1000
    link/ether aa:aa:aa:aa:aa:aa brd ff:ff:ff:ff:ff:ff
4: lan0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
    link/ether aa:aa:aa:aa:aa:aa brd ff:ff:ff:ff:ff:ff

此处我把外部网络（相对，如上层路由器）插到了 lan0 上，局域网设备则均连接至 eth0，相当于许多OpenWRT包所做的反转WAN和LAN口。如无特别说明，后面的操作均按照这个来。

R2S的LAN是USB 3.0转接的网卡，而WAN是PCIe网卡。进行高速传输时，USB造成的中断会大量消耗性能，所以对于内网流量，将其扔给性能更高的WAN口。R2S在小包较多时速度明显下降，也是基于同样的原因。

DNS

DNS用于将主机名解析为IP地址。由于传统DNS查询是明文的，可以被中间人任意截留修改，部分运营商会进行DNS污染，以达到加广告或封锁境外网站的目的。因此，使用DoH（DHS-over-HTTPS）和DoT（DNS-over-TLS），并对国内和国外域名进行分流，就有其意义。

下文介绍了几种DNS转发器的的配置方案。其中，EasyMosdns自带了较完善的方案，而TelescopeDNS的配置文件较为简明，都能有效对抗DNS污染。

TelescopeDNS

此处使用 Telescope DNS 负责监听53端口，为局域网内设备进行解析，并根据条件将其发送至不同的DNS服务器。

虽然我有透明代理的需求，但是本着解耦的原则（说白了就是怕Xray-core挂掉全都上不了网），还是由单独的DNS转发器处理局域网查询吧。

Armbian默认使用systemd-resolved解析DNS并占用25端口，由于其仅能监听本机请求而不能接受局域网内其他机器的请求[^7]，需要将其禁用。此外需要将 /etc/resolv.conf 指向127.0.0.1以将本机的DNS查询转发至Telescope DNS。

以下是我的配置文件，读者可以参考。

toml

listen = "192.168.0.1:53"
disable_qtypes = ["AAAA"] # 禁用 IPv6 解析

[cache]
size = 4096

[hosts] # 为 DoH 域名指定 IP 地址，防止回环解析（指解析所必需的 DoH 域名本身也需要解析）
"doh.pub" = "1.12.12.12"
"cloudflare-dns.com" = "1.0.0.1"

[groups]
  [groups.clean] # 境内域名
  doh = ["https://doh.pub/dns-query"] # 腾讯 DNSPod DoH
  dns = ["114.114.114.114"]
  concurrent = true
  no_cookie = true # DNSPod 可能需要
  redirector = "oversea_ip2dirty" # 按照下方同名 redirector 设置重定向

  [groups.dirty] # 境外域名
  dns = ["208.67.222.222:5353", "176.103.130.130:5353"]
  doh = ["https://cloudflare-dns.com/dns-query"] # Cloudflare DoH
  gfwlist_file = "/etc/ts-dns/gfwlist.txt"

[redirectors]
  [redirectors.oversea_ip2dirty]
  # 解析后如发现ip地址不匹配cnip，则重定向到dirty组解析
  type = "mismatch_cidr"
  rules_file = "/etc/ts-dns/cnip.txt"
  dst_group = "dirty"

为了让本机的DNS解析通过本机的服务器，需要更改默认的DNS解析器。

EasyMosdns

Mosdns以强大的功能而闻名，但对于不想花时间配置的人来说，使用别人配好的方案也能十分舒适，比如 EasyMosdns。

因为它和Mosdns都没有被大部分发行版打包，所以在Armbian上，需要先手动安装对应版本的Mosdns，然后将上述repo内的文件丢进对应目录。至于Systemd单元等文件，可以参见 AUR。

默认监听53端口，可以在 /etc/mosdns/config.yaml 中设置。

dnsmasq 整合

确实dnsmasq可以当DNS转发器啊，但因为它对DNS污染抗性比较差，所以我肯定不会单独用它的。不过可以把它套娃，在本机上做两层转发。

如果你希望做两层转发，那么需要将嵌套的转发器监听端口改一下，比如5353，将这个地址改为dnsmasq的上游DNS，并且把dnsmasq的cache size设为0（否则第一次查询大概率失败）；如果你希望把dnsmasq的DNS禁掉，那么这三个设置都不用动，然后给dnsmasq加个 -p0 启动参数就可以了。

DHCP

DHCP用于为局域网内的设备分配各自的IP地址，同时也会传递网关、默认DNS等信息。在我的网络拓扑中，由软路由充当DHCP服务器，其他设备则仅需自带的DHCP客户端。

一般来说Linux的网络连接由systemd-networkd或NetworkManager之类的东西管理（包含DHCP客户端），而在基于Ubuntu的系统上有个好东西叫做Netplan，用于在前述两者等一系列工具之上再构建一层抽象，以求简化其配置。

该机型Armbian的Netplan配置文件位于 /etc/netplan/armbian-default.yaml。未经修改的文件类似于：

yaml

1
2
3

network:
  version: 2
  renderer: NetworkManager

要将软路由作为DHCP服务器，需要先将对应接口的DHCP客户端关掉（路由器一般当然不能从局域网其他主机取得IP地址了），然后再为其单独安排一个IP地址。再次提醒，我计划把局域网设备插在 eth0：

yaml

network:
  version: 2
  renderer: NetworkManager
  ethernets:
    eth0:
      dhcp4: false # 这个 false 是关掉 DHCP 客户端
      addresses: [192.168.0.1/24] # 网段自定，后面对应修改

保存后不要忘了使用 sudo netplan try 测试配置文件是不是写对了，没问题的话就确认。

至于DHCP服务器，我起初选择了 coredhcp。其并不支持SLAAC宣告，故对IPv6环境并不友好；而dnsmasq虽然看起来麻烦，但实际上只需要动几个配置项就行了，而且对IPv6比较友好。

照例是配置文件：

yaml

server4:
    listen:
        - "%eth0" # 只监听 eth0 接口的请求
    plugins:
        - lease_time: 3600s
        - server_id: 192.168.0.1 # 填路由器 IP 就行
        - dns: 192.168.0.1 # 重要，设置为路由器 IP 以指向路由器上的 DNS
        - router: 192.168.0.1 # 网关，主路由兼具代理功能，所以这里也是路由器 IP
        - netmask: 255.255.255.0 # 子网掩码
        - range: /etc/coredhcp/leases.txt 192.168.0.2 192.168.0.254 12h # 分配地址文件，起始地址，结束地址，租约时间

NAT

NAT对局域网内IP和端口号二元组与外网IP和端口号二元组之间建立联系，并进行转换。此处使用的工具是 nftables。依托其强大的规则体系，我们可以自由选择转发暴露的端口，以及内外能访问的服务等。

nftables 官方文档 ² 给了我们一个很好的基础配置，我也知道其他高级用途也需要依托 nftables，此处按下不表。但要做到NAT，只需要用一张 nat 表的 masquerade 规则。

perl

#!/usr/sbin/nft -f

flush ruleset

define WANLINK = lan0

table ip nat {
        chain  prerouting {
                type nat hook prerouting priority -100;
        }
        chain postrouting {
                type nat hook postrouting priority 100; policy accept;
                oif $WANLINK masquerade
        }
}

要暂时应用Nftables规则，可以使用 sudo nft -f <filename>，永久应用则需要将其保存到 /etc/nftables.conf，并设置权限755。

启用IP转发

只有启用代理转发，流量才能进入Netfilter的 forward 链，从而不经本地用户程序而向外转发。

在 /etc/sysctl.d/ 下新建一个文件，名字随意（如 98-ip-forwarding.conf），内容为：

plaintext

1
2

net.ipv4.ip_forward=1
net.ipv6.conf.all.forwarding=1

然后运行 sudo sysctl -p 使其生效。这样，软路由就有了将不属于它的包转发出去的能力。

PPPoE

安装 pppoeconf，然后运行它就可以了。它的底层是 pppd，所以修改配置也需要到 /etc/ppp/ 里面修改。

使用PPPoE上网后，会生成一个 ppp0 虚拟网卡，它充当了WAN口的作用；使用原来的WAN接口是无法直接联网的。使用透明代理等需要指定接口的应用时请务必注意。

进阶应用

按照上面的步骤配置完毕后，如无意外，软路由本身和接入其的设备应该已经可以上网了。然后是一些相比OpenWrt，Armbian没有out-of-box支持的。

透明代理

请阅读 Armbian + R2S 番外篇：透明代理一文。

另外，如果使用Tailscale，实测透明代理可能会与Tailscale规则冲突（实测23/8/26有此现象），从而导致上不了网的严重问题，所幸1.48.0开始Tailscale增加了Nftables支持，将其启用似乎可以解决这个问题。在 /etc/default/tailscaled中加入 TS_DEBUG_FIREWALL_MODE=nftables 即可³。

基本防火墙

将这些规则加入之前的 nftables 配置，可以对内外网进行基本的隔离。修改自 ⁴。

perl

table inet filter {
        chain inbound {
                type filter hook input priority 0; policy drop;
                ct state vmap { established : accept, related : accept, invalid : accept } counter
                ip protocol icmp icmp type { destination-unreachable, echo-reply, echo-request, source-quench, time-exceeded } limit rate 5/second accept
                tcp dport 22 accept
                iifname vmap { lo: accept, $WANLINK : jump inbound_world, $LANLINK : jump inbound_private }
        }
        chain inbound_world {
                ip saddr { $RESERVED_IP } drop
        }
        chain inbound_private {
                ip protocol . th dport vmap { tcp . 22 : accept, udp . 53 : accept, tcp . 53 : accept, udp . 67 : accept }
        }
        chain forward {
                type filter hook forward priority 0; policy accept;
        }
}

UPnP / NAT-PMP

UPnP和NAT-PMP本质上是类似的东西，类似于一个自动的路由器端口映射。可以使用 MiniUPnPd 来实现。

Ubuntu和Debian已经打包了 miniupnpd 和 miniupnpd-nftables 两个包，安装时会自动进入向导，分别填入内网接口（eth0）和外网接口（lan0），并选择启用即可。

Full Cone NAT

Nftables的NAT行为 masquerade 是Symmetric NAT。打游戏的应该会需要Full Cone NAT，可以参考一下这个实现。需要编译对应的 libnftnl、nftables 和 nft，以及内核模块。

如果你使用Xray-core透明代理，那么它已经帮你用神奇的方式实现了Full Cone NAT⁵。但在实现透明代理时，需要将所有流量转发至Xray-core进行分流，以防不同分流规则下NAT行为出现不同。

另外还可以使用 einat-ebpf，使用时需禁用上述NAT Nftables规则中的 MASQUERADE 链，实测Armbian内核支持该程序eBPF所需的内核选项，性能良好，较为易用，无需重新编译内核模块或使用第三方代理工具。

MSS Clamping

我不只一次见网友说自己搭的软路由访问某些网站非常慢，而换回硬路由就正常。这是因为多数家用路由器默认对IPv4下的TCP开启了MSS (maximum segment size) Clamping。

《开启 IPv6 后网速变得很慢？可能是 PMTU 黑洞的问题》

简而言之就是家用硬路由会自动帮你设置MSS，而软路由不会，造成被路径上丢包只能重传。进行MSS Clamping后，终于能跑满300M宽带了。

在Nftables中添加以下内容：

perl

table inet filter {
    chain forward {
        type filter hook forward priority 0; policy accept;
        tcp flags syn tcp option maxseg size set rt mtu
    }
}

IPv6

以网上资料的细碎程度，IPv6其实也是一个进阶应用；但是感觉对自己来说，即使没有全局梯也不能没有IPv6，所以就挺拧巴的，这也是我把它放在最后的原因。如果你对IPv6没有那么熟悉，我强烈建议你展开下面的内容看点更拧巴的现象和我的理解，防止配完黑人问号。

常用的路由器 IPv6 部署方案解析

IPv6的情况与IPv4不同，路由器较少使用DHCPv6来为局域网设备分配IP地址（而且支持也像屎一样 [^13]），更常用的叫做无状态地址自动配置（SLAAC，StateLess Address Auto Configuration），一般来说路由器会选择LAN上前缀的一个 /64地址块，向局域网内进行宣告，然后各个主机通过某种方式，自己在这个 /64里选择一个地址（并非一个设备直接分走一个 /64，所以运营商只给 /60而不是 /56并没有什么问题；感谢 V2EX @dalaoshu 的纠正）。因为一个 /64实在是太巨大了，所以一般也不会冲突。

诶，看起来拧巴的事情来了：本人使用的长沙联通宽带，光猫已改为桥接路由器拨号；而对于PPPoE，协议本身会给路由器 ppp0 指定一个 /64的地址 [^14]。不知细心的你是否发现了，我们没说过 ppp0 在委托的那个子网里面——事实上也确实不在。当执行 ip -6 addr 时，就会得到以下看起来十分抽象实际上却又合理的输出（节选）：

bash

$ ip -6 addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 state UNKNOWN qlen 1000
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 state UP qlen 1000
    inet6 2408:aaaa:450:3650:4c43:81ff:fe4d:9cac/60 scope global
       valid_lft forever preferred_lft forever
    inet6 fe80::4c43:81ff:fe4d:9cac/64 scope link
       valid_lft forever preferred_lft forever
6: ppp0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1492 state UNKNOWN qlen 3
    inet6 2408:bbbb:451:50b6:7a88:efdb:db94:4b77/64 scope global temporary dynamic
       valid_lft 259001sec preferred_lft 85804sec
    inet6 2408:bbbb:451:50b6:4e43:81ff:fe4d:9cac/64 scope global dynamic mngtmpaddr
       valid_lft 259001sec preferred_lft 172601sec
    inet6 fe80::4e43:81ff:fe4d:9cac peer fe80::16eb:8ff:feb2:b27d/128 scope link
       valid_lft forever preferred_lft forever

说它抽象吧，是因为在我的直觉里，似乎IPv6不会分配私有IP，所以大家都是平等的设备，也理所应当属于一个子网；说它合理吧，是既然IP转发启用了，那么路由器就可以将其送达该有的目的地，路径也并不需要跟着网段走。事实上，WAN口的 /64是通过PPPoE的SLAAC获得的，这与LAN口的DHCPv6-PD获得的前缀来源不同，所以才会出现两个地址不在同一网段的情况。

其实类比IPv4也是很好理解的：运营商给一个普通路由器的WAN口分配了一个公网IP；同时路由器通过DHCP将内网的私有地址分配给各个主机，LAN口也获得了一个该网段下的私有地址。IPv6情况其实差不多，只是上面的私有地址段变成了通过DHCPv6-PD获得的公网地址段，通过某个公网地址能够直接路由到特定的主机，无需经过NAT而已；子网内的DHCPv4也变成了SLAAC，不过结果上没区别，都是主机获得了自己的IP。

评论区有人提到了IPv6的一些奇怪情况；此外关于PD和SLAAC，也可以多阅读这篇文章作为参考。

好的，逼叨完了，结果很明了了：我们需要配置的有

一个能进行DHCPv6-PD的客户端，
一个能进行SLAAC宣告的程序，和
让路由器本身获得IPv6。

第一个事好说，用得很广泛的是 wide-dhcpv6-client$^包$。安装后编辑 /etc/wide-dhcpv6/dhcp6c.conf。以下给出一个示例，它从运营商请求一个非临时的前缀，然后将这个前缀委托给 eth0，让 eth0 获得一个 /64地址。

perl

interface ppp0 { # 通过 ppp0 进行 DHCPv6
    send ia-pd 0; # 发送 Prefix Delegation 消息
    send ia-na 0; # 请求非临时地址（non-temporary address）
    script "/etc/wide-dhcpv6/dhcp6c-script";
};

id-assoc pd 0 { # PD 0 的配置
    prefix-interface eth0 { # 将前缀委托给 eth0
        sla-id 0; # SLA ID，即网段编号
        sla-len 0; # SLA 长度，即用掉整个 PD
    };
};

id-assoc na 0 {}; # NA 0 的配置，留空就行

这是一个很基础的配置，如果想整更多花活，建议读 manual。

重启一下服务，如果看到 eth0（或自己定义的LAN）上有了一个大于 /64的非私有IP，那么就是成功了，不出意外的话route也会为你配好；否则可以自行使用 dhcp6c -Df -c /path/to/conf <interface> 进行debug。

现在连上设备并不能用SLAAC，因为我们还没有配置路由宣告。如果你已经使用 dnsmasq 作为DHCP服务器，那么宣告非常简单：仅需要在配置文件中加类似下面这一行。

plaintext

`1`	`dhcp-range=::1000,::1fff,constructor:eth0,slaac,ra-names`

我来详细解释一下：

即使向运营商申请了非临时前缀，也可能变，所以前缀不能写死，要自动从接口获取
constructor:eth0 指的是分配给 eth0 的IP段
::1000,::1fff 指的是所有IPv6地址，当然不能给IPv4做SLAAC不是嘛
slaac 指的是选择外部分配的前缀，而非 fe80 开头的内网IP段
ra-names 代表进行SLAAC宣告，不进行DHCPv6，并将主机添加到DNS

第三个事情看起来很玄学。在远古的Linux内核中，当开启IPv6 forwarding的时候，即使 net.ipv6.conf.all.accept_ra 不为0，其也会自作主张地停止进行SLAAC，导致路由器WAN（eth0）接口无法获取IPv6地址；而在不那么老的内核上，将其设为2，就可以同时开启IPv6 forwarding和进行SLAAC⁶。

这样，局域网下的设备就可以通过IPv6上网了，没有邪道DHCPv6。

同步 iCloud （云上贵州）日历

Mon, 10 Jul 2023 21:52:50 +0800

作为一个Android + Apple + Windows用户，寻找跨平台数据同步方案一直是一大难题，日历也不例外。纵观全局，日历同步服务倒也不少，比如Google、Outlook和iCloud等，但Google国内根本连不上，Outlook托微软的尿性也不稳定，我这次又懒得自己部署一个，此时iCloud就成为了一个好选择。

iCloud使用的也是通用的CalDAV协议，然而iCloud并没有一个开放的CalDAV配置指引，甚至连服务器都不给。手动配置也不难，要配置一个CalDAV客户端，一般需要服务器地址、用户名和密码。用户名就是你的iCloud邮箱地址，即xxx@icloud.com。

macOS 上并不支持授权 CalDAV

客户端支持情况

有的日历客户端需要手动配置服务器地址，但有的不用。但除了iOS和macOS系统自带的日历客户端，其他大部分都需要获取App专用密码。

以下是我使用过的几个客户端，以及它们对手动配置服务器地址的需求情况：

iOS、macOS等苹果第一方客户端：当然不需要
MIUI日历：不需要（不含HyperOS）
Windows日历：不需要
Thunderbird：需要*

* 可以使用TbSync插件同步国际版iCloud，但不适用于云上贵州

如下图，需要手动填入“位置”的即为需要获取服务器地址。

Thunderbird 创建新日历

获取密码

众所周知，仅凭Apple ID和其密码当然过不了二步验证，验证码都没地方输。好在可以创建App专用密码。

在 Apple ID 管理页面的下方找到 “App专用密码”，创建一个，然后暂存下来，这个密码之后不会再出现。每个专用密码都等效，所以建议对每个应用使用不同的专用密码。

App 专用密码

获取服务器地址

方法一：分析请求

苹果没有给服务器地址，但网络上有现成的获取方法，如这个。但是已经过去了五年，在云上贵州的环境中又有点不同。长话短说，就是把icloud.com换成icloud.com.cn，然后自己摸索起来应该也不难。

仿照那个教程的获取方法，iCloud云上贵州的CalDAV服务器地址格式为：

text

`1`	`https://<server-id>-caldav.icloud.com.cn/<user-id>/calendars/<calendar-id>/`

其中：

<server-id> 是数字和字母混合的字符串，我的是4位；
<user-id> 是一串数字，我的是11位；
<calendar-id> 是一个用 - 分隔的、全部大写的UUID。

需要注意，一个CalDAV地址对应一个日历，如果有多个日历必须在下面的步骤中重复操作。

现在打开你的iCloud网页版，打开浏览器的开发者选项-网络，然后在日历页面双击任意一个事件，进入详情。

在开发者选项中过滤“XHR”请求，然后找到传输这个事件详细信息的GET请求，例如下图：

找到这个请求URL，它大概是以下格式：

text

https://<server-id>-calendarws.icloud.com.cn/ca/eventdetail/<calendar-id>/<event-id>?clientBuildNumber=<some-random-text>&clientId=<some-random-text>&clientMasteringNumber=<some-random-text>&clientVersion=<some-random-text>&dsid=<user-id>&lang=<some-random-text>&requestID=<some-random-text>&usertz=<some-random-text>

或许你得到的request param会有所不同，但只要能找出你链接中的对应位置，提取出上面提到的三个ID就行了。如果发现提取不出来，请评论。

将上面三个ID填入上面的CalDAV服务器地址中，就可以得到你的CalDAV服务器地址了。

方法二：MIUI日历

更新：HyperOS的日历已经去掉iCloud登录功能。

如果你恰好有一台小米手机，那么可以直接在MIUI日历中添加iCloud日历，MIUI会自动获取服务器地址，也能正确处理云上贵州链接。在日历详细信息页面，你就可以提取出对应的日历地址。

MIUI 日历可以正确提取链接

方法三：工具提取

可以试一下以下的工具（未经验证）：

midnightmonster/icloud-calendar-urls（需要macOS环境）
muhlba91/icloud-caldav-urls

写一个 WordPress 评论转换工具

Thu, 15 Jun 2023 21:43:40 +0800

在把博客迁出WordPress的时候难免要一块儿把评论迁出来。怪了，全网常用的评论系统，Valine，Twikoo，怎么就没有WordPress导入呢？另一个评论系统，Artalk，倒是有个Artransfer工具，通过WordPress全部的导出文件解析评论，导出Artrans格式。但sadly, it simply didn’t work. 它也并不能很好地处理重定向。

那总不能把评论一个一个输到Twikoo里面吧，那未免太不优雅了。何况即使五分钟手工能干成的事情，也要花两个小时去自动化完成（狗头）。

导出方法

WordPress备份文件的组织形式我觉得挺麻的，幸好还有另一种获取评论的方式，即REST API。该接口虽然是公开的，但是在进行认证之后，可以读取到评论的全部信息，包括发送者邮箱、IP和user-agent等。而在以前使用的全部资料导出方式中，根本没办法导出UA。

读出来某条评论大概是这个样子：

json

    {
        "id": 123, // 评论 ID
        "post": 2345, // 文章 ID，即代表 /archives/2345 的那篇文章
        "parent": 0, // 父评论 ID，0 代表没有父评论
        "author": 0, // 作者 ID，0 代表未登录用户
        "author_name": "AuthorName", // 作者名
        "author_email": "author@example.com", // 作者邮箱
        "author_url": "https:\/\/example.com", // 作者网站
        "author_ip": "1.1.1.1", // 发送 IP
        "author_user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:89.0) Gecko/20100101 Firefox/89.0", // 发送者浏览器 UA
        "date": "2000-00-00T00:00:00", // 本地和 GMT 发送时间
        "date_gmt": "2000-00-00T00:00:00",
        "content": {
            "rendered": "content", // HTML 评论内容
            "raw": "" // 纯文字评论内容
        },
        "link": "", // 评论链接，指向对应文章的对应评论
        "status": "approved", // 是否过审
        "type": "comment", // 好像只有 comment
        "author_avatar_urls": { // 三种尺寸的头像链接。很难想象 WordPress 会直接预存三种链接，虽然都是 Gravatar 的
            "24": "",
            "48": "",
            "96": ""
        },
        "meta": [], // 用于存放一些额外的 metadata
        "_links": { // 相关 API endpoint
            "self": [
                {
                    "href": "https:\/\/example.com\/wp-json\/wp\/v2\/comments\/123"
                }
            ],
            "collection": [
                {
                    "href": "https:\/\/example.com\/wp-json\/wp\/v2\/comments"
                }
            ],
            "children": [
                {
                    "embeddable": true,
                    "href": "https:\/\/example.com\/wp-json\/wp\/v2\/comments?parent=123"
                }
            ]
        }
    },

详细解析见 WordPress REST API Handbook。

要获取完整内容，需要在WordPress后台-用户-个人资料中生成一个“应用程序密码”（或使用其他认证方式），然后在请求中加入对应的认证信息，并将 context 设为 edit。比如使用cURL：

bash

`1`	`curl --user "username:password" -X GET https://example.com/wp-json/wp/v2/comments?context=edit`

输出格式

作为一个Twikoo用户，为什么不输出为Twikoo JSON呢，是因为不想用吗？

想啊，很想啊，但只有Artalk的 Artran 有现成的格式定义，而且数据定义也相对简单，起码比逆向Twikoo JSON简单得多。

json

{
    "id": "123", 
    "rid": "233", 
    "content": "Hello Artalk", 
    "ua": "Artalk/6.6", 
    "ip": "233.233.233.233",
    "created_at": "2021-10-28 20:50:15 +0800 +0800", 
    "updated_at": "2021-10-28 20:50:15 +0800 +0800", 
    "is_collapsed": "false", 
    "is_pending": "false", 
    "vote_up": "666", 
    "vote_down": "0", 
    "nick": "qwqcode", 
    "email": "qwqcode@github.com", 
    "link": "https://qwqaq.com", 
    "password": "", 
    "badge_name": "管理员", 
    "badge_color": "#FF716D", 
    "page_key": "https://artalk.js.org/guide/transfer.html", 
    "page_title": "数据迁移", 
    "page_admin_only": "false", 
    "site_name": "Artalk",
    "site_urls": "http://localhost:3000/demo/,https://artalk.js.org"
}

文档示例，简单易懂，对吧？唯一需要解释的就是 rid，即父评论ID。在不存在父评论的时候，可以直接设为0。

实际上只含有下面的这些字段的话，也能用：id、rid、content、ua、ip、is_collapsed、created_at、updated_at、nick、email、link、page_key。在不太复杂的情况下，page_key 可以仅写作 /guide/transfer.html。

链接重定向

如果迁移前后的评论系统附属网站permalink的格式不一样，那么评论的 page_key 也要做相应的修改。个人迁移前后的博客站点暂时是同时开放的，而迁移后Hugo也可以方便地设立重定向页面。

举个例子吧，假设原页面为old.example.com/archives/2345，对应新页面为new.example.com/post/new-post，则Hugo设立alias之后会在new.example.com/archives/2345生成一个重定向页面，内容为：

html

<!DOCTYPE html>
<html lang="zh-cn">
  <head>
    <title>https://new.example.com/post/new-post/</title>
    <link rel="canonical" href="https://new.example.com/post/new-post/">
    <meta name="robots" content="noindex">
    <meta charset="utf-8">
    <meta http-equiv="refresh" content="0; url=https://new.example.com/post/new-post/">
  </head>
</html>

假设我们在之前的WordPress REST API中已经获取到旧WordPress网站中某条评论的 post 字段值为2345，那么只需要访问new.example.com/archives/2345，运用正则表达式提取refresh URL即可提取到新的 page_key，即 /post/new-post。

代码实现

见 GitHub repo。

后记

写完程序之后，我变成了一个Artalk用户。

逃离 WordPress

Sat, 10 Jun 2023 20:08:14 +0800

迁移博客或许是每一个Blogger的宿命。

动机

如你所见，这是一个Hugo站点。而在这个域名中，曾经运行着WordPress。

你或许知道我的博客本来是WordPress的，而WordPress虽然大而全，但作为一个博客来说确实有点太重了。这倒不是“我可以不用你不能没有”的问题，而是不用就要关掉的问题，留着就会有各种漏洞，虽然网站没啥真正有价值的东西，但怪烦的。基于维护性和可移植性的优势，我早就想用静态网站生成器代替WP了（这个在两周年的文章中有提到），但苦于重定向做起来怪麻烦的，便一直拖着没有做。

那为什么下定决心了呢？还是因为WordPress的可维护性。当初我将网站从Vultr迁到腾讯云，一部分也是因为承载的网站越来越多，天天干爆内存，然后每次 mariadbd 就会当炮灰被杀掉。腾讯云轻量香港确实爽，2G RAM随便造……了一年。就在前两天，这个现象又出现了。很快，服务器的硬盘也不知道怎么回事就满了（不是swap的锅），这次死的又是 mariadbd。

之所以迁移起来困难，一直没干，一方面是因为目录结构不同，需要逐个手动重定向；而另一方面是WordPress上还有很多条评论，我不想丢掉。和这两者比起来，把文章扒下来转成Markdown反而成了相对容易的工作。

托管、生成器和主题

虽然静态网站可以直接用Caddy去serve，但本着 ~~“用自己的不如用别人的”~~ 尽量减少故障的原则，选择一般人使用的第三方托管方案，而这意味着又要经历常见的服务商选择问题了。老实说，Netlify、Vercel和GitHub Pages用户群都挺多，体验也都不错；微软的新服务Azure Static Web App也还可以，甚至有香港数据中心，但它是依托GitHub Actions的，build起来有点慢，最重要的原因是Azure那令人发指的控制台。看起来Netlify在中国大陆的速度比Vercel快一点，又没有GH Pages被墙得那么多，试了试几种网络环境发现没有什么访问问题，所以就选了Netlify。

没有选择Azure还有一个重要的原因。头抬起，这是Azure的控制面板，可看到为粗糙的边缘，请坐和放宽：

至于网站生成器的选择，老实说，考虑到我稀烂的前端水平，我的选择有点跟着主题走，顶多对主题进行一点魔改。做出这个决定时，有hexo-theme-icarus和hugo-theme-stack两个选择摆在我面前，最终因为我对Go的喜爱（以及前者带有jQuery）而选择了后者。

加载首页只需要200KB出头，相比之前去掉图片还有2MB，很香啊！还能细粒度控制KaTeX加载，这么久终于体会到了抠流量的快感（误）。

Hugo的主题有一个好，就是不用学PHP就可以魔改，我 ~~大概可能也许~~ 有能力按照自己的需求改一改吧。

当前进度：

选择托管平台：Netlify
选择生成器：Hugo
选择主题：hugo-theme-stack
魔改主题

文章

Markdown导出WordPress文章这件事，有人做过解决方案了，导出的Markdown有front matter，看起来交给Hugo基本没有什么阻碍。但是实际操作起来坑还是很多的，光是把文章导出再导入，就花了我三天时间 ~~（一边摸鱼）~~。

其一是图片的存储必须要整个移走，之前WordPress历经了三种存储图片方式，分别是WordPress自带图片存储、Cloudreve + OneDrive存储，最后是阿里云对象存储。自己铲屎山的时候才意识到，这三种方式实质上混杂在文章之中，而且由于WordPress问题，内部图片也是通过指向网站的链接管理的，也就是说WordPress存储的图片还要分IP+端口、域名+端口和域名访问。一不做二不休，干脆直接换个存储桶吧，路径正好也跟页面的slug对应，折腾起来也会容易很多。顺便推荐一波Cyberduck，比阿里的OSS Browser好用多了。

其二是各种复杂样式问题，包括但不限于分栏、复杂表格等，不可否认用WordPress的可视化编辑器确实很方便，但如文字颜色等属性是基于自定义CSS class实现的，

当前进度：

导出WordPress文章
导入文章
设定分类
设定标签
i18n
友链

评论是博客重要的内容，我的计划是写个小工具，从WordPress的REST API导出评论，然后导入第三方评论工具。这个事情会在所有文章都搬过来之后去做。

基于上面好线路服务器资源紧缺的现状，我挑选评论系统时将资源消耗放在了较重要的地位，也就自然盯上了无Node.js后端的Commento和Remark42。然而前者需要PostgreSQL，后者文档不太明白不说，还需要额外的注册登录才能评论，这与之前填入基本信息即可评论的初衷不符，于是转向了Twikoo。其使用Docker自行搭建的情况下，仅占用了70MB内存，文章详情页也仅需多加载150KB左右，算下来还是比较节省资源的。

果然，用的人多是有原因的……

当然也不是用的人少就一定不好用，毕竟我最后还是反复横跳到了Artalk。可选的多站点支持，50KB额外开销，Go后端，完善的文档……该给的确实都给了。折腾这么多，现在应该能安心了吧。

如果你对我做的转换工具感兴趣，可以查看下方链接。

当前进度：

部署新评论系统：Artalk
写转换工具：https://github.com/cyp0633/WP2Artran
导出，再导入

重定向

把评论都搬过来后，WordPress站点基本就没有值得留意的东西了，这个时候就可以把WordPress的permalink重定向到Hugo来了。

最后发现RSS倒是做了重定向，但是某些固定页面没做，就直接把DNS改了。之前那些页面就寄掉了。还好筛选过，也没有太大损失。

当前进度：

设置文章重定向：Hugo aliases已经做好了
设置RSS、友链等固定链接重定向

后记熟悉Netlify的读者应该知道，同一个站点可以分配多个domain。在上面的一切都做完之后，我将新博客放在了 <next.cyp0633.icu>，让它跟旧博客共存了一段时间。再确认运行正常之后，我将 <cyp0633.icu> 也指向了新博客，就此宣告了旧站的结局。然而Google搜索认为 <next.cyp0633.icu> 是规范网址，换言之不再索引 <cyp0633.icu>。可以在 netlify.toml 中添加如下的重定向规则，以直接将 <next.cyp0633.icu> 重定向到 <cyp0633.icu>：

toml

[[redirects]]
  from = "https://next.cyp0633.icu/*"
  to = "https://cyp0633.icu/:splat"
  status = 301
  force = true

用 Rust uutils 替换 Windows PowerShell 内置 cmdlet

Sat, 20 May 2023 00:00:00 +0000

更新：适用于Linux的Windows子系统（WSL2）已更新 2.0 版本，一定程度上解决了之前占用端口等弊病。再加上之前更新的许多实用功能，个人已经使用WSL2的zsh基本代替了Windows下的PowerShell，故本文的意义不再像以前那么大。

uutils是一个用Rust重写的GNU Coreutils，也就是Linux上的 cp、mv、touch 等程序的一个实现。虽然在Windows的PowerShell中执行这些命令也能得到类似于Linux的结果，但实际上是一个PowerShell内置cmdlet的alias，在某些情况下的兼容性并不是那么好。本文探索一种用uutils的命令替代PowerShell内置cmdlet的方法，以让Windows的命令行体验更加Unix化（虽然还是没那么Unix就是了）。

uutils/coreutils

安装uutils

可以使用预编译的二进制安装，也可以使用源代码编译安装。由于后面添加自动补全还需要源代码，所以我选择后者。

如果不需要shell自动补全，那么可以直接从上面GitHub仓库的releases下载对应的压缩包（coreutils-version-x86_64-pc-windows-{msvc|gnu}.zip），将解压后的coreutils.exe放在任何一个PATH下的目录下即可。至于如何添加PATH，此处不再赘述，很容易搜到。

默认编译或下载到的是multi-call binary，即调用方式为 coreutils.exe <command>，本文也按照这个情况书写。也可以编译为分离的二进制文件，具体请参考上面的GitHub Readme。

编译源代码需要先安装 Rust 工具链，未安装的请移步教程。

在你认为合适的位置，使用以下命令将其安装到Rust存放二进制文件的地方：

powershell

1
2
3

git clone https://github.com/uutils/coreutils
cd coreutils
cargo install --path . --features windows

编译出的二进制文件一般在 %HomePath%/.cargo/bin里面，应该是默认添加到PATH的。安装完成后可以开一个新的PowerShell，运行 coreutils 以验证是否安装完成。

为PowerShell添加自动补全

自动补全的主要用处大概是输入参数的时候能够按tab补全，如 ls --di 按下tab可以补全为 ls --directory。

有点类似于Bash的. bashrc初始化脚本，PowerShell的自定义设置由profile管理。用户profile的路径内置于PowerShell的 $profile环境变量，可以直接在PowerShell中运行 notepad $profile 来编辑。

但自动补全文本量很大，可以将每个命令的补全各自写入一个文件，然后在profile中引用。对于把补全文件放在同一个文件夹内的情况，可以在profile中添加以下内容：

powershell

$completionsPath = "C:\path\to\completions"  # Replace with the path to your completions directory

# Get all completion script files in the specified directory
$completionScripts = Get-ChildItem -Path $completionsPath -Filter "*.ps1" -File

# Load each completion script
foreach ($script in $completionScripts) {
    . $script.FullName
}

这样就可以加载C:\path\to\completions（自己定义）里的补全预设了。

然后回到coreutils的源代码文件夹中，用PowerShell执行以下命令：

powershell

1
2
3

foreach($cmd in'b2sum','b3sum','base32','base64','basename','basenc','cat','cksum','comm','cp','csplit','cut','date','dd','df','dir','dircolors','dirname','du','echo','env','expand','expr','factor','false','fmt','fold','hashsum','head','join','link','ln','ls','md5sum','mkdir','mktemp','more','mv','nl','numfmt','od','paste','pr','printenv','printf','ptx','pwd','readlink','realpath','relpath','rm','rmdir','seq','sha1sum','sha224sum','sha256sum','sha3-224sum','sha3-256sum','sha3-384sum','sha3-512sum','sha384sum','sha3sum','sha512sum','shake128sum','shake256sum','shred','shuf','sleep','sort','split','sum','tac','tail','tee','test','touch','tr','true','truncate','tsort','unexpand','uniq','unlink','vdir','wc','yes') {
    cargo run completion $cmd powershell > "C:\path\to\completions\$cmd.ps1"
}

这样就可以把自动补全输出到你自定义的补全预设目录（还是别忘了替换路径）。

取代PowerShell自带cmdlet alias

现在每次都要先输一个 coreutils 命令才能调用，既不方便也没法用自动补全，干脆直接把命令映射过来。

直接 Set-Alias 是不成功的，因为PowerShell自带alias。在profile中再添加以下内容：

powershell

foreach($cmd in'b2sum','b3sum','base32','base64','basename','basenc','cat','cksum','comm','cp','csplit','cut','date','dd','df','dir','dircolors','dirname','du','echo','env','expand','expr','factor','false','fmt','fold','hashsum','head','join','link','ln','ls','md5sum','mkdir','mktemp','more','mv','nl','numfmt','od','paste','pr','printenv','printf','ptx','pwd','readlink','realpath','relpath','rm','rmdir','seq','sha1sum','sha224sum','sha256sum','sha3-224sum','sha3-256sum','sha3-384sum','sha3-512sum','sha384sum','sha3sum','sha512sum','shake128sum','shake256sum','shred','shuf','split','sum','tac','tail','test','touch','tr','true','truncate','tsort','unexpand','uniq','unlink','vdir','wc','yes') {
    Remove-Alias $cmd -ErrorAction SilentlyContinue
    Set-Item function:$cmd -Value {coreutils $cmd $args}.GetNewClosure()
}

（修改自这个 Gist）

因为 sleep、tee 和 sort 不允许修改，所以只好删掉了。

如果没有意外的话，再打开一个PowerShell，就可以使用新的uutils了。

参考资料：

从 Docker 到 Podman

Tue, 07 Mar 2023 00:00:00 +0000

我烦Docker很久了。倒不如说我烦 “屁大点事都要容器化” 很久了，但在不得不用的时候，与其用自成一体的Docker，不如用同样遵守OCI的Podman。

由于Docker和Podman基本能够兼容，这里是一些个人碰到可能比较有意思的用法。我也不知道会不会继续写，什么时候会写。

与systemd结合

PROTECTED_0 已被弃用，请参考使用 Quadlet 的新方法

现在使用 podman generate systemd，会提示 DEPRECATED command: It is recommended to use Quadlets for running containers and pods under systemd.

Red Hat 文档

Docker有 dockerd，能自主控制容器的启动与停止，Podman没有。相比Docker，Podman的特点之一就是与systemd的融合，毕竟两个玩意全都是Red Hat自家的，他们大概也不想再做一个daemon。

解决办法就是，Podman容器可以使用systemd单元来控制启停等功能。举个例子，如果是root用户的容器，可以直接运行下面的命令，生成一个systemd单元：

bash

`1`	`podman generate systemd --new <container_name> > /etc/systemd/system/<service_name>.service`

记得替换你自己的容器名称和单元名称。虽然前后两个名字不统一又不是不能用，但个人强烈建议统一一下，可能能免去一些玄学问题。然后就可以用平常管理systemd单元的方法来管理它了。

Podman推荐的用systemd管理容器的方式是Quadlet。一个Quadlet形似systemd unit，但又神似docker-compose YAML。相比于已经弃用的 podman-systemd ，Quadlet表现能力更强，更容易编辑。看一眼 redis.container 示例¹就明白了：

ini

[Unit]
Description=Redis container

[Container]
Image=docker.io/redis
PublishPort=6379:6379
User=999

[Service]
Restart=always

[Install]
WantedBy=local.target

详细的文件结构在 Podman 的文档中有说明。除上面的 .container 示例外，还有.kube、.network 和 .volume 文件分别描述基于K8S的服务、容器网络设备和卷。

编辑完成后，要将上面的文件放进下面的目录之一²：

$HOME/.config/containers/systemd/（rootless container）
/usr/share/containers/systemd/
/etc/containers/systemd/

然后运行 systemd daemon-reload，就可以自动生成对应的systemd unit。比如在我的设备上，刚刚的 redis.container 生成的systemd unit就在 /run/systemd/generator/redis.service：

ini

# Automatically generated by /usr/lib/systemd/system-generators/podman-system-generator
#
[Unit]
Description=Redis container
SourcePath=/etc/containers/systemd/redis.container
RequiresMountsFor=%t/containers

[X-Container]
Image=docker.io/redis
PublishPort=6379:6379
User=999

[Service]
Restart=always
Environment=PODMAN_SYSTEMD_UNIT=%n
KillMode=mixed
ExecStop=/usr/bin/podman rm -f -i --cidfile=%t/%N.cid
ExecStopPost=-/usr/bin/podman rm -f -i --cidfile=%t/%N.cid
Delegate=yes
Type=notify
NotifyAccess=all
SyslogIdentifier=%N
ExecStart=/usr/bin/podman run --name=systemd-%N --cidfile=%t/%N.cid --replace --rm --cgroups=split --sdnotify=conmon -d --user 999 --publish 6379:6379 docker.io/redis

[Install]
WantedBy=local.target

当然，放出来的目的只是展示会生成一个怎样的文件，实际有需要时都是编辑Quadlet的。

从其他格式生成

坏消息是似乎无法直接为一个已经存在的容器生成Quadlet了；但也有好消息，只要能搞来 podman run 命令（或docker-compose YAML），就可以使用 PROTECTED_1 工具生成Quadlet。比如：

bash

$ podlet podman run --name redis -p 6379:6379 --restart always --user 999 docker.io/redis
# redis.container
[Container]
Image=docker.io/redis
ContainerName=redis
PublishPort=6379:6379
User=999

[Service]
Restart=always

开机启动

截至编写本文时，由于Quadlet生成的systemd unit是自动生成、可能改变的，所以无法enable³（会提示 Failed to enable unit: Unit is transient or generated）。

解决办法是在Quadlet中添加任何 [Install] 栏的内容，比如之前的 redis.container，或者参考官方文档的做法：

ini

1
2

[Install]
WantedBy=multi-user.target default.target

然后就可以自动开机启动了。

自动更新镜像

Red Hat 文档

手动重新找到同样的参数更新，不仅麻烦还不安全。Podman自带了一个 auto-update 工具，可以自动更新镜像，但依赖systemd unit。

适用于 PROTECTED_0 的方法（已弃用）

先创建个新容器，至于用 run 还是 create 其实都没什么关系。但不要忘了指定 io.containers.autoupdate label。属性可以为 registry 或者 local。

bash

`1`	`podman create --label io.containers.autoupdate=registry --name <container_name> <image_name>`

然后还要创建一下systemd单元，方法如上，这里再次建议单元名为容器友好名称，或者那个64位的随机hex值。

在上文容器Quadlet中的 [Container] 一栏中，添加一行 AutoUpdate=，后面的值从下面的选项中选一个：

registry：更新的时候会pull一下
local：有需要的时候得手动pull，如果本地镜像更新，用本地的替换

启用systemd单元后，建议先试一下：

bash

`1`	`podman auto-update --dry-run`

看名字也知道不会真的更新，只不过看看是不是配置对了。真正更新的时候把 --dry-run 去掉就行。

这玩意看起来更像是 apt update && apt upgrade 或者 pacman -Syu 之类的工具。如果更新失败，它也会自动进行回滚。

Netavark和Nftables

Netavark是Podman依赖的网络组件，后者需要前者创建虚拟网络等。而Nftables是iptables的替代品，依托Netfilter，用于创建防火墙规则或重定向等操作。

Netavark的默认后端是iptables。当Podman涉及到创建Pod等与虚拟网络有关的操作时，iptables-nft会操作Nftables创建一个链，而这个链的名字常常因为各种原因已经使用，于是会出现以下错误信息：

plaintext

`1`	`Error: starting container xxxxx: netavark: code: 1, msg: iptables: Chain already exists.`

这时需要在 /etc/containers/containers.conf 里，将后端替换为Nftables⁴：

conf

[network]
firewall_driver = "nftables"

如果版本比较老，可以改成 "none"。

该如何安放你，我的照片

Wed, 11 Jan 2023 00:00:00 +0000

一个自行部署的照片托管解决方案伪横评（真水文）。

使用设备：Celeron N5105（无AVX指令集），16G RAM，512G SSD；Arch Linux，容器环境Podman

个人的需求其实很简单，只是一个相册分类 + 照片时间线预览。要说特殊需求大概就是有大量的HEIC图片，毕竟谁的空间也不是大风刮来的，另外最好能够用类MySQL。要说人还是闲不住，后面实测了Photoprism、Photoview和Immich，所以不知不觉变成真横评了。对于其他服务，可以看这个非常直观的表格。

以下依据为个人2024/06的照片库，约10000张照片，40GB。

Photoprism

photoprism/photoprism

算是比较早的开源相册方案了，基本功能令人安心，但使用略有不便，且设置界面可设置的项较少。

Photoprism 会直接生成标签

数据库支持：MariaDB（MySQL）和SQLite，比较友好。
部署：方式为容器，需要设置大量环境变量作为配置，而不能在网页上直接修改，较为繁琐。
资源占用：不索引时（不含数据库）占用内存42MB左右，索引时约为220MB；数据库中数据65MB，缩略图等数据15GB；容器镜像1.88GB。
文件管理：支持导入和外部资料库，后者不改变原有文件结构；HEIC等格式图片会自动转换为JPEG。
人脸识别：识别不出几个人，水平不大行。
搜索：提前给图片生成标签，可以搜索，也可以自行添加标签。

Photoview

photoview/photoview

官方认可 AUR，好耶！相对来说，手动安装过程是最简单而且符合直觉的。托打包者和开发者的福，在安装AUR后，只需要修改一下配置文件里的MySQL连接参数（或者直接改成SQLite），然后启动systemd服务即可。功能相对来说简单，不过对我来说够用。人脸识别的准确度很一般，但对我来说也是锦上添花的功能。

提示：如果不想或不能改变文件所有权，建议使用文件ACL setfacl -Rdm 命令为photoview用户授予循环继承权限。

用下来几天发现了两个主要的问题，一个是一次导入过多照片的时候会卡住（假完成），阈值大约100张，另一个是HEIC图片的EXIF可能不能正确识别（提了 issue）。自从作者不太积极开发这个项目之后，感觉基本停滞了。

虽然这个占用是真的小，但需要声明的是，索引的时候仍然会消耗较多CPU，除非每次都大半夜索引，否则还是没有想象中那么省性能的。

数据库支持：MySQL或PostgreSQL。
部署：有AUR，有Systemd部署文档，但个人建议直接用容器。
资源占用：索引时250MB，日常10MB；缩略图等数据占用存储4.5GB，数据库20MB，镜像1.38GB。
文件管理：完全尊重外部文件结构，不会改变。但索引有些小bug，见上。
人脸识别：聊胜于无吧，精度不大行。
搜索：基于文件名的搜索，别的都没有。

Immich

immich-app/immich

Immich也是后起之秀了，现在Star比前辈Photoprism还多。它相对来说就比较复杂了，占用资源也多很多，算上数据库下来五个容器（但看起来不久之后会变成 4 个）。但是相对的，可自定义度也高很多，尤其是机器学习的部分。

上述机器学习指的是人脸识别和图像搜索，均可以远程进行，即在性能强的机器上单独运行ML容器，然后通过API通信。这对人脸来说十分方便，因为较大的人脸识别模型占用很大，但对于基于CLIP的图像搜索来说就是另一回事了：不光在索引时需要机器学习模块，搜索时也需要。所幸CLIP搜索的原理为对图片和检索词分别生成向量，然后将两者进行对比，而消耗资源比较多的部分是生成图片向量，所以可以先用较强的远程机器生成图片向量，我NUC上的弱鸡CPU只用来跑检索。还算可以接受。

数据库支持：PostgreSQL+Redis，需同时运行。
部署：似乎十分复杂，个人建议直接用容器。Docker Compose好说，Podman的话会非常麻烦。
资源占用：索引时内存基本上吃完（这是我的NUC头一次吃SWAP），如果使用NVIDIA硬件加速机器学习，还会占用约5-8GB显存（因为我卡只有8GB）；平时内存占用约400+200MB；缩略图等数据占用5.7GB（可使用WEBP，降低了占用），数据库563MB，镜像1.6GB+790MB（若使用CUDA则为4.55GB）。
文件管理：同时支持导入和外部资料库。
人脸识别：用较大模型的时候准确度蛮高的。
搜索：基于CLIP的自然语言搜索，遥遥领先，但缺点见上。也可以根据人脸、设备等条件筛选。

结语

很缺资源的选Photoview，性能足够的选Immich，嫌Photoview还不够强的选Photoprism。

附录：将 Immich 部署为 Podman Pod

来源

默认以rootful方式部署，将文件放在 /etc/containers/systemd 或其子目录下，systemctl daemon reload 后 systemctl start immich-server.service 即可。

不要忘记修改下面的目录映射和环境变量。两个目录映射中，一个是内部存储（由Immich决定文件结构），一个是外部存储（保留用户的文件结构）。

Pod声明 immich.pod

conf

[Pod]
PodName=immich
PublishPort=2283:3001

immich.env

conf

# You can find documentation for all the supported env variables at https://immich.app/docs/install/environment-variables

# Connection secret for postgres. You should change it to a random password.
# The two values should match
DB_PASSWORD=ZWEuFZHcEyuJJoR6
POSTGRES_PASSWORD=ZWEuFZHcEyuJJoR6

# The values below this line do not need to be changed
###################################################################################

DB_HOSTNAME=immich_postgres
DB_USERNAME=postgres
POSTGRES_USER=postgres

DB_DATABASE_NAME=immich
POSTGRES_DB=immich

REDIS_HOSTNAME=immich_redis

IMMICH_MACHINE_LEARNING_URL=http://immich_machine_learning:3003

数据库容器 immich-postgres.container

conf

[Container]
Pod=immich.pod
ContainerName=immich_postgres
EnvironmentFile=immich.env
Image=docker.io/tensorchord/pgvecto-rs:pg14-v0.2.0@sha256:90724186f0a3517cf6914295b5ab410db9ce23190a2d9d0b9dd6463e3fa298f0
Volume=pgdata:/var/lib/postgresql/data
HealthCmd=["/usr/bin/pg_isready"]
HealthStartPeriod=30s
HealthInterval=10s
HealthTimeout=5s
HealthRetries=5
Notify=healthy

[Service]
Restart=always

缓存容器 immich-redis.container

conf

[Container]
Pod=immich.pod
ContainerName=immich_redis
Image=docker.io/redis:6.2-alpine@sha256:51d6c56749a4243096327e3fb964a48ed92254357108449cb6e23999c37773c5
HealthCmd=["/usr/local/bin/redis-cli", "ping"]
HealthStartPeriod=30s
HealthInterval=10s
HealthTimeout=5s
HealthRetries=5
Notify=healthy

[Service]
Restart=always

[Install]
WantedBy=multi-user.target

机器学习容器 immich-machine-learning.container（本地，无硬件加速）

conf

[Container]
Pod=immich.pod
ContainerName=immich_machine_learning
EnvironmentFile=immich.env
Environment=HF_ENDPOINT=https://hf-mirror.com
Environment=LOG_LEVEL=debug
Image=ghcr.io/immich-app/immich-machine-learning:release
AutoUpdate=registry
Volume=model-cache:/cache
HealthCmd=["/bin/bash", "-c", "exec 5<>/dev/tcp/127.0.0.1/3003"]
HealthStartPeriod=30s
HealthInterval=10s
HealthTimeout=5s
HealthRetries=5
Notify=healthy

[Service]
Restart=always

机器学习容器 immich-machine-learning.container（远程，CUDA加速）

conf

[Container]
ContainerName=immich_machine_learning
Image=ghcr.io/immich-app/immich-machine-learning:release-cuda
Volume=model-cache:/cache
HealthCmd=["/bin/bash", "-c", "exec 5<>/dev/tcp/127.0.0.1/3003"]
HealthStartPeriod=30s
AutoUpdate=registry
PublishPort=3003:3003
HealthInterval=10s
HealthTimeout=5s
HealthRetries=5
Notify=healthy
Environment=LOG_LEVEL=debug
Environment=HF_ENDPOINT=https://hf-mirror.com
AddDevice=nvidia.com/gpu=all

[Service]
Restart=always

微服务（如索引等）容器 immich-microservices.container（带有Intel QSV支持）

conf

[Unit]
Requires=immich-redis.service immich-database.service
After=immich-redis.service immich-database.service

[Container]
Pod=immich.pod
ContainerName=immich_microservices
EnvironmentFile=immich.env
Exec=start.sh microservices
Image=ghcr.io/immich-app/immich-server:release
Volume=/path/to/internal/storage:/usr/src/app/upload:z
Volume=/etc/localtime:/etc/localtime:ro
Volume=/path/to/external/storage:/usr/src/app/external:z
HealthCmd=["/bin/bash", "-c", "exec 5<>/dev/tcp/127.0.0.1/3002"]
HealthStartPeriod=30s
AddDevice=/dev/dri
HealthInterval=10s
HealthTimeout=5s
HealthRetries=5
Notify=healthy

[Service]
Restart=always

主服务容器 immich-server.container

conf

[Unit]
Requires=immich-redis.service immich-database.service immich-microservices.service
After=immich-redis.service immich-database.service immich-microservices.service

[Container]
Pod=immich.pod
ContainerName=immich_server
EnvironmentFile=immich.env
Exec=start.sh immich
Image=ghcr.io/immich-app/immich-server:release
AutoUpdate=registry
Volume=/path/to/internal/storage:/usr/src/app/upload:z
Volume=/etc/localtime:/etc/localtime:ro
Volume=/path/to/external/storage:/usr/src/app/external:z
HealthCmd=["/bin/bash", "-c", "exec 5<>/dev/tcp/127.0.0.1/3001"]
HealthStartPeriod=30s
HealthInterval=10s
HealthTimeout=30s
HealthRetries=10
Notify=healthy

[Service]
Restart=always

[Install]
WantedBy=default.target

网络上的其他讨论可见 Reddit 帖 1、Reddit 帖 2

使用 VS Code 实现 LaTeX 便捷编译与预览

Mon, 28 Nov 2022 00:00:00 +0000

好久不见，水一篇文章。

Overleaf实在是太慢了，编辑器用起来也不爽，既然有轻便的本地发行版和优秀的编辑器，为什么不用呢？

本人使用Windows和Arch Linux下的MikTeX，对于其他发行版或操作系统，仅供参考。

LaTeX安装

个人会推荐MiKTeX发行版，仅需下载必要的文件，相比TeXLive 10GB + 的大小大大改善。

Windows下没什么难度，从官网下载即可。

Arch Linux等Pacman的Linux发行版建议从 AUR 下载，Arch Linux CN源下了好几遍似乎有点问题；然后打开MiKTeX Console，个人建议为所有用户安装，省事。

插件安装

首先在VS Code Marketplace下载一个插件，LaTeX Workshop。

装完之后，用VS Code打开一个工作区中的. tex文件，主界面就变成了这样。

recipe包含了对文件进行的处理步骤。毫无疑问，左边的recipe又要自己配了。马上讲。

编译配置

此部分主要参考 https://mingzzx.com/2019/05/14/miktex-vscode/ (CC BY-SA 4.0)。

recipe的逻辑似乎类似于Linux的pipe，以及VS Code其他语言的调试思想。

此处我使用 XeLaTeX 命令，而原帖使用 pdfLaTeX，区别可看此帖。一言以蔽之，前者对中文和自定义字体支持更佳。

配置属于VS Code首选项的一部分，所以可以填在工作区的. vscode/settings.json内，或用户首选项文件内。

json

{
    "latex-workshop.latex.recipes": [
        {
            "name":"xelatex",
            "tools": [
                "xelatex",
            ]
        },
        {
            "name":"xelatex+bibtex",
            "tools": [
                "xelatex",
                "bibtex",
                "xelatex",
                "xelatex"
            ]
        }
    ],
    "latex-workshop.latex.tools": [
        {
            "name": "bibtex",
            "command": "bibtex",
            "args": [
                "%DOCFILE%"
            ]
        },
        {
            "name": "xelatex",
            "command":"xelatex",
            "args":[
                "%DOCFILE%"
            ]
        }
    ],
}

基础的配置文件如上，tools部分封装了某个工具的执行方法，并取一个名字，如 xelatex tool就是 xelatex %DOCFILE%。recipe则是通过指定不同工具执行的次数和次序，最终取得不同的结果。单独的xelatex适用于不含参考文献的情况，而xelatex+bibtex适用于含参考文献的情况。

现在，在tex文件编辑界面按下Ctrl+S，就会自动开始编译，然后产生一个PDF文件。

优化配置

首先，可以在上面的settings.json外层大括号中加入：

json

    "latex-workshop.view.pdf.viewer": "tab",
    "latex-workshop.latex.autoBuild.interval":30000,
    "latex-workshop.latex.recipe.default": "lastUsed",
    "editor.wordWrap": "wordWrapColumn",

作用分别为：

编译出的PDF预览显示在另一标签页中
间隔30秒内不重新编译
默认（即Ctrl+S）编译命令使用上一个使用的recipe
启用折行，即某行过长时折成两行显示

读者也可以探索更多的编辑器与插件设置。

自带的PDF预览功能也过于孱弱，可以使用 vscode-pdf 插件预览PDF，与Firefox浏览器的PDF预览有基本一致的体验。可以忽视插件的不支持警告，直接把PDF分屏预览，四舍五入就是Overleaf。

试试Typst吧！可能是语法更简单、更自然的LaTeX，同时也在不断完善中，未来可期。

Markdown 编辑器横评（下篇）

Thu, 14 Jul 2022 00:00:00 +0000

我在横评的上篇中，对将近20款编辑器进行了一个初步的探索，然而这种 “快速过一遍，凭主观印象” 的方式不甚准确，故制定一些标准，来对它们进行一个更客观（但也免不了主观因素）的评价。

此部分横评覆盖了上篇中的所有Markdown编辑器——除了Microsoft Word这个来捣乱的。由于时间原因，测试项难免覆盖不完整，如果还有想了解的，可以在评论区留言，不过系统环境变化可能较大，不能保证结果完全可比较。

部分测试项在以下仓库开源：

cyp0633/markdown-benchmark

TLDR

用一个Excel表格直观反映每项得分。没有考虑各项权重分配，并不能简单加和来得到最终结果。

基本信息

界面设计

首先映入眼帘的就是软件的界面，一个高颜值的界面能够带来愉悦感，而设计得当的交互能够提高使用的效率。当然这方面也和个人的感觉有很大的关系。

大部分编辑器都采用了较为简约的设计，以白色为主色调，在这方面Typora是当之无愧的标杆，主界面没有过于繁杂的元素，操作均收入顶栏，操作的分类安排也较为合理，能够很快找到想要的部分。但是也有很多编辑器简洁过了头，如Obsidian将很多常用操作都收进了右上角的菜单中，并没有很好的分类。WordMark将选项全都收进了按钮和Alt键菜单，这在macOS下可能无可厚非，但在Windows下十分别扭。VNote和Arya的编辑器界面有一定相似性，但VNote的界面看起来就更杂乱。Joplin的界面相对来说不算简洁，但很高效。

批判一番Zettlr，按钮布置十分杂乱，学习成本极高；配色奇怪而压抑，没有设计感。不过QOwnNotes才是重量级，乱得实在用不下去。

开源

软件开源，就意味着可以审查它的源代码来确保没有危险，对其作出自己的修改以符合自己的需求，或是为这个软件的开发完善贡献自己的力量。

闭源软件有Typora、Obsidian、马克飞象和WordMark，而VS Code和IntelliJ IDEA只有核心部分开源。

费用

大部分是免费的，收费的有整个收费和部分功能收费两种。目前整个收费的只有Typora，而StackEdit、IntelliJ、Obsidian和马克飞象有部分功能收费。StackEdit提供了Docker自托管的选项，同步云服务有一定困难，但导出PDF是免费功能。

Joplin是一朵奇葩，它的同步服务器也是开源并开放自建的。

值得注意的是，IntelliJ单作为一个Markdown编辑器的话，是免费的；而如果想获得基础Java支持之外的功能，则需要收费。

持续更新

持续更新的能力能在一定程度上代表适配系统新特性的能力。比如Linux下，新版本Electron才对Wayland有基本的支持，考虑到Markdown编辑器大量采用Electron，这个特点也很重要。当然，很久不更新不代表表现就会差，一直会更新也不代表表现会好。

Haroopad和WordMark的最后更新时间停在了数年前，而StackEdit和Notable也已经有一年没更新了。其余的在今年都有更新的记录。

跨平台与云同步

桌面端跨平台

这里的桌面端跨平台，涵盖的是Linux、Windows和macOS。有几款竟然神奇地支持了FreeBSD，但鉴于用户实在太少，不强求。

有Electron或者Qt加持的应用基本都能够正常支持跨平台，而网页端应用更不必说，凡是有浏览器的地方，就能跑起来。鉴于Windows版本一般没啥兼容性问题，笔者主要装了Linux版本试试。Notable的Linux版本有时候跑不起来，而Wordmark的Linux版遇到了经典依赖问题——装不上（当时使用的是Ubuntu 22.04）。

另外还有一个异端Marker，仅支持Linux和FreeBSD。由于笔者没有Mac，此处也没有纳入许多Mac独占的优秀编辑器。

移动端跨平台

这部分网页端应用大获全胜，毕竟Electron又不支持移动端。除了网页端的几个应用之外，就只有VS Code、Joplin和Obsidian做了移动端支持。Obsidian和Joplin在移动端是原生应用，而VS Code用了另一种方案：直接把应用搬上了网页（vscode.dev，或GitHub Codespaces)。

这三款支持移动端的App一致性都做得很好。

云存储接入

少数编辑器有自己的云存储空间，并作为增值服务售卖，如Obsidian；其他的编辑器（如StackEdit）则会依赖第三方的云存储，如OneDrive和Google Drive等。

LetsMarkdown似乎使用了一种不同的方案。出于协作需求，它会将用户的文档默认保存至服务器。

WordMark和StackEdit面向的是blogger，也就接入了WordPress、Medium和GitHub平台发表文章，就算它是个同步吧。

Obsidian、VS Code和IntelliJ还提供了Git插件，但鉴于不是自带Git客户端，此处不算作接入云存储。

QOwnNotes接入了Nextcloud和ownCloud等云存储服务，对自托管的服务支持较好。

Joplin支持官方云、自建同步服务、OneDrive等同步服务。

编辑体验

指示功能

在主界面上常驻一些字数统计之类的功能是有必要的，而太多了则会适得其反。

测试中，WordMark的字数统计完全无法正常使用，其目录也因为无法正确识别标题而难以使用。

有目录的有Typora、Obsidian、MarkText、Notable、Typedown。

有字数统计的有VS Code、Typora、Obsidian、StackEdit、MarkText、Zettlr、Haroopad、QOwnNotes、Typedown。

图片管理

Markdown是纯文本格式，无法内嵌图片，所以需要额外的图片解决方案。有的会将图片存放在某个目录下，而有的支持上传至第三方云平台。

存放于工作区内的有Obsidian、Typora、MarkText、Zettlr、IntelliJ、VNote、Notable、QOwnNotes、Joplin，一般都是粘贴时自动保存到工作区的特定文件夹中。

能够上传到云端平台的有WordMark、Typora、MarkText。

剩余的仅能插入外链。

导出体验

一般来说都是导出PDF，所以此处重点体验PDF导出的质量，对其他格式只作数量要求，反正一般也是Pandoc实现。

Notable和Marker不知道咋回事导不出，就算了。

PDF可自定义度

一些软件可以自定义PDF导出的格式，从单纯的页面设置、页面主题，到可自定义CSS。

支持多种内置主题的有StackEdit、MarkText、Typora，其中Typora一个非常强大的功能是可以使用CSS完全自定义主题。

支持设置一些页面参数的有Obsidian和MarkText。

PDF渲染质量

对于这一项，一般来说渲染没问题的都会得10分。值得注意的是，一些软件导出的PDF与预览有所不同，比如Zettlr导出后能够支持预览并不支持的规范。

Obsidian对数学公式的渲染匪夷所思，虽然支持TeX公式，但渲染出来字体竟然是黑体。

Dilinger虽有导出功能，但大量字符缺失，中文字符更完全无法显示。

VS Code和IntelliJ在无插件的情况下不支持导出。

QOwnNotes的情况有点奇怪，它会将Markdown符号一起导出，而非纯净的预览。这方面见仁见智，不过我给扣了分。

还有的PDF导出后竟然比软件内预览的兼容性更强…… 很怪。

其他格式数量

其实没啥好说的，能调用Pandoc的就有优势呗。

CommonMark语法

CommonMark 标准是对原版Markdown规定的细化，内含基础的Markdown语法，更适合作为一个基本的Markdown要求。

此部分的得分是能正常通过的测试项数量。通过数量多的一定代表好，但通过数量少的也不一定难用，因为其中也包含一些平常不会触及的corner case，而CommonMark也只是其中一个标准，并无强制性。

基本

此部分包含 “字符与行”、“制表符”、“转义字符”、“实体和数字字符” 这些方面。

WordMark最惨，即使是Electron，稍复杂的格式基本无法正常渲染。

叶块

此部分包含”ATX标题”、“设置文本标题”、“缩进代码块”、“围栏代码块”、“HTML块”、“链接引用”、“段落” 等方面。

这里大部分编辑器没有得分的地方是paragraph部分。CommonMark要求两行之间间隔一行才能算作换行，而大部分编辑器并没有严格遵守，渲染出了5行（本应该是2行）。大部分情况下其实也可以不算一个问题。

“设置文本标题” 部分出的问题也千奇百怪，有的只能识别一行标题，有的甚至识别不出标题。

Joplin避过了所有的坑，成为惟一一个全部通过的编辑器。

容器块

此部分包含 “块引用”、“列表项” 两个方面。

有的编辑器如马克飞象和Marker等，会直接将自定义序号替换成从1开始编号。

内联

此部分包含 “代码块”、“强调和特别强调”、“链接”、“自动链接” 和“图片”几个方面。“代码块”部分特增加了几个非传统热门语言。

此处着重说一下代码块。C的高亮应该是只要支持语法高亮就会包含的，而新兴的如Rust，以及没那么热门的Verilog / 汇编则支持较少。Typora是唯一一个能支持汇编（assembly）渲染的编辑器，而大部分出现0.5分的编辑器都是因为语法高亮支持不全。

GFM语法

GitHub也是使用Markdown语法较多的平台，它在一定程度上扩展了原版Markdown的语法，形成了 GitHub Flavored Markdown 标准，也有一定的影响力。

表格

绝大部分编辑器都不能正常渲染 \| 的转义符号，虽然不会将其识别为表格分隔符，但显示仍然是 \| 而不是期望的 |。

待办列表

Marker成为了参测编辑器中唯一一个不支持待办语法的编辑器。

自动标题

GFM的自动标题相比于CommonMark添加了对没有任何外加标记的链接的直接识别。很少有编辑器能够将邮箱地址自动识别为mailto链接，大部分都较为保守，毕竟也有一定的误识别可能性。

图表

GFM定义了Mermaid、Geojson、Topjson和STL模型四种图表格式。都是基于代码块定义的。尴尬的是，哪怕表现最好的编辑器也只支持Mermaid，而后三种只有GitHub网页能正常显示。

后续可能会增加PlantUML等其他图表的测试？等有空再说吧。

数学公式

GFM定义了使用两个 $ 符号的公式块、使用一个 $ 符号的内联公式，以及使用代码块格式的公式定义。此外还借用了这篇文章中GitHub数学公式的一些bug。

性能

渲染较大规模文档的能力也是很重要的一个方面。这里使用从Project Gutenberg下载的《战争与和平》英文版（56.5万词，3MB），并转换为Markdown文件用于测试。对于能在Linux安装的编辑器，测试环境是Ubuntu 22.10开发分支，AMD Ryzen 7 4800H，24G内存，GeForce GTX 1650+NVIDIA闭源驱动。如果不能安装，使用Windows 11 22621.160。对于网页版编辑器，这里忽略平台不同的影响，均选择Firefox最新版本，使用浏览器任务管理器查看内存占用。

StackEdit最大支持打开约250KB的文档，剩余部分被截断，无法完成测试。Typora不支持打开此大小的文件。Zettlr查看时经常卡死无响应。Arya粘贴后直接卡死。Marker完全无响应。

打开时间

打开软件，从软件中的打开方式打开文档开始计时，到加载出正确渲染的文档内容。

VS Code的代码加载很快，几乎马上就能加载出来，但预览很慢。类似的情况也在类Typora的所见即所得的编辑器中出现，如果需要将整个文档渲染一遍，就会花很长时间。

内存占用

需要注意，网页端和原生应用的内存占用不能直接比较。网页本身的内存占用通常很小，许多浏览器本身动辄占用几百兆内存，而大部分Electron应用相当于再开了一个浏览器。

流畅度

将流畅度从0-10打分，很流畅则得10分，完全无法正常浏览则得0分。

v2ex网友说MarkText有性能问题似乎是真的，不过能打开也比Typora强了。

VS Code不知道吃了什么微软神油，编辑和浏览都巨流畅。

另记

Typora的数学公式渲染需要手动开启。

VS Code缺失的部分基本可以使用插件开启，如导出文档、Mermaid图表等。

哦忘了说了，Electron是真不太行。

Markdown 编辑器横评（上篇）

Sat, 11 Jun 2022 00:00:00 +0000

之前曾读到一位友人写的私有部署知识库系统横评文章，感觉十分的有帮助，认识到除难部署的Outline之外全都不符合自己需求，遂直接把自己的文字笔记全切到了Notion（大雾）。但是Notion本身是一个知识库系统，并不能很好支持Markdown格式，也不够轻量化，对于写一份简单文档的需求，单纯的Markdown编辑器无疑是更好的选择。**如果你找Markdown编辑器是为了记笔记，那么我更建议你读读上面链接中的文章，知识库的方案会更加有优势。**PS：现在我的笔记已经全都在思源上面了。

但很显然我不只有记笔记的需求，所以挑选了几款Markdown编辑器做一个横评。Markdown编辑器没有one size fit all，每款编辑器有自己的哲学，有的追求多而全的功能，有的追求极致的性能，有的坚守 KISS 原则，有的开发了插件系统，还有的只是顺便做个Markdown编辑功能。为了挑选一款适合自己的编辑器，我还是建议读者通读上下篇。你现在看到的是上篇，包含了我对每一款编辑器的主观大概评价，但无法表现哪个方面谁做得更好；而下篇注重量化对比，但对于一些特色功能，无法体现在表格中。

在这里特别感谢每一位开发者，特别是开源软件贡献者，没有他们，就没有编辑器百花齐放的今天。

测试环境

凡是有Linux版的，都会采用Linux版进行测试，使用Wayland显示协议。一般来说这种条件下适配是最不充分的，能暴露一些缺点。
Windows或macOS独占的，当然只能用独占的了。由于不在同一台机器上测试，性能表现难免不同。但是即使硬件性能再强，有的编辑器也一塌糊涂。

Typora

Typora 是一款使用Electron开发的Markdown编辑器。可惜Beta结束后收费了，还有点贵，但它还是给我留下了非常好的印象。可以说是Markdown编辑器的标杆之作。

优点：

跨平台（Windows、Linux、macOS）
所见即所得（即所谓WYSIWYG，默认打开效果实时预览）
界面简洁干净，使用体验舒适
支持使用CSS自定义模板，还有大量现成第三方模板
大量的自定义语法选项‘
强大的图片管理选项

缺点：

闭源
收费（国内价格89元）

Obsidian

据 Obsidian 官方的定义，它其实也算是个知识库软件，但也遵守Markdown语法，还有知识图谱功能。如果你既要记笔记还要写文档，可以选择Obsidian。它也是使用Electron开发的。

优点：

跨平台（Windows、Linux、macOS、Android、iOS/iPadOS）
知识图谱功能，根据反向链接探寻知识点之间的关系
有很多插件，如看板、Git（需要Git客户端，自然不支持移动端）
可选的所见即所得模式
官方同步服务，$8 / 月
Windows版自带优雅大方的苹方字体

缺点：

闭源
菜单有点乱

StackEdit

benweet/stackedit

StackEdit 是一个开源的网页端编辑器，我觉得最大的亮点应该是自带网盘工作区同步，所以移动端也可以。可以使用Docker镜像自行搭建，或者使用作者搭建的公用版本。编辑模式预览不太完全，但有一个带完整格式渲染的预览模式。目前我主要在用这款。

优点：

网络同步（Google Drive、GitHub、Gitlab、Dropbox）
自带Cheatsheet和顶部快捷格式栏
多种模板支持，但只有导出时可以用
多个工作区可以分别管理同步策略或导出
非常多的导出格式策略可选
UML图和音符支持
Service Worker支持的离线编辑

缺点：

Docker版不能保存到服务器目录
Docker镜像太大了
公用版需要订阅制捐赠才能导出文件（考虑到开源，算半个缺点；Docker版可以直接导出）
Google Drive要频繁重新认证

Zettlr

Zettlr/Zettlr

Zettlr又是一个使用Electron开发的编辑器。太丑了，没细用。不过这个Hashtag特性似乎挺有意思，不失为管理知识的另一种方案。

优点：

跨平台（Windows、Linux、macOS）
良好的外部文献管理支持（如Zotero）
非常多的导出格式可选（依赖于Pandoc）

缺点：

丑！！！！完全打消了我用的欲望
没有预览模式，不能做到完全的所见即所得
工作区加载慢

Dillinger

joemccann/dillinger

Dillinger 是一个开源的网页Markdown编辑器。看起来挺好的，但它有几个致命伤，拳拳到肉，所以我没用它，光是好看还是不能当饭吃啊。

优点：

界面美观
语法高亮和分栏实时预览
云同步（Dropbox、OneDrive、GitHub……）

缺点：

不支持TeX公式渲染
PDF导出无法正确渲染中文
不支持内联HTML符号

MarkText

marktext/marktext

MarkText（域名都过期了）是一个使用Electron开发的开源编辑器，很多部分都与Typora相近。我在其开发早期就用过，但bug实在是太多了，于是马上就卸了。最近发现已经改善了不少，或许有希望成为Typora的开源平替。

优点：

跨平台（Windows、Linux、macOS）
Typora一样的所见即所得
Typora一样优雅的外观
多种主题，但暂时不支持第三方导入
多种图表支持（Mermaid、UML等）
丰富的PDF导出格式选择
Typora相似的强大图片管理

缺点：

HTML语法和Markdown格式不能混写（带HTML的必须转化为内联HTML块）
还是有少量bug，但不影响正常使用
据说有性能问题（见 V2EX）

Notable

notable/notable

Notable 正如名字所示，它设计上仍然是一款笔记管理软件。

优点：

界面简洁美观
内置Emoji面板和语法Cheatsheet
使用Tag管理笔记
将笔记通过网页分享

缺点：

自2020年1月，长期未更新
不能单独打开Markdown文档，必须以笔记本形式组织
闭源（1.5.1后）

VNote

vnotex/vnote

VNote是一款国人开发的开源笔记管理软件。管理笔记还算方便，但写普通文档的时候只比Obsidian方便一点。体验不算很优秀，但不用Electron很难得。

优点：

跨平台（Windows、Linux、macOS）
使用Qt开发，不是Electron！！！
PDF导出体验较好

缺点：

Linux可能需要使用 --no-sandbox 选项才能显示预览（见此链接）
界面美观度一般
预览同步滚动卡顿

Arya

nicejade/markdown-online-editor

Arya 是一个轻量级的网页端Markdown编辑器。之所以说它轻量，是因为它连工作区的概念都没有，同时只能编辑一个文件。

值得一提的是，它是基于 Vditor 的，而Vditor与思源笔记有着千丝万缕的联系。

优点：

十分简洁
支持的输入丰富，TeX和Mermaid图表等都有
桌面、Pad和手机端视图预览
比Typora稍弱的所见即所得
可以上传图片和录音
开发者视图，DOM分层

缺点：

同时只能编辑一个文件（不过有本地暂存）
滚动预览有点不太同步
不支持内联HTML

LetsMarkdown

Cveinnt/LetsMarkdown.com

LetsMarkdown是以协作为主要特点的在线Markdown编辑器。它有着类似VS Code的主界面，以及一些自动补全功能，主界面只有源代码区、预览区和分享链接。是的，除此之外，啥都没有。

优点：

VS Code同款编辑模块，上手难度小，简洁大方
非常简单的协作体验
emoji支持

缺点：

简洁得甚至有些简陋
就连同步滚动也没有（画了个饼，会加）

Haroopad

Haroopad是 “the next document processor”，至于是什么货色，你看一眼上面的图就知道了。不过在我顺着Issue Tracker找到了它的GitHub后（是的，我差点当它闭源了），发现最后一个Issue在四年前，那就解释得通了…… 古早项目，权当怀念。

rhiokim/haroopad

优点：

跨平台（Windows、Linux、macOS）
支持CommonMark、GFM等多种Markdown标准

缺点：

字体渲染一塌糊涂
软件长年不更新
滚动源代码可同步滚动预览，但反之不行
源代码侧没有语法高亮

QOwnNotes

QOwnNotes 是一款使用Qt+C++ 写成的笔记管理软件（是的，又一个非Electron）。

pbek/QOwnNotes

优点：

跨平台（Windows、Linux、macOS，居然还有FreeBSD）
Qt而非Electron，高效低占用
强大的云端同步服务

缺点：

界面非常乱，连对比预览都找不到在哪
编辑Markdown文档必须先导入笔记目录
对HTML标签支持不佳

马克飞象

马克飞象是为印象笔记定制的网页端Markdown编辑器，比较适合印象笔记用户。

优点：

界面简洁
流畅的预览和同步滚动
印象笔记深度集成

缺点：

不支持Markdown文档的导入，只能粘贴
不支持导出
HTML标签有点bug

WordMark

WordMark 是一款为写博客的人而设计的Markdown编辑器，不过作为普通的Markdown编辑器也可以。由于经典的依赖问题，它的Linux版本我死活装不上（不一定是它的原因），闭源也没法自己构建。另外，它似乎和Typora一样在测试期间免费，但照这个更新频率可能永远出不了beta了。

优点：

简洁
能够直接发布文章到WordPress/Medium/GitHub等平台，或者上传图片到托管服务
跨三大桌面平台

缺点：

闭源
长期不更新
中文字体渲染诡异（上图英文是苹方，中文是宋体…… 开发者甚至似乎是个国人）
HTML标签支持差
不支持公式渲染

Marker

fabiocolacio/Marker

Marker 是基于GTK3的Markdown编辑器，得益于此，它有着原生的流畅体验，但支持的平台很少。

优点：

不是Electron
可自定义的CSS样式和语法
支持Mermaid等组件

缺点：

仅支持Linux和FreeBSD
似乎语法支持不太全

Joplin

laurent22/joplin

Joplin是使用Electron开发的开源笔记软件，使用Markdown格式。把它加进来是因为呼声实在是太高了，歪打正着又发现它除了记笔记之外，对Markdown语法的支持也是很不错的。

优点：

广泛的移动端和桌面端设备支持
完善的云端同步方案，还可自行托管同步服务端Joplin Server
语法支持较为完善且标准
界面比较整洁
较好的图片管理

缺点：

必须导入为笔记或笔记本才可编辑

Typedown

Typedown 是一款遵循WinUI规范的Markdown编辑器。logo有点山寨，但对于日常使用来说还是够用的，而且颜值也能令人耳目一新。

优点：

Fluent Design规范，外观优秀
菜单组织合理

缺点：

仅支持Windows 10及以上，不支持其他平台
闭源

Ghostwriter

Ghostwriter 是一款来自KDE的开源Markdown编辑器，基于Qt，但名字不含K。在distraction-free这个方面，它做得确实很好，并且对标准执行得也很严格。

优点：

非Electron
跨三大桌面平台（macOS必须自己编译）
界面简洁而不失易用性
渲染语法非常标准，且能够切换使用多种标准模式
写作时间与效率统计、阅读难度分析
快

缺点：

代码没有语法高亮
默认 cmark-gfm 模式只支持导出HTML
预览与代码不能同时上下翻动
不支持数学公式预览
仍使用了Qt Web Engine渲染预览，占内存稍大

KeenWrite

DaveJarvis/keenwrite

KeenWrite是一款以 “string interpolation"（将某些常用的字符串设为变量，使用时可以直接调用，类似于Kotlin）为特色、基于Java的开源Markdown编辑器。如你所见，由于某些不知名的bug，右边并没有显示出预览。

优点：

非Electron
创新性的将string interpolation引入Markdown编辑器
跨三大桌面平台

缺点：

占内存巨大，又卡又慢（Java嘛…… 打开 perf.md 完全无响应，还吃掉了1G内存）
存在无法显示预览的bug（可能是暂时性 / 个例；影响了所有依赖于预览的测试项目）

Notepads

0x7c13/Notepads

Notepads 是一款Windows下的文本编辑器，支持Markdown渲染。外观还可以，但基本只适合轻度的编辑。

优点：

好看
非Electron
占用小，非常快

缺点：

仅支持Windows 10及以上，不支持其他平台
语法特性支持较差，且无数学公式渲染
1MB文件限制
不支持导出为其他文档

妙言

tw93/MiaoYan

妙言是一款macOS平台的Markdown编辑器。很轻盈，很好看，唯独可惜不支持其他平台。

优点：

简洁优美，很符合对macOS的印象
Swift原生开发
放映模式，将Markdown文档变成演示文稿
较好地符合CommonMark标准，预览、导出始终如一
罕见地支持Mermaid、PlantUML等图表
支持PicGo等图床上传，默认也会将图片保存到本地

缺点：

不跨平台
似乎不支持分栏显示预览和编辑（似乎是作者有意的），也没有所见即所得（暂时）

Yank Note

purocean/yn

Yank Note 是一款扩展性极强的 “面向程序员的”Markdown笔记应用。嗯，确实很程序员（褒义 + 贬义）。

优点：

强大的插件体系，Mermaid、Draw.io、ECharts、Git、Milkdown甚至Code Runner运行代码
信息多而全
完善的图片处理逻辑，本地保存 + PicGo
宏替换（付费功能）
提供少见的在线demo

缺点：

配色有点死板，不够灵动
拖动预览，代码却不能一块儿拖动

MarkEdit

MarkEdit-app/MarkEdit

MarkEdit是一款在贯彻自己哲学的Markdown编辑器，从里到外地简洁（也简陋）。

优点：

轻快，非常小
性能强，完全不卡，占用最小（甚至比网页端的几个还小）
界面没有什么多余的元素
内置Grammarly
Swift原生开发，支持触控板重按手势等macOS特性

缺点：

不跨平台（仅macOS）
没有预览也没有所见即所得，只有代码高亮和一定的格式（有意而为之，但这造成了数学公式和图片预览等一些方面吃了亏）
没有直接的导出、图片管理等功能（也是有意而为之，只能手动复制Pandoc命令导出）

Visual Studio Code

microsoft/vscode

提到编辑文件，可能永远都绕不开VS Code，它也是我们的老朋友了。仅仅是编辑Markdown的话，不装任何插件的VS Code就能基本胜任，但不要忘了它有一个巨大的插件市场，大部分不满意的方面都能通过插件搞定。虽然效果可能只能说差强人意，但总比没有强。

优点：

（也许）早就是装机必备软件了，上手成本低
跨平台（Windows、Linux、macOS，也可以使用 code-server、vscode.dev 等方法在网页端使用）
界面比较美观
带语法高亮和实时预览
深度融合代码工作区，适合用来写readme
什么都找得到的插件市场，包括神奇的GitHub Copilot自动补全
虽然是Electron，但性能非常好

缺点：

导出PDF需要装插件，体验欠佳

IntelliJ IDEA

JetBrains/intellij-community

写Java的读者应该对IDEA很熟悉了。用它写起Markdown也是很舒服的，代码块内还能自动补全，就像直接编译源代码一样。这里直接用GoLand了，毕竟JetBrains家IDE基本都是一个样。但是这个玩意似乎完全不支持PDF导出，或许JB加入这个功能的本意就只是写个readme吧。

优点：

跨平台（Windows、Linux、macOS）
与IDE工作区深度融合
不是Electron或Web端
语法高亮和实时预览
代码块内的自动补全和快捷运行
图表支持

缺点：

不能导出PDF
打开一个项目才能写
不支持TeX公式

Microsoft Word

混乱邪恶势力来了，吔屎啦，Markdown！！！Pandoc支持将Word文档转换为Markdown格式，而Word也有完善的PDF导出功能。鉴于Word本身的优秀体验，我觉得倒也不是完全不可行。

优点：

操作逻辑简单，基本都能使用GUI完成，符合大部分人习惯
界面美观
OneDrive同步深度融合，体验极佳
不是Electron
功能强大

缺点：

（桌面版）仅不支持Linux
闭源，价格昂贵
与Markdown特性不能完美兼容（也可以说完全不能兼容）
极差的代码输入体验

Xcode

算Word不算Xcode的话，有点不合适了吧。当然，这玩意摆在这儿还是为了整活。

优点：

性能挺强的，战争与和平滑动完全不卡
CommonMark支持还算不错

缺点：

不跨平台
闭源
除CommonMark之外支持稀烂

待测：Vrite

用 VMware Workstation 安装 Ubuntu 12.04 LTS 简明教程

Sat, 22 Jan 2022 00:00:00 +0000

这篇文章主要是课程取向的，所以才会使用一个已经超出生命周期的32位Ubuntu版本。在对自己的水平有些许信心后，更建议安装仍提供32位版本的Debian最新版，即Debian 11。新的系统有更好的软件支持，更安全，也更加易用。

选择VMware Workstation主要是个人认为因为它的操作对小白较友好。本文以VMware Workstation Pro 16.2.2和Windows 11为例，最近几个VMware版本和Windows 10操作基本相同。

折叠框中的内容，是我认为可以帮助理解的补充知识，但不看这部分不影响你按照步骤装好一个虚拟机。如果还有疑问，欢迎评论。

什么是虚拟机？

如果你读过《三体III：死神永生》，你大概记得其中出现了一个小型的宇宙，物质来源于最初的大宇宙，当中有智子等人，与大宇宙隔离，独立生活。有一天，探测到由于小型宇宙带走了太多的物质，导致大宇宙的物质不够，需要将小型宇宙的物质移回大宇宙才能让宇宙继续存在（记得可能不准确，欢迎指正）。

虚拟机是同样的道理，它划走物理机的一部分硬件而创造出一个以假乱真而又几乎完全隔离小型的物理机形态，你可以在上面跟物理机一样安装操作系统，研究程序原理，打游戏，做你想做的事情。虚拟机就相当于小型宇宙，而物理机相当于大宇宙，当虚拟机占用太大的时候，物理机也是会带不动的。
对于CPU、内存和显卡，VMware Workstation Pro的虚拟化技术是将虚拟机占用作为一个进程；对于网络，是在物理机上安装虚拟网卡，模拟虚拟机连接到物理机网络上；而对于硬盘，使用文件模拟，这使得虚拟机可以拷贝、移动，当成一些文件来对待。

什么是Ubuntu？

Linux（严谨点，GNU/Linux）是Linus Torvalds由Unix得到灵感，编写的开源自由的系统，它属于 “类Unix”。我们熟悉的macOS就是Unix的一个分支，Debian Foundation基于Linux开发了Debian，而Canonical基于Debian开发了Ubuntu。
Debian、Ubuntu和其他一些系统如Arch Linux、Alpine、Kali Linux等统称为Linux的发行版，意为包装好供用户使用的Linux版本。如果你对Unix系统的历史知识有些兴趣，可以看一下下面这张图。

Unix系统演化图。版权信息：Eraserhead1, Infinity0, Sav_vas, CC BY-SA 3.0 https://creativecommons.org/licenses/by-sa/3.0, via Wikimedia Commons

环境准备

首先要从 Canonical 网站下载Ubuntu 12.04 LTS的镜像。在下面的列表中找到ubuntu-12.04.5-desktop-i386.iso，然后点击此链接即可下载。”创建虚拟机“之前能够下载完成就行了。

然后从 VMware 网站找到Workstation 16 Pro for Windows并点击Download Now。

VMware Workstation安装包下载之后，打开安装包，同意许可协议。

安装位置可以任选，“增强型键盘驱动程序”和 “添加到PATH” 也可以任选，我印象里VMware的命令行程序用得不多，所以不需要加到PATH中。

“启动时检查更新”和 “加入用户体验计划” 按需选择。

创建两个快捷方式按需选择。

最后，点击安装即可安装。

第一次打开VMware的时候应该会提示激活。激活码请自行搜索寻找，如财力雄厚建议入正。

创建虚拟机

VMware Workstation左上角文件 - 新建虚拟机。

类型选择典型。

” 安装客户机操作系统 “时，选择”稍后安装操作系统“-”Linux“-”Ubuntu“。如果你让VMware帮你安装，后续调整中文的操作可能有困难。

”虚拟机名称”和 “路径” 可以自行决定，但个人建议本路径下保证50GB左右空闲。我们需要划出大量空间作为虚拟机的硬盘，虽然不会立即全部占满，但最好还是留有空余。

“最大磁盘大小 “我填写了45GB，读者也可以按需填写。这个值后期可以扩大，但需要使用分区工具同步扩大系统分区，有一定的学习成本，所以建议一开始就做得大一点。是否拆分多个文件，也是按需选择。

下一步后，点击”自定义硬件 “。” 内存 “设定最大4GB即可，因大部分人电脑都是16GB RAM，不缺这4G；” 处理器 “中” 每个处理器的内核数量 “建议设定为你的处理器线程数量，这个可以在任务管理器 - 性能 - CPU的” 逻辑处理器 “查看。” 新CD/DVD（SATA）“选择”使用ISO映像文件“，浏览你的Ubuntu ISO镜像（就是之前下载的ubuntu-12.04.5-xxxxxxx.iso）并选择它，然后勾选“启动时连接”。

为什么是4GB？

因为32位计算机最大寻址范围就是4GB，即 $2^{32}Bytes=4294967296Bytes=4GBytes$。更大的内存空间在正常情况下无法被32位系统利用，加了也相当于没加。
实际上还有硬件所需的一部分寻址空间，导致可用内存低于4GB。但一般情况下，设置的上限直接当成4GB就行了。

点击关闭 - 完成，虚拟机就创建好了。

安装操作系统

我们现在创建的虚拟机是完全空白的，里面什么都没有，而我们需要的正是把Ubuntu 12.04 LTS装进去。

直接点左上方的开机。因为硬盘中没有东西可以启动，而我们又连接了ISO文件作为光盘（可以直接想象成一个光盘刻有Ubuntu镜像，放入虚拟机的光驱中。什么，你不会不知道光盘是啥吧？），就可以从光盘启动，具体原理应该后面会讲。

在第一个页面，先在左边选择中文简体，再选择” 安装Ubuntu“。

“安装中下载更新” 可选可不选，反正软件源已经停止服务了（见下文）。“安装这个第三方软件” 建议选择。

选择 “清除整个磁盘并安装Ubuntu”，继续。不用害怕，清除的只是虚拟机的硬盘，不会对你的其他文件造成任何影响。然后直接点击 “现在安装”。

在安装的过程中，会有一些设置需要你完成。”你在什么地方 “对话框，你可以填入你的城市名，也可以直接选Shanghai，没有区别。” 键盘布局“直接下一步，反正不自带中文输入法，跳过。

“您是谁” 中，填入姓名（可以随便填）、计算机名（会展示在终端中，不重要）、用户名（默认用户）和密码。密码一定要记住。 是否自动登录看你心情，但个人倾向于不加密主目录。

Linux的用户管理机制

Linux系统中，有一个root账户，拥有系统最高权限，类似于Windows的Administrator超级管理员账户。其他的用户没有root用户这样的权限，但在将他们加入sudoer列表之后，他们能够使用sudo命令暂时获得root用户的权限，执行一部分命令。这些用户也可以使用su命令切换到root用户。
Ubuntu默认不开放root账户登录，官方更推荐在每个需要的命令前加上sudo。
也或许你听说过Android系统获取root权限的说法，
参见维基百科

点击继续，Ubuntu会继续安装系统。当提示”安装完毕 “时，点击下方VMware的提示框中的” 我已完成安装 “，然后点击” 现在重启“。

确认右下角光盘图标旁没有绿点，然后按下回车。如果重启后提示 “remove installation media and press enter” 等文字，右键右下角光盘图标，点击断开，然后在虚拟机中回车。

请注意：如果你的鼠标在虚拟机窗口内，但却是Windows小手样式，说明你的输入没有被发送到虚拟机中。只有在窗口中点一下之后，你按Enter才会被Ubuntu捕捉到。可以使用Ctrl+Alt来切换输入发送到虚拟机中或是物理机中。

之后系统就会开始自动登录。输入密码登录后大概是这个样子。

根据 Ubuntu 的发布周期，显然这个版本是已经不受支持的。但如果你想和老师的步调尽量保持一致，同时对自己解决不同版本之间问题的能力完全没有信心，不要升级14.04。

安装软件

到现在，系统已经装好了，但我强烈建议做一下以下的操作。

以下要输入的内容较多，由于虚拟机和物理机默认不共享剪贴板，建议先在虚拟机内部的Firefox中打开本网页，然后复制所需的部分。

安装VMware Tools

这个东西可以显著增强虚拟机的流畅度。在比较旧的Ubuntu中，我们需要手动安装。

如果VMware提示安装Tools，点击安装。如果没有弹出，也可以使用顶部” 虚拟机 - 安装VMware Tools“选项来启动这个过程。

正常情况下应该会弹出一个文件管理器窗口，没有的话也可以点击左边Dock栏的的DVD图标打开。复制里面的tar.gz文件，点击窗口左侧的 “主文件夹”，在这里粘贴。

Linux的文件系统

Linux与Windows不同，并不靠盘符区分硬盘分区，而是将所有东西放到一个主目录中。默认只有系统所在的分区会包含在其中，其他分区依靠一种称为 “挂载”（mounting）的机制。
在这之前需要说明，在Linux中遵循 “万物皆文件” 的原则，其他的分区、传感器接收的数据、键盘输入，甚至随机熵等都是以文件形式表示的，这个我也不太理解，知道就行。
所谓挂载，就是将主目录中的一个路径指定为访问另一个分区的根目录。如果你是Windows用户，可以想象一下电脑只留一个C盘，D盘本来是不会显示的，但你指定了一个目录如C:\DiskD\ 来指向原来的D:\，对D盘的读写则必须通过上面的路径来达到。
值得一提的是，现在已经有自动挂载机制了，所以其他分区和U盘之类的设备都会自动挂载到系统上，大部分时候不需要自行配置。
一个路径以 / 开头，指的是绝对路径，从根目录开始算起；若没有 /，或是./，则是相对路径，从当前目录开始算起。
root用户的用户目录是 / root/，而其他用户的目录是 / usr / 用户名 /。上文的 “主文件夹” 就是 / usr / 用户名 / home/。因为虚拟光驱中的文件无法写入，所以需要使用这种方式。

在桌面按下Ctrl+Alt+T打开终端，依次（指上一个命令执行完毕后，再输下一个）输入以下命令（井号开头的部分都是注释，无需输入；文件名可能有差异，请留意）：

bash

1
2
3

tar -zxvf VMwareTools-10.3.23-16594550.tar.gz # 解压 VMware Tools 工具
cd vmware-tools-distrib/ # 进入解压后的文件夹
sudo ./vmware-install.pl # 调用 root 权限（sudo）执行安装脚本。在 Linux 中，可执行文件的扩展名并没有严格限制

Shell和Terminal

详见 https://blog.csdn.net/weixin_38214171/article/details/90050340

然后输入你的用户密码（字符不可见），回车，就可以开始安装了。遇到任何提示都可以直接回车，保持默认选项不变。

更换软件源并升级软件包

为了安装软件和安全更新，需要换源。

APT和软件源

有一种程序叫做 “包管理器”。顾名思义，这类程序的作用就是管理软件。在Windows上有winget，在macOS上有Homebrew，而对于Debian和基于此的Ubuntu，默认的包管理器是apt。
apt在更新列表（update）、升级应用（upgrade）、安装应用（install）的时候，会访问软件源，并从其中获取相应的资源。软件源的列表存储于 / etc/apt/sources.list。
上面已经说过，Ubuntu 12.04已经不受支持，所以官方默认软件源已经不再提供服务，但Ubuntu有old-releases软件源（参见官方文档）。
在新版本中，也推荐进行换源操作，以加速访问，比较著名的有清华源、中科大源（请勿使用Ubuntu 12.04的清华源，可能有些问题）。

输入以下命令。

bash

1
2

sudo cp /etc/apt/sources.list /etc/apt/sources.list.bak # 备份原软件源列表
sudo gedit /etc/apt/sources.list

在弹出的窗口中，将文件内容全部删除，替换为：

text

deb http://old-releases.ubuntu.com/ubuntu/ precise main restricted universe multiverse
deb http://old-releases.ubuntu.com/ubuntu/ precise-security main restricted universe multiverse
deb http://old-releases.ubuntu.com/ubuntu/ precise-updates main restricted universe multiverse
deb http://old-releases.ubuntu.com/ubuntu/ precise-proposed main restricted universe multiverse
deb http://old-releases.ubuntu.com/ubuntu/ precise-backports main restricted universe multiverse
deb-src http://old-releases.ubuntu.com/ubuntu/ precise main restricted universe multiverse
deb-src http://old-releases.ubuntu.com/ubuntu/ precise-security main restricted universe multiverse
deb-src http://old-releases.ubuntu.com/ubuntu/ precise-updates main restricted universe multiverse
deb-src http://old-releases.ubuntu.com/ubuntu/ precise-proposed main restricted universe multiverse
deb-src http://old-releases.ubuntu.com/ubuntu/ precise-backports main restricted universe multiverse

这是 Ubuntu 12.04的 软件源archive。完成后，使用Ctrl+S保存，然后关闭。对于不同的Ubuntu版本，请使用不同的软件源；一个比较简单的判断方法是查看版本代号，如12.04是Precise，14.04是Trusty，20.04是Focal，22.04是Jammy，如果不含你的版本对应代号，一定不能直接使用。

虽然这是一个停止支持的Ubuntu版本，但还是建议将软件包更新到最新版本。

为加速访问，如果已有HTTP代理服务器，可以先参照这里设置代理，具体请自行研究。

在终端中依次输入

bash

1
2

sudo apt-get update
sudo apt-get upgrade

如果第一步报错，请检查sources.list是否输入正确。如果提示 “您希望继续执行吗”，输入y并回车。如果提示” 有几个包无法下载“，则重新执行上述第一条命令。

安装中文输入法

如你所见我们的Ubuntu是打不了中文的。而桌面等文件夹默认就是用中文命名的，现在连个桌面都cd不进去，所以当然要安装中文输入法。

在终端执行以下命令以安装fcitx：

bash

`1`	`sudo apt-get install "fcitx"`

然后点击顶部状态栏右边的键盘图标，选择” 汉语 - Pinyin“，就可以切换中文输入法了。可以发现，右上角的键盘已经变成了 “拼”。

还是没搞懂？这里有成品

如果你实在是不会安装，可以使用我按照上面步骤预先安装好的虚拟机文件，在VMware Workstation Pro 16.2.2上实测可用，链接如下，用户名和密码均为cyp0633。但我仍然建议先尝试自行安装，这对你的学习也有益，也给我服务器省点流量。

https://drive.cyp0633.icu/s/d4H0

虚拟机本体使用分卷压缩，包含3个文件共2.01GB，请全部下载解压，打开其中的vmx文件即可使用，强烈建议使用SHA-256做checksum。

附录：一些建议 / 提醒

请尽量适应终端命令行操作为主，GUI界面为辅的方式，在Linux上这样效率非常高。
如果你有任何问题，请Google/Bing。若能翻译成英语再搜索，则能搜索到Stack Overflow等网站的大佬的解答。
Linux的软件包管理机制和文件管理机制，与Windows有非常大不同，而与macOS比较相似。
虚拟机的 “快照” 功能十分有用，它类似于Git的label机制，可以在发现问题时快速回到之前保存过的状态，非常适合试病毒。

参考文献

使用 Maddy+RainLoop 搭建自己的邮箱

Fri, 21 Jan 2022 00:00:00 +0000

一直想用自己的域名搭建一个的邮箱，但传统的Dovecot+Postfix方案十分复杂，封装起来的docker-mailserver虽整洁不少，但仍然存在占用资源很高的问题。

想起Golang效率挺高的，也已经有了不错的生态，于是找到了Maddy，一个使用Golang编写的一体化邮件服务器，占用较少，也免去了各种模块相互配合的。它充当了MTA（中转服务器）和MDA（投递服务器）的角色。

而Rainloop则是一个PHP写成的webmail，可以作为一个类似于Gmail的网页端。

一般的VPS都可以搭建邮件服务器，不过某些服务商会屏蔽必要的25端口，可能需要发工单解决，不过上网搜一下一般就能知道。

本文以Nginx 1.20.2、PHP 8.1.1、Ubuntu 18.04 LTS为例

邮件服务器：Maddy

GitHub

foxcpp/maddy

下载与安装

Maddy 的文档说得其实挺明白的，但如果你不想看英语，也可以跟我走。这里使用预编译的二进制文件来搭建。

首先要从 GitHub Releases 下载最新的二进制文件到服务器中，文件名为maddy-x.x.x-x86_64-linux-musl.tar.zst。

解压zst文件需要zstd依赖（Debian系可直接用apt安装），安装后使用

bash

`1`	`tar --use-compress-program=unzstd -xvf archive.tar.zst`

来指定zstd程序解压这个文件。然后将文件夹内的maddy和maddycli复制到 / usr/local/bin目录下。

除此之外，Maddy无法以root用户运行，所以你还需要新建一个用户：

bash

`1`	`sudo useradd -mrU -s /sbin/nologin -d /var/lib/maddy -c "maddy mail server" maddy`

预编译二进制文件的压缩包内还带有systemd服务，可以直接拷贝到系统文件夹内使用：

bash

1
2

sudo cp ./systemd/*.service /etc/systemd/system
sudo systemctl reload

将压缩包内附带的 maddy.conf 复制到etc目录下，然后用你喜欢的文本编辑器打开。暂时只需要编辑Base variables部分，记得要将上面的内容都换成你对应的。

bash

$(hostname) = mx1.example.org # 外界通过这个域名找到你的邮件服务器。
$(primary_domain) = example.org # 你的邮箱 @后面的域名，比如 test@example.org，而不一定是 test@mx1.example.org
$(local_domains) = $(primary_domain) # @后面可以添加的其他域名，比如 test@one.example.org。你需要在几个域名中选一个主要的，将其填入 primary domain。

tls file /etc/maddy/certs/$(hostname)/fullchain.pem /etc/maddy/certs/$(hostname)/privkey.pem # TLS 证书文件。

对于证书文件，如果你使用Certbot获取hostname的TLS证书，你可以直接进行一个软连接，使得Maddy可以识别，而且要确保其有权限读取：

bash

1
2

ln -s /etc/letsencrypt/live /etc/maddy/certs
sudo setfacl -R -m u:maddy:rX /etc/letsencrypt/{live,archive}

如果由其他方法获取证书，可以将文件拷贝至 / etc/maddy/certs并用相似的命令赋予maddy用户读取权限。

现在我们可以将其启动了：

bash

`1`	`systemctl start maddy`

配置DNS

首先是各个domain的A/AAAA record，即上面提到example.org和one.example.org的指向。这个没必要指向你的邮件服务器IP，也就是说你可以拿这些域名指向其他服务器建个站什么的，但如果没有另外的用处，不设置应该也没什么问题。

然后仍然是上面几个domain，这次是MX record。它由domain指向hostname。举个例子，将example.org的MX记录指向mx1.example.org，意思是任何发送到 @example.org的邮件服务都由mx1.example.org来处理。如果你有多个domain，那么需要逐个设置。

之后设置hostname即邮件服务器的A/AAAA记录。它需要将类似于mx1.example.org的地址解析为IP地址。

要设置MTA-STS（后面会讲），需要将mta-sts.example.org和mta-sts.one.example.org（即各个domain）的A/AAAA记录指向邮件服务器IP。

还有一系列的TXT类型的解析如下。

SPF 为domain和hostname（非必要）都添加txt解析，内容如下。用于表明MX解析的域名是可以发邮件的。

text

`1`	`v=spf1 mx ~all`

DMARC 用于处理损坏的邮件。需要为所有 _dmarc.yourdomain（如 _dmarc.example.org和 _dmarc.one.example.org）添加。

text

`1`	`v=DMARC1; p=quarantine; ruf=mailto:postmaster@example.org`

MTA-STS标记 加上之后，失败的报告会被送到指定的邮箱（默认postmaster）。为 _mta-sts.example.org添加（其他domain不要漏下）

text

`1`	`v=STSv1; id=1`

然后为 _smtp._tls.example.org添加

text

`1`	`v=TLSRPTv1;rua=mailto:postmaster@example.org`

DKIM Key 在 / var/lib/maddy/dkim_keys/example.org_default.dns（文件名因人而异）找到该项TXT记录值，并将其给予default._domainkey.example.org的TXT解析。

MTA-STS保护

其实包括MTA-STS和DKIM等措施，对于发送邮件来说并不是必要的，但如果没有这几个措施，那么一些大电子邮件服务商（比如Gmail）会认为从你的服务器发出的是垃圾邮件。

MTA-STS（RFC 8461）是一个预防中间人攻击的防护措施。它的标记已经在上一步做好。然后，我们需要使用一个网页服务器来返回一串文本。

官方文档推荐的方式是serve一个文本文档，内容如下：

plain

version: STSv1
mode: enforce
max_age: 604800
mx: mx1.example.org

当访问 https://mta-sts.example.org/.well-known/mta-sts.txt 的时候，就返回它。

对于Nginx，也可以使用以下方式直接返回这串文字，在Nginx配置文件的HTTP块内加入一个server：

nginx

server {
    server_name mta-sts.example.org;
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;
    ssl_certificate /path/to/fullchain.pem; # 路径因人而异，下同
    ssl_certificate_key /path/to/privkey.pem;
    location = /.well-known/mta-sts.txt {
        default_type text/plain;
        return 200 "version: STSv1\r\nmode: enforce\r\nmx: mx1.example.org\r\nmax_age: 604800\r\n";
    }
}

当然，这之前需要确保你将mta-sts.example.org指向正确的IP，并申请其对应的TLS证书。

如果你使用Nginx、Caddy或Litespeed等网页服务器，请自行研究。

要验证是否添加成功，可以直接访问https://example.org/.well-known/mta-sts.txt，查看返回的内容。

TLSA/DANE记录这里不再指引，因为我使用的阿里云DNS是不能添加DLSA记录的，有兴趣的可以自行看官方文档。

添加账户

Maddy的账户体系是 “虚拟用户”，也就是说验证账户和IMAP邮箱是分离开来的。

首先，要创建用户验证，使用命令：

bash

`1`	`maddyctl creds create example@example.org`

输入账户密码，然后再创建它的邮箱：

bash

`1`	`maddyctl imap-acct create example@example.org`

这样，一个传统意义上的邮件账户就创建完成了。

如果需要更多帮助，可以使用

bash

1
2

maddyctl creds --help
maddyctl imap-acct --help

命令来获取。

到现在，你可以使用任何一个现代的邮件客户端，连接你刚刚创建的邮件服务器。IMAP协议即可，发送和接收可以全都选SSL。为安全起见，建议以后的邮件客户端全部启用SSL。

发一封邮件，如果你上述的安全措施做得比较好，发送给Gmail等对安全比较严格的邮箱，应该能够作为重要邮件，起码不会被作为垃圾邮件。使用IMAP+SMTP+SSL，收件端口号为993，发件端口号为465。

Webmail：RainLoop

RainLoop/rainloop-webmail

大部分看这篇文章的人都应该是搭着玩的个人用户吧。如果不是，那么请首先参阅RainLoop的不同版本比较页面，他们针对不同用户有不同的版本和Licence。这里直接选对无盈利的个人免费的Standard Edition，因其带有比较简便的更新功能。

下载与安装

从这里可以下载两种版本到服务器上。下载下来是ZIP格式，所以我们需要安装unzip解压（apt包管理器内有，不带apt的发行版请自行想办法）。

然后输入以下命令，将RainLoop的文件拷贝至 / var/www/rainloop，并设置权限。你也可以使用其他自己喜欢的路径，别忘了修改后面的配置文件对应部分。

bash

unzip rainloop-latest.zip -d /var/www/rainloop
cd /var/www/rainloop
find . -type d -exec chmod 755 {} \;
find . -type f -exec chmod 644 {} \;

然后编辑Nginx配置文件，加入server块：

nginx

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name webmail.example.org;

    ssl_certificate /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;

    index index.html index.php;
    root /var/www/rainloop;
    client_max_body_size 2G;

    error_log /var/log/nginx/rainloop.error.log;
    access_log /var/log/nginx/rainloop.access.log;

    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    location ^~/data {
        deny all;
    }

    location ~ \.php$ {
        fastcgi_pass php-handler-https;
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        include fastcgi_params;
    }
}

其中你必须更改的是 server_name、ssl_certificate 和 ssl_certificate_key。你可以把页面直接放到邮件服务器上，也可以换个服务器或者域名，但如果你想直接用上文提到的mx1.example.org即hostname，那么可以做正向代理，但更推荐的做法是把RainLoop直接部署到邮件服务器上。其他root等项视情况更改。根据官方文档，data目录不能允许被外网访问从而直接获取配置文件，所以直接deny all。

然后使用 nginx -t 测试配置文件，如果没有问题，就 systemctl restart nginx 重启nginx，然后访问webmail.example.org（例）试试吧。

若仍提示no data folder write permission权限问题，大不了给对应目录文件直接777权限（问题不大、

初始配置

访问webmail.example.org/?admin来进行初始配置。默认管理员用户名为admin，密码为12345。

首先建议在 “安全” 选项卡中修改默认管理员密码。在 “域名“选项卡中，你可以添加你刚刚架设好的邮件domain，也可以添加其他商用邮箱域名。添加之后点击测试，可以测试一下邮件服务器在此设定下能否连通。正常来说，你不需要勾选” 使用短域名登录“。

此外，” 白名单 “功能能够限制某域中能登陆到Webmail的账户列表，如设置example.com的白名单为test@example.com，那么除上述邮箱外，后缀为 @example.com的邮箱全部不能登录。

这两项基础设置做完之后，你就可以重新打开webmail.example.org，输入你的邮箱和密码，登录Webmail。如果无法登录，请检查你刚刚的初始配置。如果能够成功进入邮箱，那就……enjoy it!

参考文献

记为 Ubuntu 20.04 增加 IPv6 地址

Wed, 19 Jan 2022 00:00:00 +0000

本文以BuyVM装有Ubuntu 20.04.3的VPS为例，希望能够避免更多人踩坑甚至遭遇服务器失联。

尤其对于并不是BuyVM的VPS用户来说，情况不一定相同，建议同时参照下面加粗的参考文献研究。

分配IPv6地址

BuyVM的VPS本身不带IPv6，仅有一个IPv4。

要分配一个IPv6地址，在Stallion管理界面 - Virtual Services-Networking-IPv6内点击Assign IPv6 Address。

你可以随机选择一个，也可以在范围内指定一个IP地址。点击Add IPv6 Address，就可以了。

暂时不要关闭Stallion，等待下一步操作。

编辑Netplan设置

网络上搜到的教程大多是旧版Ubuntu所使用的方法，而Ubuntu 20.04.3已经开始使用Netplan。

使用SSH连接到服务器。如果你担心因操作不当而失联，可以直接使用VNC连接，方法见下章。

Netplan的默认配置文件处于 / etc/netplan中，里面应该有一个YAML文件，即其配置文件。

使用你喜欢的代码编辑器（Vim，Nano，whatever）打开此文件，你将看到如下形式的配置文件。有些许差异可以忽略。

yaml

network:
  version: 2
  ethernets:
    eth0:
      dhcp4: true

将其改成如下内容，其中核心内容将在下面说明。

yaml

network:
  version: 2
  ethernets:
    eth0:
      dhcp4: true
      dhcp6: true
      gateway4: x.x.x.x # IPv4 网关
      gateway6: xx::1 # IPv6 网关
      addresses: [x.x.x.x/24,'x:x::/Bitmask'] # 分别为 IPv4 地址、IPv6 地址、IPv6 Bitmask

从Stallion刚刚的页面中点击IPv4选项卡，然后在下方的IPv4 addresses中的Normal项找到设置图标。点击它，再点击Network Settings。

这个IP Address就是你的IPv4地址，Gateway就是IPv4网关，分别将其替换入上面的修改内容。如果你的Netmask也是255.255.255.0，那么 / 24就不需要变动，它们的意义相同，只是一个Netmask和Bitmask的相互转换，前者是IPv4惯用表述，后者则是IPv6的表述。Netplan统一用后者。

另外，对于某几个地点的Gateway，Frantech 官网也有说明。

同理，进入刚刚你分配的IPv6地址设置中，替换IP Address和Gateway为对应的值。Bitmask的值则替换为网页上Netmask/Bitmask的值，一般为48。

保存配置文件，使用命令 sudo netplan try 可以自动检查配置文件，如果看起来没有问题的话就可以按回车继续了。然后使用 sudo netplan apply 来应用更改。

检查网络连接

一小段时间之后，使用 networkctl status eth0 命令查看eth0端口情况。除了查看Address信息有没有错误之外，最重要的是State。如果是绿色的routable(configured)，那么一切正常。否则，degraded表示可能没有连接公网，而若下方log中提示No Route to Host则可能代表Gateway设置错误。

这之后，可以使用 ping6 google.com 测试一下IPv6下的网络连接。也可以用其他设备Ping你刚刚分配的IPv6地址。如果都不会提示Network Unreachable，那么就万事大吉了。

如果你的服务器已经因此失联

你永远可以相信VNC。在Stallion右上方的Console内点击Direct VNC Connection，然后在你的VNC客户端（官方推荐的TightVNC就不错）Viewer上输入网页中弹出的用户名和密码，就可以连接到服务器了。

参考文献

记一次为 Vultr 的 WordPress 主机配置 IPv6 + SSL 访问

Sun, 14 Nov 2021 00:00:00 +0000

说来也怪，这个其实是我搞梯子的时候研究Nginx的副产物。

先提一下VPS的当前环境：从Vultr直接部署的WordPress主机，Ubuntu 18.04.6 LTS，Nginx 1.20.1。已经使用了Let’s Encrypt的SSL服务获取了证书。其他的都没啥关系，就不提了。

如果你还没有获取到SSL证书，你可以使用 Certbot 获取一个免费的，虽是英文教程但浅显易懂，中文教程也好找。

编译替换Nginx

我发现附带的Nginx是没有IPv6支持的，可以使用这个命令来验证：nginx -V。输出大概是这样：

text

nginx version: nginx/1.20.1
built by gcc 7.5.0 (Ubuntu 7.5.0-3ubuntu1~18.04)
built with OpenSSL 1.1.1  11 Sep 2018
TLS SNI support enabled
configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-compat --with-file-aio --with-threads --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_mp4_module --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-mail --with-mail_ssl_module --with-stream --with-stream_realip_module --with-stream_ssl_module --with-stream_ssl_preread_module --with-cc-opt='-g -O2 -fdebug-prefix-map=/data/builder/debuild/nginx-1.20.1/debian/debuild-base/nginx-1.20.1=. -fstack-protector-strong -Wformat -Werror=format-security -Wp,-D_FORTIFY_SOURCE=2 -fPIC' --with-ld-opt='-Wl,-Bsymbolic-functions -Wl,-z,relro -Wl,-z,now -Wl,--as-needed -pie'

不过截至写这篇文章的时候，Vultr已经可以部署基于Ubuntu 20.04的WordPress主机了。如果你运行上面的命令，发现带有 “–with-ipv6” 的话，那么就可以跳过这一步了。如果没有，就先把configure arguments后面的内容复制下来备用。

SSH连接服务器，使用 wget https://nginx.org/download/nginx-1.20.1.tar.gz 下载Nginx 1.20.1版本（或者核对上面命令输出中的nginx version，一定要确认版本一致），使用 tar -zxvf nginx-1.20.1.tar.gz 命令解压。

安装一下依赖库，命令如下：

bash

1
2

sudo apt upgrade
sudo apt install build-essential libtool libpcre3 libpcre3-dev zlib1g-dev openssl libssl-dev

进入刚刚解压的文件目录，并执行

bash

`1`	`./configure --what-you-have-copied-just-now --with-ipv6`

将其中 --what-you-have-copied-just-now 替换成你刚刚复制的内容。不过，不加 –with-ipv6其实也可以，新编译的默认是带有IPv6支持的。

如果没有任何报错的话，再执行 make 来编译（不要make install）。否则可以将报错内容Google一下，多半是少了什么库，对照着装就是了。

Vultr的WordPress主机，Nginx可执行文件在 / usr/sbin，配置文件在 / etc/nginx/conf.d。做一下备份，然后将新编译好的nginx可执行文件替换进原文件，然后重启服务即可加入IPv6模块：

bash

1
2
3

mv /usr/sbin/nginx /usr/sbin/nginx.bak
mv objs/nginx /usr/sbin/
systemctl restart nginx.service

设置DNS解析

我使用的是阿里云DNS，直接将原域名AAAA解析至服务器的IPv6地址即可。这个应该不难。

等一小会后，执行 nslookup your.domain，解析到的应该是IPv6和v4两个地址。

编辑Nginx配置文件

先备份，再用你喜欢的方法编辑 /etc/nginx/conf.d/wordpress_https.conf。如果内有两个server开头的大括号，有一个带有”managed by Certbot“标记，就注释掉或者删掉另外一个大括号连同里面的内容。我之前就是没有注意到实际的配置文件，导致IPv6访问死活没有SSL。

找到 listen 443 ssl;，然后在后面加入一行

text

`1`	`listen [::]:443 ssl ipv6only=on;`

即可让Nginx监听IPv6的443端口内容。如果你还想保留IPv6的HTTP访问（无SSL），再编辑 /etc/nginx/conf.d/wordpress_http.conf，在 listen 80; 后面加入一行 listen [::]:80;。

检验IPv6访问及证书

在 SSL Server Test (Powered by Qualys SSL Labs) 中输入你的域名，可以分别检验IPv6和v4下的SSL访问情况。你也可以自行打开网页检验。

参考文献

Ubuntu 编译安装 nginx 以及配置自动启动 - 浮梦云烟 - 博客园 (cnblogs.com)

Linux 中查找 nginx 安装目录和 nginx.conf 配置文件目录 _纸上得来终觉浅，绝知此事要躬行 - CSDN 博客 _查找 nginx 目录

使用任务计划程序，根据网络环境自动开关代理软件

Wed, 03 Nov 2021 00:00:00 +0000

住处的路由器经过一番折腾，自带访问国际互联网的环境，而其他地方的网络当然不会有这个东西了，这就需要在电脑上启动代理。每次搬电脑都要开关代理很麻烦，于是心生一计，使用Windows自带的十分完善的任务计划功能，来实现根据网络环境的代理软件自动开关功能。理论上这同时适用于Clash、ShadowsocksR等代理软件。

在Windows 11 build 22000.282测试通过，理论上近几个大版本的Windows 10也同样适用。

自动打开代理软件

这一部分讲述了在连接到某一特定SSID的WiFi网络时如何启动代理，以Shadowsocks为例。

使用Windows搜索 “计划任务” 或者 “taskschd” 可以找到任务计划程序。

点击右侧 “创建任务”，随便起个名字。

切换到 “触发器” 选项卡，新建 “发生事件时” 触发器，“开始任务”选择 “发生事件时”，“日志” 选择 “Microsoft-Windows-NetworkProfile/Operational”，“源” 选择 “NetworkProfile”，“事件ID” 填写“10000”，其他不变，如图。

切换到 “操作” 选项卡，新建操作，在 “程序或脚本” 栏里浏览并选择你的Shadowsocks主程序，其他不变，点击确定。

再切换到 “条件” 选项卡，选中 “只有在以下网络连接可用时才启动”，选择你希望打开Shadowsocks的网络环境。某些时候，网络SSID并不等于环境名称，这时最好查看“找到真正的网络名称” 部分以确保选择正确。这样相当于监听每一次网络环境改变事件，再检查当前网络环境，如果符合条件则启动。同时还需要关闭”只有在计算机使用交流电源时才启动此任务“，毕竟能拿着电脑到处跑的人应该会经常用电池吧。

点击确定，即可完成设置。

找到真正的网络名称

有些时候，你可能会遇到和我一样的情况：明明想找一个名为xxx的WiFi，但在 “只有在以下网络连接可用时才启动” 下拉框中却发现了形如 “xxx 1”“xxx 2” 之类的网络。如果没有这种情况，那很好，你不用看这一小节了；否则，需要打开 “适配器选项” 窗口来确定真正的网络名称。

这里吐槽一下小米互传：就不能固定一个SSID吗？

首先要连接目标网络，然后根据操作系统不同，有不同的步骤。

对于Windows 10，在任务栏网络图标右键，选择 “打开网络和Internet设置”，然后点击 “更改适配器选项”；而对Windows 11，要打开设置 - 网络 & Internet - 高级网络设置 - 更多网络适配器选项。会弹出如下图的窗口。

这里再骂一次微软，Windows 10适配器选项页面的高分屏优化都比11好，起码字体没毛边。

这里根据你的情况寻找你的网络名称，比如我的是 “PDCN_5G 7”。

自动关闭代理软件

仍然以Shadowsocks为例。这个实现起来相对麻烦些，因为任务计划没有设定关闭程序的操作。好在我们有PowerShell，所以我们可以使用PoweShell脚本来结束进程。

新建一个文本文档，将扩展名改为. ps1，文件名任取。然后，在里面粘贴以下内容（假设你的Shadowsocks设定的是PAC模式）：

powershell

Write-Output "Stopping Shadowsocks"
Get-Process | Where-Object {$_.ProcessName.Contains("Shadowsocks")} | Stop-Process
Write-Output "Trying to delete proxy registry"
Remove-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' -Name "AutoConfigURL"

然后保存。

按上面的步骤创建一个新任务。“触发器” 与上面相同。

在 “操作”-“程序或脚本” 的“添加参数”栏填入刚刚新建的PowerShell脚本路径，“程序或脚本”填入“pwsh.exe”（如果你安装了新版PowerShell Core）或“powershell.exe”（通用，但是是老版本），其他不变，确定。如下图：

编辑执行脚本操作

“条件”-“只有在以下网络连接可用时” 改为你希望自动关闭Shadowsocks的网络环境。

点击确定，即可完成设置。不想了解细节的读者，不需要读本节中下面的部分。

我们都知道，要关闭Shadowsocks，当然要结束Shadowsocks.exe。它运行的时候，还会同时启动Privoxy透明代理，但结束主程序的时候它也会一起关闭，所以没有必要考虑这个。

如果你使用的是PAC代理模式而不是全局代理，有时系统设置 - 网络 & Internet - 代理 - 使用设置脚本的开关并不会关闭，部分影响网络浏览。这个开关由注册表键值HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL所管理，如果存在则代表这个开关打开，并将PAC代理指向它的值，键值字符串代表设置的代理服务器地址。那么，我们增加一条命令将这个键删掉，就可以保证彻底关闭了。

进阶：自动检测网络环境，开关代理

这部分以v2rayN为例。如果你经常在多个网络环境之间穿梭，每个网络条件不同（甚至同一个网络路由器端的梯子都有可能挂掉），上面的那个办法就不是那么好用了。既然我们写了PowerShell脚本，不妨一步到位，直接检测网络环境。

首先你需要新建一个在网络环境改变的时候就调用的任务计划，而不需要特定网络连接条件，可以参照本文的 “自动打开代理” 部分。

然后新建一个PowerShell脚本，少废话，上代码。

powershell

Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name ProxyEnable -Value 0 #首先禁用系统代理，防止对检测造成影响
$url = "http://clients3.google.com/generate_204"
$req = [system.Net.WebRequest]::Create($url)
$proxyActive = Get-Process v2rayN -ErrorAction SilentlyContinue #检测 v2rayN 是否运行，后面那个 param 是在它没有运行的情况下继续执行脚本
try {
    $res = $req.GetResponse() #获取 HTTP 状态码
} 
catch [System.Net.WebException] {
    $res = $_.Exception.Response
}
if ($res.StatusCode -eq"NoContent") {
    #能够直连国际互联网
    Write-Output "Google Is Connected, Stopping Proxy"
    Get-Process | Where-Object {$_.ProcessName.Contains("v2ray")} | Stop-Process
}
else {
    #不能直连国际互联网
    if ($null -eq $proxyActive) {
        # 代理未运行，打开代理
        Write-Output "Cannot connect to Google, Starting Proxy"
        &"Your\Path\To\v2rayN.exe"
    }
    else {
        # 代理软件已运行，启用系统代理即可
        Write-Output "Re-enabling Proxy"
        Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name ProxyEnable -Value 1
    }
}

将里面的 Your\Path\To\v2rayN.exe 替换为v2rayN.exe路径，然后让那个任务计划在满足条件时执行它。

v2rayN采用的是系统代理方案，把v2rayN.exe结束掉，会自动结束xray.exe，但要手动控制系统代理。控制它的注册表项是HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable，类型为DWORD，1为开启，0为关闭。

显而易见，http://clients3.google.com/generate_204 是在墙外的网站。如果访问正常，这个页面会返回一个HTTP 204 NoContent，否则res会是 $null。

参考文献

windows - How to launch a command on network connection/disconnection? - Super User

利用 Windows 计划任务定时关闭程序 - 蜂鸣器 (fmqcloud.com)

一键打开关闭 ie 代理 - 问题求助 - 小众软件官方论坛 (appinn.net)

How to Get, Edit, Create and Delete Registry Keys with PowerShell (netwrix.com)

如何在 powershell 中让运行的程序停止 _百度知道 (baidu.com)

设定 Windows 计划任务定期执行 PowerShell 脚本【图文】_StanlyCheng_51CTO 博客

如何在 PowerShell 中获取数字 HTTP 状态码？ - 问答 - 云 + 社区 - 腾讯云 (tencent.com)

Check if a process is running (microsoft.com)

Windows 11 bug 大赏

Sun, 10 Oct 2021 00:00:00 +0000

因为我对Windows 11奇差无比的稳定性非常愤怒，所以水了这篇博客。可能持续更新。

老（伪）软粉，无意搞什么微软圣经，只是发发牢骚。

如果你没遇到部分或者全部这些bug，那么祝贺你，你很幸运；但请不要抱侥幸心理而选择直接OTA升级，即使不全新安装，也请下载并使用完整ISO升级，这样流畅度可能大幅提升，bug可能大幅减少，简要方法见文末。

1.“无法打开xxx，因为它处于脱机状态”

发现于Build 22000.194

Forza Horizon 4安装在非系统硬盘上，但一直连接在电脑上，其他文件也正常访问。

不定期发生，可能重启后解决；如果重启后仍未解决，可能静置一段时间后自动解决。

2. 农历日历显示错乱，自相矛盾

发现于Build 22000.194

今天到底是九月初三还是初四？

3. 桌面窗口缩略图弹出错位

出现于Build 22000.194

缩略图应该弹出在图标正上方（注意我鼠标的位置，没有用截图就是为了看鼠标）。

4.“图片”App缩略图更新不及时

出现于Build 22000.194

裁剪后的图片如大图所示，而下方缩略图则仍为裁剪前的图片。

5. 深色模式转换不完全

出现于Build 22000.194、22000.258

从深色模式转回浅色模式，同一窗口下的部分内容仍停留在深色模式，即使其余内容可以自动转换。

6. 高DPI缩放错误

出现于Build 22000.194、22000.282

界面只占了窗口左上方的一小部分。

可大，可小。

7. 任务栏图标消失

出现于Build 22000.194

除开始菜单图标外，App图标全部消失。我有两块屏幕，扩展方式连接，而主屏幕的任务栏图标一切正常。

8. 资源管理器上方功能图标消失

出现于Build 22000.258、22000.282

一次卡出两个bug，不愧是我

上方功能菜单的图标大部分都没了。能点，但单纯是看不见。

9.Windows开始菜单图标消失

出现于Build 22000.258

10. 输入法指示器错位

出现于Build 22000.258

此处是屏幕左下方，常用vscode的读者应该很容易看出来。

11. 任务栏音量图标显示颠倒

出现于Build 22000.258、22000.346

声音打开的时候显示关闭，声音关闭的时候显示打开。

12.Windows开始菜单打不开

出现于Build 22000.258

这个不用图描述吧？

13. 开始菜单阴影遮罩错位

出现于Build 22000.282

你们开始菜单呐还是要提高自己的姿势水平，不要总想着搞个大遮罩，这样是不行滴！

14. 任务栏选项错位

出现于Build 22000.282

这里是这块屏幕的左端，正常来说应该显示在对应图标的上方。

15. 任务栏无故出现强提醒

出现于Build 22000.346

如你所见，我并没有打开任何Windows Explorer窗口，而它却在任务栏给我发了一个强提醒。

16. 任务管理器渲染成点阵字体

出现于Build 22000.346

这玩意没过多久自己闪退了，不过重新打开任务管理器就好了。

17. 解锁后全屏模糊

出现于Build 22000.346

没有图，Windows截图转存WebDAV的时候损坏了……

18. 任务栏图标错位

出现于22000.348

《潜水的Visual Studio》

19. 搜索窗口错位

出现于Build 22000.376

Windows搜索本该遵循任务栏图标位置设置，出现在左下方，然而却出现在了中间。

20. 出现无法消失的窗口

出现于Build 22000.376

是的，就这么凭空出现在那里。

21. 远程桌面断开后，系统音量和亮度调节无法恢复

出现于Build 22000.434

远程桌面（RDP）连接时是无法调节系统亮度的，音量默认最大，由客户端控制。断开后仍无法使用Windows控制中心调节亮度，音量也未恢复，但实际上可以使用Twinkle Tray调节亮度，播放声音设备也可正常识别。

复现概率很小。

附录：升级Windows的正确姿势

打开 UUP dump，一般用户建议点击“公开发布的最新内部版本” 或“最新发布预览通道版本”后的“x64”，如果看得懂，也可以选择其他预览版、架构，或从下方更新列表手动选择。然后，不懂的建议直接一路下一步。
解压从上面网页下载到的zip，Windows用户双击执行uup_download_windows.cmd，等待下载转换压缩过程完成。
点击解压后目录出现的ISO文件，双击setup.exe安装。由于我们下载的文件已经包含最新更新，建议选择更改检查更新的方式 - 不检查更新。
一路下一步等待自动升级。

再见了，小 X 知识网，再也不见

Sat, 09 Oct 2021 00:00:00 +0000

不知何时，Google的搜索结果中出现了大量垃圾搜索结果，尤以”小X知识网 “和“小X百科网” 最为猖獗。

点进任意一个此种网站，发现基本都是营销号套话，和从别处随意复制粘贴来的内容——几乎都没有原文链接，更几乎不可能事先申请过转载授权。据称这种网站一般被称作” 内容农场 “，专门发布垃圾文章，同时大搞SEO，因此搜索结果通常很靠前。

之后从V2EX找到了Chromium插件 uBlacklist（被墙，不过对于Google用户应该不是问题），用于屏蔽Google等几个搜索引擎中的特定搜索结果，眼不见心不烦。同时支持Firefox和Safari。

iorate/ublacklist

安装后，Google的每个搜索结果旁都会显示 “加入黑名单” 按钮，而在浏览某个网页时，你可以点击插件栏的uBlacklist按钮，将正在浏览的网站加入黑名单。加入黑名单的域名或子域名，将会被从搜索结果中剔除，同时在搜索界面显示“uBlacklist已经屏蔽了x个网址”，其中域名和子域名遵循Mozilla匹配模式（格式如 ://search.bilibili.com/。Google有时会在搜索结果中包含B站搜索的网页，而如果我需要视频结果我会使用站内搜索，所以这里将它屏蔽掉）。

实际上，我也一直苦于搜索结果中的 “程序员信息网”” 代码先锋网“之类网站，它们更像是纯粹的搬运（或者说，偷窃）各位博主的劳动成果。由于这种网站并不太多，简单的像上面这样域名屏蔽即可解决，大不了再屏蔽就是了。此外，华为云社区有时也会干这种不三不四的事情，搞不懂是为什么，反正一起被我屏蔽了。

但这些 “小X知识网” 实在太多了，有的域名都没注册直接拿IP地址就出来污染，靠域名根本屏蔽不完，怎么办？uBlacklist还支持标题屏蔽，更支持正则表达式，格式如 title\your_regex\。直接添加 title\ 小. 知识网 \ 和 title\ 小. 百科网 \，搜索结果马上就清净了。

想一劳永逸？在下面的V2EX原帖链接中，一些网友还提供了规则订阅链接，免于手动配置屏蔽，威力比较大，可能误伤。

或者你也可以尝试”Content Farm Terminator“插件，它能够一定程度上自动屏蔽这类内容农场网站。

danny0838/content-farm-terminator

参考：

请问在 google 搜索时，频繁遇到小 X 知识网等内容农场式结果，怎么办？ - V2EX

亿点碎碎念

作为互联网汪洋大海的一个小透明网站，不知道我的文章有没有落入这类网站的魔爪之中。

我个人是反感这种做派的，但鉴于本站的文章默认遵守CC BY-SA 4.0协议（后续会在网站更多文章中有更明显的体现），只要注明来源、许可没问题那我也不好干涉，所以如果您碰巧发现疑似我的文章被盗而未标明出处，欢迎直接在本文下方发送评论，我将尽量投诉此类网站，在此不胜感激。当然，懒得帮也没关系，还是感谢您能抽时间观看本文 :)

不知道这些网站为什么要这么做，搞不懂盈利方式。

我的 C 盘空间清理方法论

Fri, 10 Sep 2021 00:00:00 +0000

C盘空间的清理一直是Windows用户的老大难问题，用着用着空间就没了，这里分享一些清理C盘空间的方法。

除非你的C盘已经非常满了，否则不建议完全删除或禁用缓存一类的文件（如缩略图缓存），它能显著提升电脑速度。即使C盘很满，我也建议先扩容——当然，这就不是本文所要讨论的范畴了。

空间分析

首先下载 WinDirStat，用它分析C盘的空间利用情况。进去之后选C盘，然后它就会开始扫描分析你的C盘内容。界面是英文的，但连猜带蒙应该也能看懂。

扫描完成后，它能够以很直观的图表呈现C盘的各个区域占用了多大。上方是C盘文件树和按类型的空间占用情况，下方则是将不同文件和目录分别染色之后，用块大小表示的空间占用情况。比如左上方的黄色块，对应的就是占用5GB的开发工具vscode cpptools缓存目录；而右边巨大的紫色块则是Windows搜索索引文件Windows.edb。

或者你也可以使用 TreeSize，其免费版相比WinDirStat有颜值更高的用户界面和各方面都更好的性能，但没有下方的占用情况块状图。如果你有需求恰巧也很有钱，可以购买其Personal版本，功能多一些。

如果你找到了大量占用C盘空间的元凶，请勿直接删除它！这可能导致系统或者应用程序无法正常启动。建议在Google或者必应搜索引擎搜索文件或者文件夹名，以确认是否能删除；如果没有什么非常必须的理由，不要用百度。 如果遇到英文网站，不要直接退缩，能读就读，不能读也可以谷歌翻译看看，里面也可能有很有价值的信息。

下面会时不时整理一些我遇到的切实可行的方法，供大家参考。在Windows 10 21H1测试通过，但可能不适用于所有系统版本。

Windows系统和Microsoft应用

Microsoft 社区有很多关于Windows清理的有用建议，比如什么系统文件能不能删除等，在搜索的时候可以多多留意。

Windows搜索索引

参考了 C 盘清理教程丨 24G 大的“Windows.edb” 是什么文件，可以删除吗？-『白云居』 (baiyunju.cc)。

常表现为有一个巨大的C:\ProgramData\Microsoft\Search\Data\Applications\Windows\Windows.edb文件。

如果你不需要在Windows搜索中直接搜索到文件记录的内容（如某个代码文件中的某个语句），你可以在 “此电脑” 中，右键盘符（不止C盘）选择“属性”，禁用“除了文件属性外，还允许索引此驱动器上文件的内容”，选择“适用于子目录和文件”，然后等待系统应用属性（很慢），然后参考下一段的方法重建索引文件。这样可以显著减小索引文件的大小。

如果想将它移出C盘，前往Windows设置 - 搜索 - 搜索Windows - 高级搜索引擎索引器设置 - 高级，选择一个新的位置，然后点击重建索引。

Windows Subsystem for Linux (WSL 2)

常表现为C盘内一个大约4GB的vhdx文件。

如果希望将它移出C盘，请参见如何将 WSL2 迁移至其他盘。

Windows自带 “磁盘清理” 工具

这个工具可以用来清理硬盘内的传递优化文件等一些杂七杂八的文件。

前往此电脑 - C盘 - 属性 - 磁盘清理（等一下）- 清理系统文件，你可以根据下面的描述决定是否清理某一项文件。

另外，你也可以从Windows设置 - 系统 - 存储中管理你的C盘使用情况。

传递优化

简单来说，就是Windows更新服务器不足，所以设计了传递优化功能，能够从其他电脑上下载别人已经更新好的更新文件，类似于BT下载。不能只索取而不付出，所以如果你允许从其他电脑下载，你的电脑也会为别人服务。

如果想关闭，前往Windows设置 - 更新和安全 - 传递优化，关闭 “允许从其他电脑下载”。

更改个人文件夹目录

如果你不知道什么是UWP应用什么是桌面应用，全都做就行了。

对于UWP应用的默认设定，前往Windows设置 - 系统 - 存储 - 更改新内容的保存位置，选择C盘以外的位置，点击应用。

对于Windows桌面应用，打开 “此电脑”，分别进入“下载”“视频”“图片”“文档”“音乐” 文件夹的属性，选择 “位置” 选项卡，选择另外一个位置，别忘了点击“移动”。

Microsoft OneDrive

在C:/Users / 用户名 / AppData/Local/Microsoft/OneDrive内有大量日志文件。

Microsoft Edge

在C:/Users / 用户名 / AppData/Local/Microsoft/Edge/User Data/BrowserMetrics内有大量单个4MB的遥测文件，可以删除。

微软已经确认了此 bug，但半年多了，还没修。

开发工具

Visual Studio Code

C++ IntelliSense功能缓存

参考了 .vscode caching too much data since update。

常表现为在C:\Users\ 你的用户名 \AppData\Local\Microsoft\vscode-cpptools\ipch中有大量20MB左右的ipch文件。

在VSCode设置中搜索 “intellisensecache”，你可以改变缓存位置和缓存大小（单位MB）。

Android Studio

软链接（符号链接）是一个泛用性比较强的办法，理论上适用于所有较大而难以改变位置的文件 / 目录。以下方法均测试通过。

Android Studio的构建密钥、AVD等均存放于~/.android目录下，可以用类似于以下的命令将其移至其他目录。关于图形化的操作方法以及其他知识，请翻阅参考文献。

此外，~/.gradle目录也不小，可以迁走。

参考：https://sspai.com/post/66834

日常应用

QQ/TIM

以TIM为例，左下角选项 - 设置 - 文件管理中可以管理APP所存储的文件，还可以移动接收文件的文件夹。

聊天图片通常非常大，存储于C:\Users\ 用户名 \Documents\Tencent Files\QQ号 \Image。“C2C”文件夹中存储了私人聊天的图片，而 “Group2” 文件夹存储了群聊图片，可以更细致地手动清理。

腾讯系软件的日志位于C:\Users\ 用户名 \AppData\Roaming\Tencent\Logs。

NVIDIA显卡驱动

在C:/ProgramData/NVIDIA Corporation/Downloader内。显卡驱动安装文件一般大至400MB，很可观。

如何将 WSL2 迁移至其他盘

Sat, 04 Sep 2021 00:00:00 +0000

在Windows中，WSL2（Windows Subsystem for Linux）子系统默认安装在C盘，本文介绍如何将其移动至其他盘符，也可以在不同电脑间迁移。

以下内容总结自 how to move the vhdx of wsl2 to other disk · Issue #412 · MicrosoftDocs/WSL (github.com)。

首先打开任何一个终端，CMD或者PowerShell都可以。建议在你希望迁移后WSL所处的目录下打开，如我希望将WSL迁移到D:\UbuntuWSL，就在这个目录下打开，或者打开后使用 cd D:\UbuntuWSL 命令。

然后，输入 wsl --list 并运行，系统会为你输出当前的子系统列表，如：

text

适用于 Linux 的 Windows 子系统分发版:
Ubuntu2 (默认)
docker-desktop
docker-desktop-data
Ubuntu

请记住你想迁移的子系统名。下面的命令将会占用很多系统资源。

然后，运行 wsl --export <子系统名> <导出文件名. tar>，其中 “子系统名” 就是你刚刚记住的子系统名，“导出文件名”是你希望导出文件的命名，可以使用完整路径代替（如D:\UbuntuWSL\ubuntu.tar）。这个命令可以将已安装的特定子系统打包成TAR压缩文件。

找到此TAR文件，将其移动到你想迁移到的位置，并将终端的工作目录移动至那里。当然如果你一开始就设定好目录那现在就不用了，而且其实不迁移也没什么问题

运行 wsl --import <迁移后子系统名称> <迁移后 WSL 工作目录> <tar 文件路径>，这个命令可以从tar文件导入子系统。迁移后的子系统名称不能与原来已有的重复；工作目录可以任选，不一定要和tar文件在一起。

再次运行 wsl --list，如果你迁移后的子系统本应成为默认而实际上并没有，使用 wsl --set-default <子系统名> 命令来设为默认。

现在，你可以使用 wsl --unregister 子系统名 来完全删除原子系统，不过我建议先使用迁移后的系统一段时间，来确保没有问题。

已知问题：

迁移后默认账户变为root。

测试正常工作：

仍可将WSLg GUI应用程序集成到开始菜单。
Windows资源管理器仍可浏览Linux文件系统的文件。

Cloudreve：属于你的网盘

Sun, 08 Aug 2021 00:00:00 +0000

无论是搭建在互联网的服务器上、本地，还是局域网的其他设备上，Cloudreve 都能提供出色的云服务。对于个人，它存点资料完全够用；而对于组织，它也有账号管理系统，可以满足多人使用的需求。我是将它作为个人云使用的，除上面所说之外，它还有许多感知强烈的优点：

上传下载不限速，具体视服务器和客户机而定
文件实时在线预览 / 编辑 / 压缩
连接到其他存储服务，如Microsoft OneDrive、亚马逊S3等，当然也可以存在服务器端
Material Design网页界面，多平台、深色模式及PWA支持
支持文件分享，可选直链分享
WebDAV
配合aria2实现离线下载

相比官方原版OneDrive，它的网页端可以自由访问；而相比百度云，它就只有容量不占优了。

以下皆以amd64架构的Ubuntu 20.04为例。

部署

在服务器中合适的位置用 chmod 新建一个目录，然后下载 Releases 页面对应架构的软件包，解压即可。

对于负载不大的情况，可以直接使用Cloudreve自带的反代服务器，无需重新设置。

直接执行 ./cloudreve 即可使其前台运行，后台运行可以使用nohup。第一次运行建议截个图，内含管理员账号密码，用它登录进去之后可以在管理后台进行改名改密码等操作。

SSL

如果你想使用Cloudreve的OneDrive同步，你还需要HTTPS访问，而这需要一个SSL证书和一个域名。域名可以自己买，而这里主要解决SSL的问题。这里推荐使用Certbot来完成这个过程，它使用了Let’s Encrypt的服务。可以参考这篇文档的方法。简单来说，就是：

使用 sudo snap install certbot 安装certbot
运行 sudo certbot certonly --standalone（如果80端口没被占用）
依次输入你的邮箱和域名
记下证书路径和私钥路径
编辑Cloudreve文件夹下的conf.ini，加入以下内容：

ini

[SSL]
Listen = :xxx ; 将 xxx 替换为 HTTPS 访问该网站用的端口号，如 https://abc.com:xxx，推荐使用 443
CertPath = /etc/letsencrypt/live/abc.com/fullchain.pem ;abc.com 替换为你的域名
KeyPath = /etc/letsencrypt/live/abc.com/privkey.pem ; 同上

如果你已经在运行Cloudreve，先执行 killall cloudreve 再重新启动。

上传速度演示，受网速限制

到现在就可以使用服务器本地的硬盘空间作为一个网盘了。操作非常简单，我想我没必要再说了。但对于OneDrive，我觉得还得再提一句。

连接OneDrive

许多云主机的空间很小，装不下几个大文件，这时可以连接到OneDrive，支持个人用户或者企业 / 学校用户，以及各种Microsoft 365套餐。

在下载大文件的时候，主机直接连接微软服务器。

就是这么快……

在管理后台的”存储策略 “点击添加，然后按步骤操作。如果你用的不是公司 / 学校Microsoft账户，注册应用程序时需要选择” 任何组织目录…… 及个人Microsoft账户 “，后面才可以验证，否则会出现” 无法使用个人帐户在此登录，请改用工作或学校帐户“的错误。

添加完成之后，还需要在” 用户组 “设置里选择特定用户组使用的使用的存储策略，才能使用其他平台的存储空间。

OneDrive代理加速

可以参考这篇文章，Cloudreve的OneDrive反代原理是一样的。不过，如果你使用的是OneDrive个人版，获取到的下载链接类似于 https://public.bn.files.1drv.com，也是可以的，不必强求 SharePoint链接。

反代

我使用的是Nginx反代，所以当然以它为例。核心部分就是照着官方文档的配置，在Nginx的某个server中加入以下的location。

json

location / {
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header Host $http_host;
    proxy_redirect off;
    proxy_pass http://127.0.0.1:5212;
    # 如果您要使用本地存储策略，请将下一行注释符删除，并更改大小为理论最大文件尺寸
    # client_max_body_size 20000m;
}

需要注意的是，Cloudreve目前（指3.3.2和3.4.0-beta1）并不能够使用二级目录反代，如设置 location ^~ /cloud，因为Cloudreve会在调用静态资源的时候访问不带二级目录的内容，即使 “站点URL” 中已添加二级目录也是这样。所以，我更推荐使用在Nginx里新建一个server，将另一个二级域名的根目录直接指向Cloudreve。只需设定不同的 server_name，Nginx就可以根据不同的二级域名来访问不同的服务，即使设定的listen端口相同。

参考文献

又水一篇，开心

HNU 校园网 IPv6 免流教程 2.0

Wed, 28 Jul 2021 00:00:00 +0000

阅读前警告

此教程仅供学习参考和经验交流，如您决定实践，作者对造成的后果不负任何责任，也不保证效果。

本教程只适用于2021年9月的湖南大学校园网，未来有更新可能，其他高校情况也不尽相同。

在新的校园网计费标准下，以这个步骤执行，并不一定能省钱，而且体验也不一定好。

炒个冷饭，由于好久之前写的免流实录（还算不得教程）实在是太散乱，这次决定整理一下思路（持续整理中）。

校园网环境与免流概述

湖南大学校园网，可以看作有IPv4和IPv6两条连接外界的通道。IPv4会经过校园网的计费和限速系统，然后接入联通或电信的骨干网；IPv6则没有计费、（可能）没有限速，接入CERNET2，也就是纯IPv6的下一代教育网。

宿舍的校园网接入只有无线路由器，而路由器检测到电脑MAC地址前缀就会分配IPv6地址，而手机等设备则不会。目前还不能确定哪些是它认为的电脑MAC地址。

平常的网络流量，v4和v6兼有，v4居多；这里的校园网免流目标，是将所有流量通过IPv6通道发送给代理服务器，并由代理服务器帮助我们访问网络资源，再将信息通过IPv6通过校园网传回我们的设备，以绕过校园网计费系统。代理服务器一般来说也是同时支持v4和v6的。由于需要一台代理服务器，延迟会有显著的增加，所以效果不一定比之前好。

免流并不能免掉所有的流量，比如BT下载和SFTP协议等可能仍然走校园网IPv4，猜测和端口号有关，经过特殊设置应该也能免掉。不做额外设置，一天内消耗校园网流量可以控制在10M以内。

本文的内容，就是围绕着如何把网络流量转移到IPv6上展开的。

前期准备

要做校园网免流，你一定需要：

大量、大量、大量的时间和耐心，你永远不知道有什么问题等着你
校园网外一台具有IPv6连接且常开的主机，包括但不限于国内外提供商的云主机（推荐），或者你家里带IPv6的路由器 / 电脑等。会收取一定的费用，按配置而定。

如果想要更好的体验，建议额外准备：

基本的网络和Linux知识，方便自行摸索和看懂网上的教程。如果时间实在太多，可以忽略此条
一台能够刷入第三方固件的路由器，如小米 / 红米、斐讯、华硕等品牌的大部分型号；或软路由
通读此教程，了解大致框架

选择代理协议

所谓代理，简单来说就是把你电脑上网的流量统统转发到另一台计算机上，由它代访问。而协议就是代理服务器和你的计算机通信的方式。

代理方式根据代理服务器和路由器 / 软路由的硬件条件，以及你的需求而定，多种代理方式可以结合使用。

下面介绍几种常用的代理协议。

VPN

虚拟专用网络，没有什么引申义。

很容易被封锁，所以国外服务器请勿使用，国内服务器也有一定风险。

但是能够代理所有流量，最干净利落，而且对服务器负担较小。

Shadowsocks/R

Shadowsocks对服务器和路由器的负担也较小。如果你使用的路由器拥有不高于MT7621A的CPU或不高于128M的RAM，建议使用Shadowsocks。

Vless+gRPC

所有Vless不带加密，更建议购买域名设置证书之后设置TLS加密使用。

原则上不建议任何性能不高于上面提到配置的路由器使用，虽然评论区也有大佬成功。

该协议延迟较低，而最大带宽不及下面的Vless+TCP(XTLS)。

Vless+TCP(XTLS)

相比于上面的gRPC方案，能跑出更高的速度，但延迟稍高。

根据XTLS协议作者RPRX的说法，如果你使用国外VPS访问国内网站，很容易被侦测。所以 尽量仅在国内服务器上使用XTLS。

Vmess+WebSocket

这个自己研究吧，因为能套Cloudflare CDN所以受到一些人的欢迎。

Wireguard

建议搭配Tailscale使用，详见下文。

配置代理服务器

配置代理服务器主要就是配置服务端软件。代理服务器分两种，一种是云主机VPS，一种是你自己的硬件。二选一即可。

云主机

国内的云主机延迟较低，但通常限制流量和网速，比较贵；而境外（包括香港等直连境外互联网的地区）的云主机一般流量限制很宽松，带宽很充裕，还带有你懂的功能，但延迟可能很高。系统建议选择各类Linux，配置不用太高，单核1G内存够用。一定要选择带IPv6的方案，尽量也带上IPv4（以访问部分落后的网站…… 包括本站）。

下面将以几个主机商为例，介绍一些与代理服务器有关的概况。

关于地域选择的重要提示

不建议 任何人 在 任何情况下 使用境外（国外、港澳台）机器代理访问境内网络，此处即使用境外主机达成免流的行为。据Xray开发者RPRX称，作为代理用途访问境内网站的境外服务器 很容易遭到识别与封禁（即被墙）。
如果有访问被封锁网站的特殊需求，建议使用境内服务器作为第一道中转，并配置分流规则，将境外流量转发至境外主机代理。

Vultr

Vultr是国外的服务商，有美国、英国、韩国、日本、新加坡、墨西哥等地的服务器，而且配置较简单，不需要太关注虚拟硬盘、IP地址的分配。支持支付宝。

实测亚特兰大、洛杉矶、硅谷、西雅图、伦敦的线路并不是CN2线路（一种延迟较低的线路），英国线路延迟200ms左右，美国线路大多200-300ms左右。

每月5美元的服务器包含单核CPU、1G RAM、25G SSD、每月1T流量，带宽大约600-1000Mbps。可以在创建时选择附带IPv6。

华为云

华为云可以选择按流量计费或按带宽计费。如果按流量计费，带宽上限300Mbps（可自行设置），0.8元 / G；如果按带宽计费，10Mbps就要500元一个月。比校园网还贵，所以说免流只是玩玩而已。

华为云的弹性公网IP可以开启IPv6转换，它的作用是以类似NAT的方式，将流入的所有v6流量在服务端转发到v4上，所以也可以达到免流目的，而且不需要特殊操作。

SSH连接主机，可以直接在命令行输入ssh用户名 @服务器地址，然后输入服务器的root密码，即可操控服务器；传输文件建议使用WinSCP。更详细的操作建议自行网上搜索教程。

对于Shadowsocks协议，建议使用 shadowsocks-rust，也可使用V2ray-core或者Xray-core。

对于Vless/Vmess，建议使用 Xray-core 做服务端软件（使用文档）。

对于Tailscale+Wireguard，可以看 “自有硬件” 部分。

如果你嫌手撸配置文件太麻烦，而不需要在服务器搭建其他东西，可以在网络上搜索一键脚本安装；对Vless/Vmess，还可以使用 x-ui 来简化操作，提供了较高的自由度和简化的GUI界面。

端口号建议随意填写，但如果你后面选择手动导入配置而不是导入protocol:// 链接，一定要确保参数的前后一致。

然后使用各服务端的链接导出功能导出服务器链接配置，先将其导入手机或电脑上的客户端测试连接。

客户端方面，如果你使用Vless/Vmess，Android端推荐 v2rayNG 或AnXray，iOS/iPadOS端推荐Shadowrocket（国区没有）和QuantumIt X（国区也没有，又叫圈X，复杂），Windows可以使用v2rayN；对Shadowsocks/R，Windows端可以用ShadowsocksR（兼容SS/SSR）、v2rayN和Shadowsocks（只有SS），Android和iOS同上。注意按照服务端对应安装客户端。

导入链接后，设定全局代理，启动服务器连接，使用 IPv6 测试 (test-ipv6.com) 检查IP地址是否改变，如果你的代理服务器在境外还可以打开Google检查。如果正常，确保客户端机器有IPv6环境的情况下（可以使用上面的网站确定，移动数据网络一般都有），将客户端中服务器配置的地址栏换成IPv6地址，再次连接测试。

自有硬件

使用自己的硬件有两种方法。一条路是使用Tailscale实现点对点连接。个人没有实测过，但这是配置最简单的一种方法。

方法很简单，打开 https://tailscale.com/，它就会给你安装指引。

而另一条路，就是使用自己的硬件搭建代理服务器。这条路虽然也不用租云主机，但难度很大，还不一定能省钱，首先当然要确定你自己家里之类地方的网络环境有IPv6。

个人推荐使用能够刷入第三方固件的路由器，它们常带有SSR或v2ray服务端，开启后能够直接连接，不需要做端口转发。如下图为路由器Padavan系统的SSR服务端界面。如果没有的话，也可以使用Linux系统的X86 PC机，性能更强。如果用旧手机、树莓派等ARM设备，配置将会非常麻烦，不建议使用。

电脑作为服务端的配置方法其实和上面的大同小异，而路由器端可能更加简单，使用自带的服务端程序解决。

IPv6一般会是公网地址（即只属于你），但考虑到可能会动态分配，最好买一个域名，搞一个DDNS，动态解析域名到你的服务端。

配置完成后，参照云主机部分的测试方式进行连接测试。

机场

机场的线路一般用于你懂的用途，但如果有IPv6的话，也可以选择。不过请注意监管风险。

机场可能会给Clash订阅链接，关于Clash的使用请自行搜索，与上面提到的有些许不同。

如果上面的步骤都成功的话，你实际上就可以进行一定程度上的免流了。电脑连接上校园网，打开上面所说的客户端，选择全局代理（或者配合Proxifier实现更完全的代理），即可绕过计费。可以下载一个大文件试试是否没有记流量。Android设备需要一定的操作来伪装成电脑的MAC地址以获得IPv6地址，而iPhone或者iPad用户由于Apple的限制，并不能搞定，还需要看下一部分。

配置路由器

这部分的目的，是在宿舍内构建一个完全走代理的网络，还可以让不能走验证的设备（如智能家居）连上网，以及建设一个可以相互通信的局域网环境。

我使用的路由器是小米AC2100，刷入Padavan固件，以下都以此为例。如果不确定哪些路由器适合你，可以直接选择恩山无线论坛上热门的路由器，它们的第三方固件较多，选择余地较大。

后面对路由器做的所有更改，都要点击离选项下方最近的那个“应用本页面设置”才能生效。

刷入第三方固件

官方固件当然不会拥有SSR这类功能，也没有我们迫切需要的无线桥接功能。

如果你也选择了这款路由器，或是换壳型号红米AC2100，可以参考一下红米 (小米) AC2100 无需 Telnet 刷入 Breed 和 Padavan 固件教程。Breed方便刷固件翻车时恢复，也为我们提供了改MAC的功能；而Padavan则有大量我们需要或不需要的扩展功能，甚至还可以增强信号的稳定性。

连接无线桥接

宿舍里没有连至校园网的网口，所以我们需要使用无线桥接功能，将路由器作为一个设备连接至校园网AP。在路由器管理后台连接页面打开 “无线桥接”，按照如下的方式配置，点击应用本页面设置，然后回到网络地图 - 外部网络状态，就可以检查路由器是否连接到了校园网，这一步一般没问题。用手机连上路由器网络，过一下校园网验证确认能够使用。这时可以访问上面提到的IPv6测试网站，如果你碰巧有了IPv6，恭喜你，下一步可以跳过了。

需要注意，2.4GHz现在先不开，也不要配置宽带连接之类的其他东西。

获取IPv6地址

这一步非常繁琐，但却是至关重要的一步。

打开”高级设置 - 外部网络 - IPv6设置 “，如图调整各选项。其中DNSv6没必要非得按这个来，可以自行寻找DNSv6服务器。” 获取IPv6外网地址 “一定要选” 从两端“。

然后到高级设置 - 系统管理 - 服务，打开 “启用NAPT66” 然后重启路由器。

断开路由器电源，用网线连接LAN口和电脑，按住重置键，接通电源，直到路由器指示灯闪烁，松开重置键。在电脑地址栏输入192.168.1.1进入Breed恢复控制台，点进MAC地址修改，将所有MAC地址均换为某一电脑厂商对应前缀的MAC地址（一般属于CLEVO的前缀，即0090F5比较保险，CLEVO是神舟电脑的代工厂；你可以使用我写的 MAC 地址生成器，须自备Python环境）。保存，重启路由器。

将你的设备连上路由器，测试一下IPv6连接状况（尤其是非电脑设备），现在你的路由器应该已经伪装成了一台电脑，可以获取校园网IPv6了。

连接代理服务器

这一部分要和你之前 “配置代理服务器” 部分的内容相匹配。

Padavan固件

SSR：使用扩展功能 - Shadowsocks，工作模式选择全局代理，其余根据你的服务器配置填写。

其他：使用扩展功能 - 搭建网络环境 - V2ray。透明代理可以不开这里的，使用广告屏蔽功能 - transocks的透明代理程序，工作模式也要选全局。

OpenWrt

可以使用PassWall程序，需要手动开启IPv6路由（小心开了上不了网）。

到这里，校园网免流基本就能达成了。Enjoy it!

参考文献：

校园网路由器后设备使用 ipv6 经验分享 – 知乎
h 大老毛子 ipv6 的 wan 口地址获取不到 – 恩山无线论坛

另外也可以尝试 “53端口免流”，通过DNS的端口代理，一般来说DNS查询不会被封禁。

用 FRP 内网穿透，随时随地远程连接

Thu, 01 Jul 2021 00:00:00 +0000

谁都不想天天带着厚重的游戏本出去，更何况某些高性能的服务器或者台式机等设备根本带不出去，于是有了远程桌面和SSH之类功能，前者在远程设备中连接另一台Windows电脑的桌面，后者则访问另一台电脑的终端命令行。

但是，中国的网络环境大家都懂的，大部分电脑都没有公网IP，对于既有移动需求又有远程桌面需求的电脑来说，IP也时常会变换。能不能有一个有固定公网IP的云主机，来作为中转，将流量转到被连接的主机上呢？

于是我们有了FRP。FRP可以进行内网穿透，具体来讲，就是我们上面所说的事情。

fatedier/frp

FRP由两部分组成，分别是服务端和客户端，前者是有公网IP的那台机器，后者是由于各种原因需要被穿透的那台机器。

在看下面的内容之前，建议先了解一下端口号的概念。

搭建FRP服务端

我们需要一台有固定公网IP的机器来搭建FRP，常为云主机。建议选择中国大陆网络连接比较顺畅的服务器，以保证较低的延迟。

首先从 FRP release 页面下载适合你服务端机器的包，一般是amd64，Linux还是Windows依你服务器端的系统决定。解压，然后将它传到你的服务器上；如果你对命令行足够熟悉，也可以直接用 wget 命令在服务器上下载解压。

然后，进入FRP的路径，修改frps.ini，基础的结构如下：

ini

[common]
bind_port = xxxx # 服务端与客户端之间通信所用的端口
dashboard_port = xxxx # 网页控制台的端口号，你没有域名的话可以使用 “服务器 ip: 这个端口号” 来访问控制台
token = xxxxx # 客户端连接到服务端的密码
dashboard_user = xxxx # 网页控制台的用户名
dashboard_pwd = xxxx # 网页控制台的密码
vhost_http_port = xxxx # HTTP 协议端口
vhost_https_port = xxxx # HTTPS 协议端口

server_port是服务端与客户端通信使用的端口，而下一部分提到的remote_port是外界连接至服务端的哪个端口，相当于连接到客户端的local_port。

按需设置即可，注意端口不要冲突了。这些数字可能都会用到，也别忘了。完成之后，输入命令 ./frps -s frps.ini 来启动服务端。推荐使用nohup命令来实现后台运行：nohup ./frps -s frps.ini $。不会有人用Windows Server吧？

搭建完成之后，访问 “你的服务器IP: 控制台端口号” 来访问网页控制台，并用先前设置的控制台用户名和密码登录，这里你就可以看到你的FRP服务器信息了。

此外，你也可以使用 Sakura Frp，它是预先搭建好的一系列FRP服务器，你可以免费使用，但它的带宽等有一定的限制，如果想追求更好的体验，最好还是自行使用国内的服务器搭建。

搭建FRP客户端

由客户端决定要和FRP服务端建立几个连接，各个连接分别转发哪个端口，以及应该如何转发。

在将任何东西暴露于公网之前，我建议：

做好适当的防护措施，防止攻击；
先在局域网下测试连接通过，排除客户端本身设置问题造成的麻烦。

仍然是从上面的release页面下载对应于你客户端机器系统的压缩包，客户端和服务端是同包的。解压之后编辑frpc.ini，基本结构如下：

ini

[common]
server_addr = xxx # 你服务端的地址，可以用域名或者 IP 地址，这里不加端口号。
server_port = xxx # 服务端与客户端通信所用的端口号
token = xxx # 客户端连接到服务端的密码

[xxx] # 这一套配置文件的名称，可以自定义，一套配置文件建立一个连接，一个 ini 可以有多套
type = tcp # 通信所用的协议，支持 TCP、UDP、HTTP、HTTPS 等协议的转发，要与实际通信协议配套
local_ip = 127.0.0.1 # 本地需要暴露到互联网上的 IP 地址，理论上也可以是同一个局域网的，本机的话就是 127.0.0.1 或者 localhost
local_port = xxx # 本地需要暴露到互联网上的端口号
remote_port = xxx # 服务端可以将什么端口映射为你本地的端口
use_compression = xxx # 是否启用压缩，值为 true 或者 false，启用则占用两边 CPU 资源
use_encryption = xxx # 是否加密，同上

更详细的配置可以参考文末附录的官方文档。然后输入命令 ./frpc -c frpc.ini，就可以启动客户端服务了。

你可以打开上述的服务端网页控制台，来检查一下连接是否成功。

Windows系统的特别提示

鉴于很多人使用的是Windows系统，这里特别提醒一下：需要使用cmd或者PowerShell等终端来启动，不能直接双击frpc.exe，并且命令窗口关闭之后就会停止运行。

那么怎么去除碍眼的命令行，还让它一直后台运行呢？少数派的文章中提出，可以写一个batch脚本，来实现这个效果：

bat

@echo off
if "%1" == "h" goto begin
mshta vbscript:createobject("wscript.shell").run("""%~nx0""h",0)(window.close)&&exit
:begin
cd X:\xxx rem 这个路径改为 frpc.exe 的位置
frpc -c frpc.ini
exit

如果你没有Visual Studio Code等代码编辑器，你也可以将这段内容复制到记事本里，另存为一个文本文档，然后将文件扩展名改成. bat，是一样的效果。

现在，双击这个bat文件，就可以启动后台服务了；在任务管理器中找到frpc.exe，结束它，就能将它关闭。你还可以使用 “计划任务” 功能实现FRP的开机启动。至于Linux用户，这些步骤大同小异，请参考上一节的nohup命令。

远程连接WSL 2子系统

正如我开头提到的，相信很多人都拥有高性能但不太好移动的计算机，而为了方便日常生产生活，这台计算机常装有Windows系统。有些工作实在是没必要用远程桌面完成，只需要SSH连接终端就可以了，这时使用SSH连接WSL子系统内的Linux bash终端，就可以随时轻易利用强大的算力了。下面以Windows 10 21H1上的Ubuntu 20.04.2 LTS为例。

需要特别注意的是，WSL2系统本身是并不能直接SSH连接的。要解决这个问题，首先要重装一个 “正常的”OpenSSH”：

bash

1
2

sudo apt-get remove openssh-server
sudo apt-get install openssh-server

然后还需要编辑一下sshd_config文件，使其允许使用密码接入SSH，当然如果你能够把所有设备的公钥全都加进去，倒也可以不用用户名和密码…… 毕竟这是要暴露到公网上的东西，我甚至更推荐使用RSA公钥验证。

如果你需要密码登录，则用sudo提权后使用文本编辑器编辑 /etc/ssh/sshd_config 文件。我这里推荐使用Visual Studio Code（前面加code或者code-insiders，需要Windows宿主系统上装有vscode），或者GNU Nano（前面加nano），当然如果你是大佬也可以用Vim之类的工具。打开之后，将PasswordAuthentication后面的no改为yes即可。

然后下载Linux AMD64版本的FRP包，修改frpc.ini如下：

ini

[common] # 这个和上面同理
server_addr = xxx
server_port = xxx
token = xxx

[WSL_ssh] # 这个名称可以自定义
type = tcp # SSH 协议建立在 TCP 的基础上，所以填 TCP
local_ip = 127.0.0.1
local_port = 22 # 本地 SSH 端口默认为 22，当然你可以改，也建议改一下，记得同步修改 SSH 配置
remote_port = xxxx # 服务端映射的端口

运行服务，你就可以远程连接到WSL 2了，注意端口号的变化。使用命令 ssh -oPort=remote_port user@server_addr 来连接客户端的SSH。

ref.

使用 frp 进行内网穿透 - 少数派 (sspai.com)

文档 | frp (gofrp.org)

使用 ssh 工具连接到 ubuntu on windows（wsl） - 简书 (jianshu.com)

Windows 11 21996 泄露版本体验

Wed, 16 Jun 2021 00:00:00 +0000

6月15日晚间，疑似百度贴吧一个人放出了自称为Windows 11的截图，然后今早一觉醒来竟然出现了Dev版本的ISO镜像。当然是直接装进虚拟机啊。

提醒：此Windows内部版本仅作尝鲜之用，不建议日用，更不建议长期使用！ 使用时建议退出Microsoft账号，防止可能存在的追查！

下面所指的Windows 10，指的都是build 19043。

安装引导

从ISO启动画面仍然是从Windows Vista沿用至今的画面，值得注意的是这次安装时没有中文可选，而且安装速度似乎得到了大幅提升。

但是此后，安装引导画面就焕然一新了。

首先映入眼帘的…… 是一个方形的Windows logo。

这个logo很明显已经经过了Fluent Design重新设计，因而具有了一丢丢光影效果，但这未免也太像巨硬四色logo了吧？

然后是开机引导OOBE环节，灵动的Fluent Design取代了以前的大色块，看起来更加的活泼。

最后则是传统的坐和放宽环节，这次的背景不再是满屏渐变颜色，取而代之的是灯光一样的光效。这里的速度似乎也比之前快了不少，确实只有a few minutes。

外观交互

Windows 11最直观的改变应该就是外观的体验了。这次的外观改进，是近几年来最彻底的一次，将日常使用的地方基本都Fluent化了，即使没啥好改的也改了改，起码让你感受到它改了。

桌面、任务栏与通知中心

任务栏基本重做，更加的果里果气（划掉）最近任务居中了，而开始、搜索和最近任务则换了个图标继续出现。值得注意的是，这次新增了Widgets（小部件）按钮，这个东西后面讲。

任务栏中间的开始、搜索、最近任务和小部件在点击的时候都会出现图标动态动画，而所有图标在点击打开时都会出现一个先缩小再放大的按压动画，最小化时则会向下弹一小段距离再弹回，终于也有了视觉反馈。

打开新程序时，任务栏上左边的图标都会不同步地往左移，然后新打开窗口的图标出现一个下落的动画。

在任务栏上右键，现在只会出现任务栏设置，不会出现Windows 10中的繁多选项。而这些设置，必须在Windows徽标上右键，才可以触发；这就是以前Win+X触发的菜单。这里，以前选项名后面所带的字母似乎已经消失，因此我们也不能再使用键盘快捷键打开里面的选项。

Win+X的右键菜单加入了高斯模糊效果，但似乎并不是所有地方都有…… 或者说，我并没有发现第二个地方有高斯模糊。

它的深色模式适配似乎更漂亮。

任务栏中的窗口是否打开，现在也可由图标下方的短线长短和颜色来区分。

还有一个非常小的细节：任务栏的日历窗口，时间使用了新的字体。

话说，默认的桌面壁纸似乎还挺好看？

桌面其实并没有什么大改，如果硬要说有改动，就是桌面右键菜单有了圆角。

通知中心…… 也加了圆角。还有新绘制的简笔画Fluent图标。别的似乎并没有什么大改动？好吧，换图标本来就是对微软来说的大改动。

窗口

新版的窗口加入了大量的圆角元素（是的，又是圆角），还增加了文件夹按钮之间的间距，这使得触摸操作误触的可能性更加小了。

窗口的开关，过渡动画相比Windows 10更加流畅舒服。从任务栏的呼出和最小化，将淡入淡出的效果基本隐去，从而更好地表现出窗体运动的轨迹；而关闭窗口操作，将淡出效果的持续时间变长，动画更加明显。实际上说白了还是以前那套动画效果，但现在这么一微调看起来就是舒适多了。

字体渲染似乎也迎来了一定的改进，可以对比一下下文中cinebench的截图中的英文文字。

系统默认的许多控件重做，按钮、复选框等控件更加果里果气，而滚动条…… 这又是从哪儿来的创意啊喂！

以及…… 还是没对齐。

开始菜单

先亮明观点：我不喜欢新版开始菜单。

旧的磁贴多么漂亮实用，微软咔一下，手起刀落，直接砍掉，变成了毫无特色的图标栏。

“所有应用” 页面的效率也限制为一列，在大屏上的效率简直低到令人发指。

Pinned和Recommended分别是固定在开始菜单的图标和提供的应用建议。相比Windows 10最大可扩展至整屏的开始屏幕，Windows 11的小不点开始菜单明显更加局促；一页可放置的图标变少，图标大小不可变，也使得人们不能像以前一样根据使用频率，来调整磁贴的大小，使它们更显眼；能够将图标充满整个磁贴，从而使用突出的主题色先大致确定图标位置的优势，也一去不复返了。关于如何自定义磁贴，你可以参考我写的这篇文章。

新版Windows搜索，我觉得则没那么容易评价。如果你从开始菜单通过直接输入关键字召唤它，它经常会丢掉开始的几个字符，比如我直接在开始菜单输入Windows 11，转为搜索后就吞掉了最前面的2个字母，而在Windows 10上，这个问题是不存在的。

不过界面似乎有所改观，这个我觉得可以给好评。

图标

别看我只写了这么几个字，图标在我看来却是Windows 11最震撼人心的更新，对，就是最震撼人心的。因为我在以前，从来没有见过微软在换了整体设计风格之后，图标能够立刻跟上更换；甚至对于Office，换Fluent风格图标已经是大更新了。

从前面的几节中，你大概已经初见端倪，文件夹图标已经焕然一新。这次基本将所有地方都Fluent化，提供了比较一致的视觉体验。

新功能

小部件（Widgets）

点击Widget按钮，左边弹出一个Microsoft Timeline栏，里面显示了一些新闻Feed流，和本地天气等信息，比较像Windows 10近些天更新的任务栏右下角资讯功能。

我比较怂，把微软账号给退了，所以就不能使用小部件功能了，也就莫得截图了。

Windows Terminal与开发

Windows 11这次终于将Windows Terminal内置进系统，在各级目录右键即可打开，对开发的友好程度大幅提升。当然，指望微软把Visual Studio Code整合进去就不太现实了……

这里的字体渲染似乎也有所不同，当然也可能又是中英文的原因。

但令人匪夷所思的是，它自带的仍然是旧版PowerShell，版本5.1.21996.1，而截至此时PowerShell 7.1.3也已发布。当然我不太懂也没法怎么说。

Power Automate

Power Automate 似乎是微软的低代码效率工作解决方案。低代码这个概念炒得挺火的，能够让没有编程基础的人也能更有效率地完成工作，虽然本质上也是编写类似于程序的东西。这次，微软直接将它内置进了系统。我也不会用，我就不过多介绍了，不过我觉得这个是比较有生产力的一个东西。

性能

我也没有什么好的性能测试项目，只跑了一个Cinebench R23，结果似乎并不是很令人满意。

我分配了4G内存、16个线程，而同样配置的Win10虚拟机可以达到8113分。当然，这是在虚拟机环境下的测试结果；由于VMware Workstation并未适配Windows 11，测试结果也有可能不准确。

据其他媒体的测试，Windows 11下对于大小核处理器的支持似乎更加优秀，或许也是为了新款Intel处理器所做的准备。

一些缺憾

各种风格共存的界面

Windows 11还是有一些十分令人迷惑的东西，比如，切换本地账户和微软账户的UI仍然是割裂的，一股Metro（Windows 8）风。

其实类似的UI割裂感仍然存在于一些地方。下面这张图真的看得我血压上来了……

不知道多少年代多少风格的杂糅

记事本：UWP化了，但没全UWP化

还有十分诡异的Windows记事本，我甚至不知道它是UWP程序还是桌面程序。

C:/Windows/notepad.exe的图标，仍然是Windows 7风格，但打开它，状态栏等图标却是Fluent的。从Windows任务管理器中打开文件位置，发现它竟然指向一个UWP应用。

刚刚那个 / Windows文件夹中的记事本有340K，相比Windows 10的197K，不知道加了什么东西…… 不过可以肯定的是，它现在只是一个UWP应用的跳板。

总结

需要重申的是，这一版Windows 11是早期内部开发版本，甚至都没有进Dev通道推送给Windows Insiders用户，所以在这个版本的Windows 11中，不可避免地会出现半成品的痕迹，我们并不应该因此来否定整个Windows 11。

这一版Windows 11，可以看出微软正在下决心让自己有数十年历史的系统更加现代化，至少在外观方面，Windows 11做得比过去数年都更有诚意得多。而现代系统所缺少的小功能，尤其是老对手macOS，和移动端OS如HarmonyOS 2.0以及MIUI等所具有的，Windows一样没有，比如自动深色模式和全局深色模式、完善的高DPI缩放和更好的字体渲染、屏幕时间管理（数字健康）、可遍及几乎所有应用的权限管理（只有Windows Store应用支持部分权限，即使如此桌面应用也只能一起控制开关），还有内置的屏幕色彩管理等等。

当Windows部门（哦，现在好像合到Azure部门了）沉浸于换UI、砍功能、写bug、改名字带来的成就感时，其他操作系统开发商则一直在努力加强人性化，在UI方面也并未落下。希望这次微软的改变只是一个开始。

微软曾承诺会建设新的Microsoft Store，这无疑有利于Windows应用生态的收紧，不过我仍然怀疑微软能不能让腾讯、Facebook这样的巨头低头，规规矩矩地存在它该在的目录，干它该干的事。

我觉得，Windows也许仍然有未来，但这个版本的Windows 11，显然不够未来。

最后放一个微软在四年前畅想的Fluent Design宣传片。

当代大学生如何愉快地刷网课？

Thu, 27 May 2021 00:00:00 +0000

如今的大学生应该都懂刷课的痛吧，不知道什么时候出现了一堆莫名其妙的网课，正常看都不一定能有时间看完，但这网课又偏偏占平时分，咸鱼需要它及格，卷王需要它刷绩点，所以基本是人人都需要刷网课。

目前看来，刷网课的方式主要有Tampermonkey脚本、Python脚本、Chrome插件等，效率和实现方式各不相同。下面以各个网站为例，讲讲我推荐的几种刷课方式。特定的方式不一定只适用于特定的网站，有很多通用的方法可以都试一下。

不过这种选题，啥时候没了也说不定，且看且珍惜吧。

知到 / 智慧树 - Tampermonkey

对于这个网课，我一般使用Tampermonkey脚本。

Tampermonkey，俗称油猴，是各大主流浏览器上的一个脚本管理器扩展，对Google Chrome、Firefox、Microsoft Edge Chromium、Microsoft Edge Legacy（EdgeHTML）和Safari都有支持，可以在Chrome Web Store等官方应用店下载，各大国产Chromium内核浏览器也可以使用提取的crx文件来安装扩展。它的原理大致是在特定的网页上加载JavaScript，从而实现网页原本不具有的功能。如果觉得它好用，也不妨给它捐助。你也可以使用Violentmonkey和AdGuard等类似的能加载脚本的插件。

安装之后，点击Tampermonkey图标，可以使用 “新建脚本” 来自己写一个脚本，或者在此处粘贴你从GitHub等地获取的脚本，或者使用 “获取脚本” 来从网上直接下载脚本。我建议从 Greasy Fork 搜索到你需要的脚本，比如直接搜索 “知到” 就可以找到适用于它的脚本，然后点击 “安装此脚本” 即可安装在Tampermonkey中。大部分脚本都遵循一定的开源协议，这意味着你可以随意使用或者修改它的源代码。脚本是只在特定的网站中有效的，Tampermonkey右下角标的数字，就是在这个页面启用的脚本数。点击它，可以控制适用于该页面脚本的开关。

我使用的插件能够实现播完自动切换课程，自动1.5倍速，自动静音播放，还可以打开考试之后自动搜题（可以用来赶作业，不过正确率实在变态所以慎用）。值得注意的是，它还有模拟点击延迟的功能，以模拟真正的人工操作。这是它的 Greasy Fork 链接。

微伴安全微课 - Python + Tampermonkey

这似乎是我们每个暑假都必有的网课。它包含大量的JavaScript等元素组成的互动式页面（而不是单纯的视频）。但是它的部分课程有一个弱点：浏览器可以直接发送完成请求，来完成某个课程。所以，对于这部分，我使用Python脚本，直接获取课程列表并发送完成请求，就可以以极快的速度刷完了。

我这里所说的Python脚本，指的是通过urllib库完成的操作，将自己伪装成一个浏览器，可以跳过某些步骤而直接进行我们想要的操作，因而效率一般非常高。比如这个地方，我们就可以跳过网课的浏览阶段，在获取课程列表、种类列表、课时列表之后，可以得到每个课时的ID，然后将它填进一个JSON文件，将它用一个POST请求发送给完成网课对应的地址，于是服务器就以为我们完成了网课。写过爬虫的应该都明白。还有通过Selenium，操纵一个真正的浏览器完成操作的方式，在此不表（因为我根本不会）。

当然，不明白也没关系，因为我已经fork了一份别人的代码，做了一些改进，应该可以用了，地址在这里。经过实测，大概能在五分钟内刷完200 + 节网课。具体使用方法请参照它的GitHub页面和应用内指引。

刚刚我们提到只有部分课程有此弱点，那其他的课程呢？我摸索了一个下午，由于水平太菜，愣是没有找到它的规律。不过还有一个Tampermonkey插件，它也可以刷这个网课。点击这里转到 Greasy Fork 页面。它的基本原理也是尝试直接发送完成请求，但是对于不能这么办的课时，你打开后，它会尝试点击屏幕上的按钮，直到提示完成。效率有点低，但是毕竟不用全程都手动点了对吧。

另外，《新大学英语视听说课程》配套平台 “iSmart” 也可以使用Python脚本刷课。离谱的是，它的答案会传到本地，然后在本地验证正误。可以使用 Mufanc/iSmartAuto2 搭配iSmart客户端的调试模式刷课，该工具还会自动生成学习时间。考虑到这个系统似乎是外包给天学网的，不知道天学网的课程是否能使用相似方法刷。

雨课堂（试题） - 浏览器插件

这里我隆重推荐一款网页端的搜题软件，“划词搜题”，它能搜出绝大部分题目。

只需要选中你需要搜的题的题干，插件会自动弹出搜题按钮。点击那个按钮，它就会为你找到对应的题目。

美中不足的是没有解析，毕竟很多时候搜题只是为了想学点知识。

中国大学MOOC - 手机 “息屏听剧” 功能或Android模拟器

有一些网课平台的课程，在电脑端需要手动切换课时或者点击播放，而在手机端却可以连续播放。我们利用这一特性，使用手机实现连续听课；考虑到锁屏后容易中断的特性，可以使用机型自带的 “息屏听剧” 等功能，让锁屏时也不停止播放。

你也可以使用电脑端的Android模拟器，如各种手游模拟器，运行网课应用，就相当于有一部手机在挂网课了。

We Learn随行课堂 - 直接看源代码

写在最后面是因为这个完全没有技术含量。页面加载后，答案就会直接显示在浏览器DevTools的 “元素” 页面。这证明答案是直接传到本地，然后在本地完成验证的，而且还选了一种十分拙劣的方式。怎么说呢，感觉这个是故意而为之……

对于Chromium内核浏览器，在We Learn学习页面打开Dev Tools（Firefox请自行探索），即可在 “元素” 选项卡找到答案。

写在最后

使用任何刷课插件都是有风险的，如果老师或者平台愿意查，应该都能查出来，尤其是一秒钟好几节课那种脚本。对于参照本文而产生的任何后果，作者概不负责。

请认真对待线上考试等严肃场景！只有要求看但实际上也许并不是这么有效的课程，我才推荐使用如此的特殊方法刷课。

对于大部分网站，Tampermonkey都有脚本支持，但很多年久失修的脚本容易失效，敬请注意。也可以在GitHub搜索网站名，也可能有人会做刷课脚本。

自定义 Windows 10 开始菜单磁贴

Sat, 01 May 2021 00:00:00 +0000

众所周知，Windows会为桌面应用程序（即不是从Microsoft Store安装的应用）自动生成磁贴，一般像是这样子。

Steam默认生成的磁贴

系统会自动使用快捷方式对应exe的图标，将其安放在磁贴中央一块小区域内，然后在左下角加上快捷方式名称。无疑这是十分丑陋的，左下方的label暂且不说，图标占据了太小的空间，不能一眼就看到，而磁贴的底色也不能随着应用改变，只能是一成不变的灰白色或者灰黑色。

还能怎么办？当然自己画磁贴，让它看起来更舒服一点了！

需要用到的工具：MyTile（也叫Win10Tile）、IconExplorer、Photoshop（推荐使用，画图倒也行）。这些工具都可以在网上下载到，我放出了前两款的官网链接。

据说还有一个方案是使用Better StartMenu，但这个App需要后台进程运行，可能占用资源，在此略去不表；而我们所说的方案，不需要后台进程，但是应用更新后需要重新设置。

Step 1：找到应用路径

桌面应用在开始菜单的磁贴，本质上还是它在开始菜单中的快捷方式。所以，要修改磁贴图标，就要从它所对应的快捷方式入手。

在上面的文本框中输入程序名称，就可以搜索开始菜单中符合条件的快捷方式。在下面选择想更改的快捷方式，在Application Target中就可以找到这个快捷方式（也就是某个磁贴）所指向的应用程序路径。

如果你已经有了做好的图标，你可以直接跳到最后一步；如果没有，那么需要一步一步往下走。

Step 2：提取图标

将exe文件之前的那一段复制下来，粘贴到Icon Explorer左上角的地址栏中，按回车，如上图就是 “C:\Program Files\Adobe\Adobe Photoshop CS6 (64-bit)”。

然后选择对应的exe文件，就可以看到exe文件里包含的图标。

如果地址在C盘且含有 “ProgramData” 目录，那么需要将其粘贴到资源管理器的地址栏，将对应的exe文件复制一份出来，然后再Icon Explorer地址栏中找到你刚刚拷出来的目录。Icon Explorer对原地址没有访问权限，所以并不能直接读取。

Icon Explorer主界面，来自mitec.cz

在右边的图标列表里，选择最大的那个，最好选择下方有标注PNG的，方便之后编辑。大部分应用应该都能提供32位、256*256的PNG图标。然后将它保存到你能找到的位置。

如果只有ico，你也可以save as png，但是保存下来的图片可能失真，这时候你需要保存ico，用画图打开，再另存为png格式。

Step 3：修改图标

我们提取出来的图标大部分奇形怪状，少数规则的也不能适应方磁贴的需要。这时候就需要修改图标。

对于大部分图标，可以直接加底色，比如BitComet、金山文档、Python和VLC Player。我一般选取整个图标最深的颜色，然后再将其加深一点，作为底色。

而对于Office系列图标这些周围有阴影的图标，很难使用油漆桶工具涂色。我建议使用PS选择图标区域，用刚刚的办法选取底色，然后反选、填充。近看可能不太完美，但是离远一点基本看不出来。

有一些图标带有渐变效果，可以在方形区域内重新绘制渐变，把原画面中的元素重新移到新渐变上去。比如Steam和GitHub Desktop。

有一些图标，用上面的方法并不能处理得十分完美，这时候需要自行便宜行事，比如TIM。我认为这样处理会比较好看。比如Epic Games Store、TIM、Photoshop和Premiere。

Step 4：更换图标

这一步最简单，在MyTile内找到你想更改的应用快捷方式，点击Select Image，选择你刚刚编辑的图标，然后点击Save。会自动帮你生成小尺寸图标。

现在，打开开始菜单，你就可以看到修改后的磁贴样式了。

谨以此文献给远去的Windows 10，和灵动的磁贴系统。

夜间的 Windows，可以更好用

Sat, 20 Mar 2021 00:00:00 +0000

对于Android与iOS用户来说，深色模式似乎已经是一个司空见惯的功能。苹果的强大号召力令各大应用开发商火速失陪了深色模式，而对于小米和魅族等手机的用户，优秀的系统反色算法使得日常使用的覆盖也没有什么问题。但是对于Windows这一个 “史前” 系统，深色模式并没有那么完善。相比移动端的敏捷，Windows早已落后了太多。

本文将介绍一些让Windows的深色模式更好用的方法，包括但不限于工具和tips。当然，即使这样也不能让Windows的深色模式体验令人完全满意。

WinDynamicDesktop | 晚上就该有晚上的壁纸

苹果设备中，有许多自带壁纸是带有深浅色模式两种版本的，能够完美融合进变暗的系统界面。小米MIUI超级壁纸 “几何” 也有跟随系统深色模式的功能，主要是底色能够跟随变换。

更酷的是，macOS从Mojave开始加入了一个特性叫做动态桌面（Dynamic Desktop）。这个功能可以根据一天中的不同时间，自动切换适合的壁纸，以匹配外界环境。也就是说，外面是白天，壁纸也是白天；外面是晚上，壁纸也是晚上。不过，实际上都是静态的壁纸在轮换23333。

现在，有一位大佬在Windows上实现了类似的功能，软件称为WinDynamicDesktop，可以在 GitHub 下载，也可以从 Microsoft Store 下载。它自带了macOS上的多款高质量动态桌面壁纸，如Mojave Desert、Catalina和Big Sur。这样，你的电脑在晚上就可以换上深色的壁纸，避免刺眼。

如果你的桌面比较干净，这些由苹果钦定的壁纸也具有非常高的观赏价值。每张壁纸取景的相对位置不变，变的只有晨昏，衔接流畅自然，景色也很美。

Windows Auto Dark Mode | 系统也要黑下来

移动端许多系统都支持日出日落自动切换深色模式，而Windows的所有深色模式设置，却只有一个选项。

于是就有了Windows Auto Dark Mode这款软件。我推荐从 GitHub 下载，或者你也可以利用WinGet命令下载（关于WinGet可以查看这篇文章，命令为 winget install "Auto Dark Mode"）。也可以使用Chocolatey或者Scoop下载，请参看GitHub页面。

它有丰富的Windows系统与应用深色模式设置，如下图：

它使用登录任务代替后台进程，如此就可以少留一个后台了，减少了内存占用，任务栏托盘也更加干净（当然，这么简单的一个小程序的确不应该占用一个托盘）。十分令人惊喜的是，它还支持Connected Standby等现代新特性。如果你不需要花里胡哨的动态壁纸，你也完全可以使用这款应用的” 壁纸 / 主题” 功能来设置切换壁纸。

Dark Reader | 白底网页闪瞎眼，赶紧反色保平安

Windows对网页端的依赖，比移动操作系统更大，但是只有GitHub等极少数网页适配了深色模式，也就是说，你打开的大部分网页，都能在晚上闪瞎你的眼。正巧，在Windows Auto Dark Mode中发现了一个 Dark Reader，能够强制网页反色，把大量的亮色块转换为暗色…… 有点像MIUI浏览器的逻辑？

Dark Reader是一款浏览器插件，支持基于Chromium的浏览器（Google Chrome、新版 Microsoft Edge）和 Mozilla Firefox。此外，它也支持 Thunderbird Mail，Mozilla的一款邮件客户端。其他基于Chromium的浏览器请自行访问上面两个地址来获取下载链接，可能兼容性不是非常好。

安装插件后自动弹出使用方法页面，在此不再赘述。值得一提的是，它也支持跟随系统的深色模式进行变换。

Twinkle Tray | 这些还不够暗？那就让屏幕暗下来

很多时候，光是把屏幕上的内容变成深色，在暗光下的观感仍然很差，原因是屏幕亮度太高，尤其是对于大部分LCD屏用户来说。

屏幕亮度的调节一直是Windows的老大难问题，除非你只用笔记本的内置屏幕，这样的话Windows通知中心下部的亮度条调节亮度会非常方便。但是，如果你是台式机用户，或者是外接屏幕的笔记本用户，难免需要调节外接显示器的亮度。Twinkle Tray就是这样一款应用，将调节亮度的快捷方式做进系统托盘。

它使用DDC/CI和WMI协议与显示器通信。大部分显示器与线缆都支持此功能，比如我的飞利浦245E1，但是微软还是没把它做进系统，匪夷所思。

它可以在 Microsoft Store 下载。另外，它的源代码开放在 GitHub 上。

警告：这款软件似乎并不完善。我使用这款软件之后，发现笔记本在不外接电源的时候流畅度大幅降低（卸载或关闭之后可以恢复），还有人出现了显示器亮度异常的问题。建议安装之前仔细考虑后果，安装后先设置恢复默认亮度快捷键再调整亮度，以免显示器亮度调节异常。

Windows 的包管理程序，WinGet 简单体验

Sun, 07 Mar 2021 00:00:00 +0000

各家操作系统都有自己的包管理器，能够使用统一的软件源为电脑获取应用。比如Debian的apt，macOS的Homebrew。Windows一直缺少一个广泛使用、功能完备的包管理器，Chocolatey和NuGet也并不是非常完善。终于微软发布了WinGet包管理器，也算是对开发社区更加友好的重要举措。

申请WinGet内测

在写这篇文章的时候，WinGet目前还处于公共预览版阶段，所以需要从 Windows 程序包管理器预览体验计划链接的问卷中填入你的微软账号邮箱。申请通过后会给你发一封邮件，然后你就可以在Microsoft Store中等待包管理器的更新了。但现在WinGet已经公测，也已经随Windows推送。

如果你不想使用Microsoft Store，你也可以在 GitHub Releases 下载单独的安装包，或者加入Windows Insider，直接体验测试版的Windows。

WinGet基本操作

WinGet兼容命令提示符，当然也兼容PowerShell。我使用PowerShell 7.1.1 + Windows Terminal来运行。

以下是winget命令的操作。

那就来实地操作一下，比如安装个TIM？

输入

powershell

`1`	`winget install TIM`

来安装TIM。winget会从腾讯的服务器下载最新的安装包，然后静默安装。

小彩蛋：命令后面加 –rainbow参数，进度条会变成彩虹色~

下载完成后会请求管理员权限，没啥问题，毕竟Linux装个软件还得输sudo不是。

后面的过程基本是静默安装，只弹出了一个 “TIM正在运行，是否关闭TIM” 的对话框。也没有任何的捆绑插件，十分纯净。

我又测试了安装华为浏览器，也是静默安装的。这里出现了一个问题：应用名 “Huawei Browser” 有空格，不能被正确识别。

但是可以使用包名代替：

这样就可以正常安装了。

值得注意的是，这个软件似乎是用户投放的，不属于官方。这个人好像还传了许多奇奇怪怪的软件……

关于软件源

Microsoft的初衷是建设一个对开发者更友好的包管理器，但正如你所见，对于一般人来说，WinGet似乎也挺合适。正如上面的测试，TIM这种日常软件也被包含在软件源中。而且绝佳的地方是它没有捆绑，可以免于安装整个全家桶的困扰。

可以使用winget search命令来搜索软件包。比如搜索xiaomi，出现了MIUI + 客户端。

当然，微软自家的应用当然不能落下（虽然不都是微软的应用）：

搜索Microsoft得到的结果（部分）

也有其他家的开发工具：

Sublime Text

Clang LLVM

Java运行时

如果你想打会游戏，甚至还有……

Steam

软件包管理器的默认软件源架设在Azure上，但软件源的代码GitHub上。如果你发现缺少你的应用，可以在这里提交Pull Request。也有很多爱好者自行上传的应用。未来也可能会出现第三方软件源。

winget.run 是更加友好的软件包查找器，似乎与PyPI有点相似？

一些缺陷

某些软件会出现安装失败的现象。比如上文提到的MIUI+，CLI中提示安装失败：

不光安装失败，还把我之前装的那个版本也整坏了……

而且目前对一些我们可能认为理所当然的东西支持还不稳定，甚至…… 卸载。它被划为了实验性功能。

参考文献

[1] 使用 winget 工具管理和安装应用程序 | Microsoft Docs

在 Windows 上用 vscode 进行 C++ 开发

Sun, 28 Feb 2021 00:00:00 +0000

本文写的内容已经过时。现在（2023年6月），建议选择的编译器是 llvm-mingw，并使用Clangd插件获取C/C++ 支持。mingw-w64较老，不建议使用。

时至今日，许多大学所使用的C++ IDE还是Dev-C++ 和VC++6.0等十分落后的软件，故作此文，以帮助各位使用更加方便易用的C++ 开发环境。

为什么要用vscode？

Visual Studio Code是微软出品的一个编辑器，界面美观、打开文件流畅。同时，它具有大量的插件，而大量的插件使它有极高的可扩展性，可用于几乎任何语言的开发，还可以打游戏、听音乐、看PDF。

作为微软的产品，当家功能IntelliSense必不可少。在你写代码时，它可以自动为你补全函数名、括号、变量名等字段，再也不用因太长的变量名敲起来麻烦而烦躁了。

同时，它还与WSL（Linux Windows子系统）高度兼容，在Windows环境内编程，在Linux环境下编译与调试。也可以通过SSH直连你的服务器，借用服务器的资源与性能。

另外，vscode是开源项目，这意味着你甚至可以将它移植，做一个自己的版本出来。

安装vscode

我使用的环境是一个虚拟机，8个AMD Zen 2线程、6.5G RAM、外置机械硬盘、Windows 10 x64 20H2 19042.508。理论上只有系统版本会影响一些步骤，但是20H2或者21H1版本所使用的步骤应该基本类似。

先在官方网站上点击 “Download for Windows” 按钮下载vscode安装包。

下载安装包之后安装，建议将如下图的 “添加到PATH” 选中。

vscode本体就安装完成了。

安装编译器

vscode毕竟只是个编辑器，说白了就是个高级的记事本，想要调试，必须配合插件和编译器。这里讲述如何安装编译器。

GCC/G++ 编译器是Linux平台上非常流行的C/C++ 编译器，但它与Windows不兼容，于是有人用它的源代码构建了各种Windows变种，功能同样丰富。

我这里使用mingw-w64，8.1.0版本，以与微软官方教程达到最大匹配。你也可以选择TDM-GCC，基于G++ 9.2，版本更新，但是请自行对照下面的部分修改你的安装路径。

在 SourceForge 下载MinGW-W64-install.exe。也可以下载x86_64-posix-seh包，然后手动按照下面所提到的安装路径解压。

下载之后打开，然后按照下图选择版本。

然后点击Next，程序会自动下载在线安装包。在某些网络环境下，下载可能很慢，所以建议留出充足的时间，或者挂VPN下载。

安装完成之后，打开PowerShell或者CMD，输入g++ -v并回车，检查是否正确显示了G++ 的版本。

（PS：推荐安装新版 PowerShell 和Windows Terminal，更美观，使用起来更有效率。当然，不装也没什么坏处）

如果出现下图中的情况，则还需要配置环境变量。

如果你的输出类似于下面那样，COLLECT_GCC的路径和gcc version也完全相同，那么可以直接跳过下一步。如果那两项不太一样，也请看下一步。

配置环境变量

先讲原理。如果我们要调用G++，按理说应该在PowerShell或者CMD中输入完整路径并运行。这样的输出是正确的。（注意语句后面有一个 - v，不太明显）

但每次打命令都需要输命令，那也太麻烦了。而Windows的PATH环境变量能够解决这个问题。加入PATH的目录中的程序使用时，可以将前面的目录省去，直接使用文件名。在调用时，会自动检索PATH文件夹，找到符合这个名字的文件夹并调用。将编译器加入环境变量后，就可以看到上一步最后的效果。

打开Windows设置 - 系统 - 关于 - 高级系统设置，点击 “环境变量”。

在弹出窗口中选择PATH。如果你选择 “用户变量“中的PATH，则这个编译器快捷方式只对你一个人有效；否则，就对整个电脑有效。然后点击” 新建“，粘贴g++.exe所在的路径（如果你上面全程按照我的方法安装，则填入C:\Program Files\mingw-w64\x86_64-8.1.0-posix-seh-rt_v6-rev0\mingw64\bin）。全都点击确定，如下图。

如果你之前安装过其他版本G++（包括Dev-C++ 可能附带的），环境变量中出现了那个路径，而又不知道后面该怎么修改，建议将刚刚添加的上移到原有的那一个上方。

再输入g++ -v回车，查看效果。

安装插件

vscode的灵魂就是丰富的插件。刚安装完的vscode是类似于这样的：

对于C++ 编程，我建议下载下面的插件：

C/C++
Chinese (Simpified) Language Pack for Visual Studio Code
Better C++ Syntax
C/C++ Themes
CMake
CMake Tools
C++ IntelliSense

非必需：

Rainbow Brackets
GitLens - Git supercharged（当你有Git时，没有的话不必要）
Remote - WSL

安装完成后重启vscode。

配置JSON首选项

在vscode左边的资源管理器中打开一个文件夹，右下角会提示下载一些文件，可以等一下。

打开后的文件夹形成了一个工作区。在里面再新建一个名为. vscode的文件夹。然后在文件夹里新建launch.json和tasks.json两个文件。

在tasks.json中粘贴这段代码：

json

{
  "version": "2.0.0",
  "tasks": [
    {
      "type": "shell",
      "label": "C/C++: g++.exe build active file",
      "command": "C:\\Program Files\\mingw-w64\\x86_64-8.1.0-posix-seh-rt_v6-rev0\\mingw64\\bin\\g++.exe",
      "args": ["-g", "${file}","-o","${fileDirname}\\${fileBasenameNoExtension}.exe"],
      "options": {
        "cwd": "${workspaceFolder}"
      },
      "problemMatcher": ["$gcc"],
      "group": {
        "kind": "build",
        "isDefault": true
      }
    }
  ]
}

在launch.json中粘贴这段代码：

json

{
  "version": "0.2.0",
  "configurations": [
    {
      "name": "g++.exe - Build and debug active file",
      "type": "cppdbg",
      "request": "launch",
      "program": "${fileDirname}\\${fileBasenameNoExtension}.exe",
      "args": [],
      "stopAtEntry": false,
      "cwd": "${workspaceFolder}",
      "environment": [],
      "externalConsole": false,
      "MIMode": "gdb",
      "miDebuggerPath": "C:\\Program Files\\mingw-w64\\x86_64-8.1.0-posix-seh-rt_v6-rev0\\mingw64\\bin\\gdb.exe",
      "setupCommands": [
        {
          "description": "Enable pretty-printing for gdb",
          "text": "-enable-pretty-printing",
          "ignoreFailures": true
        }
      ],
      "preLaunchTask": "C/C++: g++.exe build active file"
    }
  ]
}

然后保存。”.vscode“文件夹保存的是vscode的配置文件，程序不需要存放在这个目录里。

vscode使用初步

之后，新建一个test.cpp，随便写点啥。如果一切正常的话，这个时候自动补全功能就该生效了。当光标右下方出现自动补全栏的时候，上下方向键选择候选项，按tab自动补全。可以补全的内容包括但不限于函数名、变量名、语句、include文件。

如果发现代码可能有问题，vscode会自动检测出来，然后显示在底部 “问题” 栏中。

按下F5，开始调试，这和其他的IDE没什么不同。不过，每次启动vscode之后，第一次调试时，底栏都会自动跳到”调试控制台 “，那是输入GDB命令的地方，如果不需要的话就得手动切换到” 终端“栏。

vscode的调试输入输出都会放在内置终端中，实际上就是调用了系统的CMD或者PowerShell（也可以自定义终端）。如果你在那里看到了你所期望的输出，那说明你成功了。Enjoy!

参考文献

Get Started with C++ and Mingw-w64 in Visual Studio Code

HNU 校园网 IPv6 免流折腾实录

Fri, 19 Feb 2021 00:00:00 +0000

谨以此文章献给饱受校园网流量不足之苦的同学们。本实录中的步骤仅在HNU校园网环境尝试过复现，其他学校不保证可以使用。同时，理论上也不是每一步都是必要的，仅仅表明这种方法可行。

绕过校园网流量计费不代表可以不花钱上网。事实上，一台性能还凑合的路由器花了我200元，再加上服务器，每个月也要花费5美元，还有大量的隐性时间成本。一旦校园网开始真的限制40G，这篇文章的意义或许才显现出来；而为了绕过20G以上的收费，40G每个月对你够用的话，并没有必要去大费周章。

建议有一定玩机基础与一点点网络基础的人仿照着做，或者在熟悉的朋友现场指导与帮助下实施。博主对可能造成的问题不负责任，请周知。

由于本文写得实在过于杂乱，现阶段建议去阅读 HNU 校园网 IPv6 免流教程 2.0。

一

2021年新年到了，学校的个人门户也换了一副新的模样。变的不止个人门户，而且还有流量监控页面。

现在，新版的流量监控可以查看每日流量消耗，甚至上了哪家的网站都能显示出来。缴费页面也出现了前几个月的欠费信息（虽然不能缴费），让人不禁担心随时会开始计费。

直到某日，某兄透露称，流量计费系统调试好了就会开始工作，我才开始考虑如何搞到更多的流量，毕竟20G每月免费、40G每月封顶，实在是很恶心人，要是天天和宋浩老师一起学习的话怎么受得了啊。

运营商宽带固然是一个解决办法，但是价格太贵，带宽也并不高，还限制设备，所以它成了我的备选方案，而将重心放在绕开校园网的流量监测上。

二

阅读一下校园网使用规则，可以很容易地发现IPv6是免流量的。那么我们的思路就确定了：将终端全部连接至IPv6的远程服务器，绕过IPv4，再由服务器代替我们访问外网，再把得到的数据传回来就可以了。虚拟专用网络等方式可以将所有流量加密，通过IPv6传输给远程服务器，这并不影响IPv4资源的访问。只是校内资源，比如抢课，需要把它关掉。

中国大陆并没有适合的双栈（IPv6+IPv4）VPS提供商，再加上不能明说的原因，我选择了Vultr的西雅图服务器。5美元一个月的主机，可以提供一个IPv4、一个IPv6（需要自己勾选），配置也够用，1000G的流量近乎于无限。

将SSR客户端配置好，把电脑连上之后，似乎没有什么问题。在之后的宋浩测试（指看了一天宋浩）之中，发现观看1080p哔哩哔哩视频没有任何压力，同时校园网一天只计了20M流量，可能是iPad偷跑的（手机关闭WiFi）。

这个结果无疑是很令人惊喜的，但是之后我遇到了一些问题。

三

电脑上的测试成功了，但是其他设备上的测试都遇到了些问题：连不上IPv6的SSR。

后来发现，我的两台Android手机（小米10 Pro和运行Pixel Experience的小米5s）全都无法获取校园网IPv6地址，而iPad则更难搞——国区搞不到SSR客户端。

我的流量需求，电脑当然占大头，但是手机和iPad需求量也很大。不看视频，手机一天能够使用300M左右；而iPad开启了GoodNotes的iCloud与OneDrive同步，一天下来最多可以消耗掉2-3G流量。当然，大部分是上行，这个问题不大。

也请求舍友使用 https://test-ipv6.com 测试IPv6获取情况，发现有一位舍友的手机获取到了IPv6，而所有人都只有一台设备能获取。由此排除了DHCPv6不受Android设备支持的原因。

四

为了让所有设备都能免流校园网，我在考虑使用一个路由（或者类似路由的东西），广播一个全局经过IPv6的网络。我考虑过用备用机当热点，手机接收校园网WiFi信号，全局开SSR，然后将这个隧道经由热点分享出去。手机功耗够低，不太引人注目，而且性能够强。但是缺点也很明显：不够稳定，设备一多就不太好。

于是我买了一台小米AC2100路由器，通过有线连接学校网络。AC2100是小米路由器的口碑翻身之作，5GHz信号覆盖据说非常不错，也有大量的第三方固件，而第三方固件可以支持安装SSR等插件。同价位也有小米AC2350，性能更强，但是第三方固件少；而价位更低的红米AC2100（套娃机）和腾达AC9，则主要因为外观的原因没有被我选中。

我选择使用Padavan（也被称为老毛子）固件 [1]。不得不说，万能的恩山无线论坛真是什么关于路由器的玩意都有……

刷入固件之后，能够很明显地感觉到信号好了非常多，即使在厕所也不会断连了。（笑）而在桌前，甚至可以达到 -30dbm。

五

我将路由器连入学校的网口，却发现网口并没有提供校园网拨号宽带，除非办理运营商的宽带业务。

正当我一筹莫展之时，我发现了Padavan固件设置中有一个 “无线桥接”，可以接收其他WiFi信号并作为WAN，然后经过路由器再发射出去。

将2.4GHz和5GHz全部设为桥接之后，连接SSR，就可以直接访问Google等外网了。但是即使能够设置全局通过IPv6的SSR访问网络，通过测速等一系列手段（IPv4限速约10Mbps，IPv6无限速），还是发现有一部分流量无法通过IPv6，而是通过校园网的v4访问的。

也就是说，这个时候只能把它当作全局访问外网的一个工具。

六

当我将电脑、手机、iPad接入路由器的时候，发现了同样的问题：电脑可以访问IPv6，而手机只有v4连接。兜兜转转，又回到了最开始的情况。

排查一下情况，发现在使用IPv4的SSR节点。当我切换到IPv6的SSR节点时，打开任何页面都遭到了Connection Reset。不得已只能切换回IPv4节点，而且电脑也无法访问国内网站。难道是GFW List的问题？或者，既然电脑是唯一一个能够访问IPv6的设备，会不会是v6和v4代理的问题……？

七

打开路由器的外网状态页面，发现外网IPv6地址根本无法获取。一番搜索之后发现了借由 NAPT66 获取内网与外网IPv6的方法 [2]。它是一个由北邮大佬开发的在IPv6环境下使用NAT的工具。在高级设置 - 外部网络 - IPv6设置中，这样设置各选项。

其中，DNSv6服务器可以自己选择，一些公共的DNSv6服务器可以在这里找到。

注意 “获取IPv6外网地址” 一定要选“从两端”，否则不能获取到外网地址！[3]

然后到高级设置 - 系统管理 - 服务，打开 “启用NAPT66” 然后重启路由器，应该就可以获取到IPv6地址了。

这里可以用 test-ipv6.com 获取IPv6连接情况。如果你已经连上IPv6互联网，那么

电脑当然也没有问题了。

期间我的服务器IPv6地址突然ping不通了，然后等了半天多又好了，真的是玄学……

八

剩下的当然就是在路由器开启全局SSR了。请注意：如果你使用SS或者V2ray，那么可能需要一些配置才能用IPv6连接；SSR则原生支持IPv6。

导入SSR之后，记得手动切换成SSR协议，然后检查一下协议插件和混淆插件。Padavan的SSR设置似乎有点反人类。

不过似乎连接之后，仍会产生IPv4下载流量，可以在 “系统管理” 的“控制台”中执行 iptables -P INPUT DROP 如下命令

来禁用IPv4下载。或者你也可以在系统管理 - 服务开启SSH，使用SSH客户端执行命令。

即使有一点点v4上传流量也没关系，毕竟不收费。理论上，所有流量都应该走v6了。

到此，主要内容就基本完成了。只要是透过路由器连接的网络，都可以免流；而对于宿舍之外，无法自行部署路由器的地方，建议搭配大流量手机卡使用。或者也可以用校园网——如果你用流量不是很多的话。如果连着校园网时能通过上述的那个网站查询到你的IPv6地址，那么开一个全局SSR也是不错的选择。我的iPad则是一直连着校园网，因为绝大部分的流量是笔记备份（上传流量），所以无需担心流量问题。

未来如果IPv6全面普及，也许就不需要再通过SSR了，只需要那句iptables命令就可以了……SSR的作用，只是保证IPv4 only的网站正常访问。

九

有时候会遇到路由器无法获取到IPv6地址的情况。这时在前面给路由器刷入的Breed就有用处了：重启进Breed恢复控制台，修改设备的MAC地址（最好都改改），一般能够重新获取到IPv6。

可以使用 MAC 地址生成器生成地址，还可以使用 MAC 地址查找来获取到特定制造商的地址前缀（如果在IEEE注册了，而且存在于网站的数据库中），比如Apple的前缀之一是0010FA，神舟电脑ODM蓝天的前缀是0090F5。

也可以使用我写的 MAC 地址生成器直接生成一批不同的MAC地址。

现存问题

现在SSR仍然会有间歇的断开现象，而且一断就很久连不上。但就如同我的离散数学老师说的，“计算机不存在玄学问题”，我只能说不知道为什么了……

初期也出现过一开全局就特别慢的现象，还以为是路由器性能不足，后来速度突然提升，也不知道这个是为啥。

参考文献

红米 (小米)AC2100 无需 Telnet 刷入 Breed 和 Padavan 固件教程 - 恩山无线论坛
校园网路由器后设备使用 ipv6 经验分享 - 知乎
h 大老毛子 ipv6 的 wan 口地址获取不到 - 恩山无线论坛

从零开始搭建一个 iPad 上可用的 "vscode"

Fri, 19 Feb 2021 00:00:00 +0000

本文已经两年没有更新，code-server也已有了较大的变化，建议阅读其他更新的文章。

众所周知，iPad上没有官方的vscode客户端，我们所搭建的也不是一个真的vscode，而是基于vscode项目而衍生的 code-server。除了让它能够在服务器上运行之外，开发者并没有做太多的改动，所以你使用的时候并不会感觉到有多大异样。

并且，code-server的本质是一个网站，这让你不只可以在iPad上访问，也可以在Android平板、手机，甚至树莓派等一切有现代网页浏览器支持的设备上使用。当然，在有微软vscode官方支持的平台，更建议用vscode直接通过SSH连接服务器。

准备服务器环境

租用服务器

如果你的PC有一个固定的公网IP，且可以运行Linux/macOS，可以直接跳到 “安装code-server”。 但大部分人都没有，所以还是自己租服务器吧……

我使用的是Vultr的服务器，单核，1024M内存，25G SSD，Ubuntu 20.04，加上自动备份（我手贱）一个月6美元，能用支付宝。这个配置低于官方推荐配置，不过足够让code-server流畅运行了。

建议不要用Windows，授权费非常贵，而且运行起来也没有Linux有效率。推荐选择Ubuntu、CentOS、Debian等系统。

国外（尤其是美国）的服务器，相比来说网络带宽比较高（比如vultr好像不限制带宽），有IPv6（某些校园网可以免流），也可以用来做一些不能明说的事情。国内的服务器提供商，如阿里、腾讯、华为，很多有学生优惠，10块钱一个月都能租到服务器；而且国内访问起来也会快很多。

具体的购买服务器流程，这里不再赘述，选择配置可以与我的相似，或者更高点，如果还是有困难的话可以去搜索教程。

SSH

SSH客户端，我推荐Termius，界面美观，多平台同步。GitHub Student Developer Pack自带专业版授权，只要你还是学生，就可以白嫖。

为了便捷访问服务器，少输密码，可以生成RSA密钥，将公钥存放在服务器之后SSH服务器就不需要输入密码了。这方面还是需要自行寻找教程，推荐探索一下使用Windows自带SSH命令的方法。

有了SSH，我们就能够像是在自己电脑上输命令一样，在服务器上输命令了。当然，不配置其实也行，只不过每次都需要去云服务商管理后台来操控。

Termius界面

一些SSH客户端自带SFTP功能，可以便捷地在服务器与你的电脑之间传输文件。但是很多时候，速度不尽如人意，这时我推荐WinSCP客户端，传输速度会快很多。

请注意，Linux的文件系统与Windows的有很大不同。如果你常用Android手机或者macOS电脑（其实是类UNIX），应该会觉得有点熟悉。

安装与运行code-server

安装其实是最简单的。直接在终端中输入如下命令：

bash

`1`	`curl -fsSL https://code-server.dev/install.sh \| sh`

然后你就可以看到code-server被安装到了你的服务器上。

可以直接在终端中输入

bash

`1`	`code-server`

来运行code-server。它会监听8080端口，也就是说，你输入localhost:8080就可以访问了。

这个时候只能使用服务器的内网访问，和本地的vscode没啥区别，如果想将它开放至Internet，随处都可以访问，可以在后面添加 --host 参数。

如果想用HTTPS访问，以获得最佳兼容性，可以加上 --cert 参数。后面也可以加上你自己搞到的HTTPS证书（如果有）。

后面可以接更多的参数，可以输入 code-server --help 来查看。

code-server运行的时候会占用当前终端，不会后台运行，所以可以在每次使用时链接SSH开启。或者也可以使用

bash

`1`	`screen -S screen_namecode-server (options)`

然后按Ctrl+A+D使其后台运行。screen_name是screen的名字，（options）是自定义的参数。这样你就可以把code-server挂在后台，同时处理多项任务了。

现在，你就可以使用服务器IP:8080来访问你的code-server。建议此处先使用桌面端浏览器来访问。

配置开发环境

这一部分，用过vscode的同学应该不会陌生，大同小异罢了。主要面向C++ 和Python。

编译器配置

GCC、G++ 已经内置在了系统内，无需安装，但调试用的GDB需要安装:

（下面的命令均以Ubuntu/Debian为例；如果用的是root用户登录，不需要再输sudo）

bash

`1`	`sudo apt install gdb`

有时候，Python也已经内置在系统内，但是版本较老。比如2021/2/2的最新版本是Python 3.9.1，就可以使用

bash

`1`	`sudo apt install python3.9`

来安装新版本。如果你需要下载Python库，还需要

bash

`1`	`sudo apt install pip3`

以安装pip。

插件

众所周知，vscode的灵魂在于插件。由于没有添加微软的一些专有代码，code-server并不能连接完整的微软插件商店，不过我们可以在网页版插件商店中找到相应的插件，点击Download Extension，上传至服务器，然后手动安装就可以使用了。

在这里下载之后，将其传到服务器任意目录。打开你的code-server，按Ctrl+Shift+P，打开命令窗口，输入install from vsix，回车，然后手动浏览刚刚上传的插件并安装。

如果有部分插件安装失败，可以试着用code-server自带的插件商店安装。

这里推荐我使用的一些插件。

C++：

Better C++ Syntax by jeff-hykin
C/C++ by ms-vscode
C/C++ Themes by ms-vscode
C++ Intellisense by austin
CMake by twxs
CMake Tools by ms-vscode

Python:

Python by ms-python
Pylance by ms-python

其他：

GitHub Pull Requests and Issues by GitHub
GitLens by eamodio
One Dark Pro by zhuangtongfa
Rainbow Brackets by 2gua
Chinese (Simplified) Language Pack for Visual Studio Code by MS-CEINTL
markdownlint by DavidAnson

工作区. vscode文件夹

这本应该是最难的一步，但是微软给了一个教程，我们可以直接抄作业。主要针对于配置十分繁杂的C++，Python的话应该很简单。

首先在code-server中打开一个文件夹，这个文件夹就是你的一个工作区，你可以把代码文件存放在里面。你可以把其他位置的文件夹加入工作区（当然，应该必须是服务器上的），也可以打开不同的文件夹 / 工作区。

然后在这个文件夹中新建名为. vscode的文件夹，用来存放code-server适用于该工作区的配置文件（你写的代码别放在这儿），新建launch.json和tasks.json两个文件。

在launch.json中，输入：

json

{
  "version": "0.2.0",
  "configurations": [
    {
      "name": "g++ build and debug active file",
      "type": "cppdbg",
      "request": "launch",
      "program": "${fileDirname}/${fileBasenameNoExtension}",
      "args": [],
      "stopAtEntry": false,
      "cwd": "${workspaceFolder}",
      "environment": [],
      "externalConsole": false,
      "MIMode": "gdb",
      "setupCommands": [
        {
          "description": "Enable pretty-printing for gdb",
          "text": "-enable-pretty-printing",
          "ignoreFailures": true
        }
      ],
      "preLaunchTask": "g++ build active file",
      "miDebuggerPath": "/usr/bin/gdb"
    }
  ]
}

这些内容。然后在tasks.json中输入：

json

{
  "version": "2.0.0",
  "tasks": [
    {
      "type": "shell",
      "label": "g++ build active file",
      "command": "/usr/bin/g++",
      "args": ["-g", "${file}","-o","${fileDirname}/${fileBasenameNoExtension}"],
      "options": {
        "cwd": "/usr/bin"
      },
      "problemMatcher": ["$gcc"],
      "group": {
        "kind": "build",
        "isDefault": true
      }
    }
  ]
}

然后回到你的工作区根目录，新建一个cpp文件，写个hello world啥的。按下F5，可以开始调试。你所看到的应该是类似于这样的：

每次打开code-server的第一次调试，都会跳到 “输出”tab，切回“终端” 就能看到输出结果了。

在不同终端上的访问

在Windows上，推荐使用Chromium内核的浏览器进行访问，包括但不限于Chrome、微软Edge、360等浏览器。vscode基于Electron，Electron又使用了Chromium，所以code-server在Chromium内核上理应表现更好。

在Android上，可以随便找个浏览器访问（QQ浏览器不知道能不能完美使用，不知道那个X5内核本质上是什么）

在iOS和iPadOS上，Safari对网站的安全要求有着诸多限制，所以最好使用 Servediter 应用来连接。下载后，使用self hosted server，然后这样填写：

应该就可以正常使用了。

macOS？饶了我吧，我的macOS虚拟机从开机卡到关机…… 好吧，我试了，没问题。

建议在移动设备上配合外接键盘使用，总不会有人用触摸键盘写代码吧。并且，像我刚才说的一样，有官方vscode客户端的终端，如Linux、Windows、macOS，甚至Windows 10 ARM的Lumia 950 XL，都建议使用原版vscode连服务器，code-server的真正价值在于在没有vscode支持的终端上变相使用 “vscode”。

技术 on cyp0633's Blog

终端Agent是更趁手的通用Agent

为什么是本地agent？

为什么是终端？

为什么不是OpenClaw？

Cumulus Linux 5.1 & NVUE 使用笔记

用户管理

声明式配置管理

排除连接问题

屏蔽了一些爬虫

阿里云阴兵过境

刷爆对象存储，但是细水长流

超级分布式Gitea爬虫

表层特征过滤和速率限制

JS challenge

Gitea限制用户访问

自己写一层gateway

深层特征辨别

验证Cookie

Meta连爬6天

在 Linux 上使用微软套件的最好办法，就是没有办法

WPS Office：又不是不能用

Office Online：六边形战士，但六边都不长

虚拟机：堕落的混乱邪恶派

WinApps：想法很美好，但没有Wayland

总结

记导出 Android 版 NTQQ 聊天记录

导出数据库1

解密数据库2

导出聊天记录

RivaTuner Statistics Server 游戏悬浮窗入门

初始设置

导入现有悬浮窗样式

添加并替换HWiNFO64数据源

使用HWiNFO64自定义传感器设计数据源

安装 Arch Linux 「未曾设想的道路」

分区

安装

后续工作

和「LSP」一起写代码：VS Code + Clangd 编写 C/C++

对比

安装

解析、索引文件

给Clangd传入参数

使用Bear生成 compile_commands.json

使用CMake生成 compile_commands.json

我最终还是放弃了自己托管邮箱——转为了 Fastmail

Armbian + R2S 番外篇：透明代理

前置知识

思路

实现

配置

IPv6

优化

Nftables数据包追踪

米家设备无法连网

境内流量完全直连

启用 AMD P-State EPP 调频驱动

启用CPPC

启用P-State EPP

其他优化

体验

Armbian，更适合 R2S 软路由的系统

OpenWrt的困境

安装Armbian

配置路由器功能

DNS

DHCP

NAT

启用IP转发

PPPoE

进阶应用

透明代理

基本防火墙

UPnP / NAT-PMP

Full Cone NAT

MSS Clamping

IPv6

同步 iCloud （云上贵州）日历

客户端支持情况

导出数据库¹

解密数据库²

使用Bear生成 `compile_commands.json`

使用CMake生成 `compile_commands.json`