Moraxyc's Rhapsody

使用Railway.app部署artalk评论系统

Thu, 24 Aug 2023 16:35:06 GMT

作为DevOps的Oneman选手，我不喜欢运维（

毕竟博客、评论、统计这种需要保证SLA的东西，服务提供商们在专业领域绝对可以秒杀我，就像我把密码管理器切换到了1Password一样。

所以，我的博客网页在Cloudflare Pages，统计在Railway.app，配置在Github，api在Cloudflare workers…

那么，评论系统Artalk该放在哪儿？之前使用Twikoo时可以轻松部署于vercel，而artalk官方文档并没有提供任何Serverless的部署方式。

好在artalk提供了Docker镜像，这让我们可以简单改造下写成Dockerfile

配置

Railway.app的主要部署方式就是Dockerfile，既然只有文本文件和配置的修改，一个小技巧是创建一个GitHub Private repo并授权给Railway.app Application，每一个独立配置便分出一个人branch来存放，只需要将railway中service Settings的Automatic Deployments更改为对应分支就可以轻松管理Railway.app的各项服务了

那么接下来，我们便从main中分出artalk分支来配置artalk并新建一个Dockerfile文件

git checkout -b artalk
touch Dockerfile

将以下内容写入其中

FROM artalk/artalk-go

WORKDIR /

COPY ./data /data

ENTRYPOINT ["/entrypoint.sh"]

EXPOSE 23366

CMD ["server", "-c", "/data/artalk.yml"]

接下来，就需要写入配置文件了，由于截止文章写成，artalk文档并没有提及通过环境变量配置参数，那么直接指定和修改配置文件就是唯一的选择，这也导致一个问题：每次对配置的修改都必须通过配置文件和git提交推送，这意味着无法在Artalk内可视化编辑配置

Artalk已经支持通过环境变量来配置了，具体请看下一小节

文件树如下:

.
├── Dockerfile
└── data
    ├── artalk.yml
    └── ip2region.xdb

此处的artalk.yml与ip2region.xdb分别为配置文件与ip归属地数据库。

数据持久化

artalk默认使用sqlite持久化数据，但Railway.app虽然有提供挂载的存储点，但功能极其简陋，只能通过服务访问，其他方式皆无效。

因此Railway.app的全栈性就发挥了出来----项目内创建redis和postgresql并将相关参数填入配置文档即可

~~由于没有环境变量配置，此时只能手动复制Railway.app提供的参数填入artalk.yml了~~

即便如此，也仅建议通过环境变量配置数据库，毕竟配置项太多了，还是直接配置文件舒服些

db:
  type: "pgsql"
  file: "./data/artalk.db"
  name: "railway"
  host: "containers-**.railway.app"
  port: **
  user: "postgres"
  password: "******"
  charset: "utf8mb4"
  table_prefix: ""

cache:
  enabled: true
  type: "redis"
  expires: 30
  warm_up: false
  server: "containers-**.railway.app:**"
  redis:
    network: "tcp"
    username: "default"
    password: "******"
    db: 0

Artalk已经实现通过环境变量配置了，也可以直接在Railway.app环境变量配置处打开RAW editor粘贴以下内容实现一键配置:

ATK_CACHE_ENABLED=true
ATK_CACHE_SERVER=${{Redis.REDISHOST}}:${{Redis.REDISPORT}}
ATK_CACHE_REDIS_PASSWORD=${{Redis.REDISPASSWORD}}
ATK_CACHE_TYPE=redis
ATK_DB_HOST=${{Postgres.PGHOST}}
ATK_DB_NAME=${{Postgres.PGDATABASE}}
ATK_DB_PASSWORD=${{Postgres.PGPASSWORD}}
ATK_DB_PORT=${{Postgres.PGPORT}}
ATK_DB_TYPE=pgsql
ATK_DB_USER=${{Postgres.PGUSER}}
PORT=23366

:::warning[坑点!] 如果复制了上面的环境变量配置，那以下内容可跳过

按理说现在已经可以git提交并推送，让Railway.app来构建了。确实，这能构建成功，甚至运行日志都十分正常，但访问自定义绑定的域名永远是Failed。问题出在哪里？

实际上，Railway.app号称可以自动检测监听端口并对外开放，但这个就是不成功（

解决方法也很简单，推送到远端、Railway.app构建完成后，环境变量增加一个PORT并设置为23366即可 :::

账户

由于Railway.app并没有提供进入容器执行命令的方式，那么直接在配置文件中写入第一个管理员才能成功进入控制面板

admin_users:
  - name: ""
    email: ""
    password: "(bcrypt)$2y$10$******"
    badge_name: "博主"
    badge_color: "#0083FF"

password需要用命令行生成加密采样的版本，以下示例命令适用于Debian/Ubuntu：

sudo apt install apache2-utils -y
unset HISTFILE
htpasswd -bnBC 10 "" "your_password" | tr -d ':'

输出字符串前加入(bcrypt)填入password字段即可

详情参见文档

结束

至此，一个简单的Railway.app部署artalk的方案便完成了，过程简单但其中有许多可以借鉴于其他Dockerfile Serverless部署项目上。

该Dockerfile可以作为一个模板改造不支持Serverless部署的项目
可以通过提前将配置放在repo的方式配置不支持环境变量的项目
需配置PORT变量来保证Railway.app监听并开放此端口
当存在多个不复杂项目依赖同一外部服务时，可以考虑一个repo多分支的方式解决

千万别注册.cn！

Sun, 20 Aug 2023 05:01:06 GMT

域名注册在几年前可以说是非常火爆，好多人都钟情于特殊和有趣的域名。其中最秀的无疑是Showfom的离谱域名u.sb、m.ac，这甚至比Elon的x.com还短。无奈本人进场晚好域名全被抢了，也没钱抢（

本人经历

当初不知域名市场水深火热注册域名时，我其实选的是小姨子(xyz)~~毕竟便宜~~，然后觉得这个是不是B格有点低，就又换了.icu。奈何.icu被列入了spam ltd列表，在mail-tester都拿不到100💯，发邮件更容易被列入垃圾邮件。

于是标新立异似乎也不是好选择，那就.com吧，大众认可度和普遍性是绝对的第一。

朋友趣事

然而我的一位朋友就没有我这么复杂的心理历程了，他直接在阿里云上注册了.cn域名…

这几乎buff叠满，国内注册局、臭名昭著的CNNIC的.cn域名…最开始其实我也没有当一回事，毕竟收回和扣押域名这种事虽然这两个干过但总不能直接发生在身边对吧？

但习惯了隐私保护的我没有注意到一件事----阿里云默认不开启whois隐私保护功能！

在他注册域名后一周，我随便翻着我自己域名的whois，看下各自到期日多久，然后顺手搜了下他的域名…于是我震惊的发现阿里云直接把中文真名和电子邮件堂而皇之地呈现在whois服务器上！

那位朋友在凌晨1点知道这件事一直emo到凌晨6点（毕竟我之前也不知道他真名，实名上网了属于是）

阿里云掩耳盗铃

过了几天我在一个Q群里看到了Big_cake的博客未备案就问了下，都实名上网了好像备案也无所谓了…

然后一个未经过CNNIC毒打的兄弟就天真地中了招，以为阿里云隐藏whois是真的隐藏

然而阿里云的文档是这么写的：

根据ICANN《通用顶级域名注册数据临时政策细则》和《欧盟《通用数据保护条例》》合规要求，自2018年5月25日起，阿里云的WHOIS信息公开查询结果中已不再显示域名注册人注册机构的名称，以及域名注册人注册机构、管理联系人和技术联系人的联系信息。鉴于调整措施上线后，您的域名注册信息已得到默认保护，阿里云域名隐私保护服务已经于2018年5月25日起暂停服务。注意：自2023年1月1日起，.CN/.中国域名注册局提供注册局WHOIS系统隐私保护服务，详情请查看公告，如需开通点此申请。据ICANN原先政策，WHOIS查询通常需显示域名注册人的姓名和联络信息等个人数据。阿里云为保护域名用户的个人隐私不被公开，减少拉圾邮件和对个人信息的窃取，向客户免费提供域名隐私保护服务并获得了良好效果。

这么一大堆，其中加粗的部分无疑告诉用户：你的信息已经被隐藏啦，没必要再隐藏一次，所以我们把功能取消啦

~~虽然前后矛盾驴头不对马嘴~~

确实，在阿里云的whois查询网页，是这样显示信息的：

掩耳盗铃、自欺欺人、粉饰太平、指鹿为马、自作聪明、装聋作哑…

当然，在最新的CNNIC政策中，出了个破财免灾的法子

.CN/.中国域名隐私保护服务标准定价39元/域名/年。隐私保护服务年限不得大于域名剩余有效期年限。购买隐私保护服务的日期距离域名到期日期不足一年的按一年收费，且隐私保护服务到期时问同域名相应年份到期时间。例如：域名的到期时间为2023年12月1日，于2023年2月1日开通隐私保护服务1年，则隐私保护的到期时间与域名2023年的到期时间一致，即2023年12月1日

我有这闲钱还不如买.com

我的本地漫画管理方案

Sat, 15 Apr 2023 18:37:09 GMT

~~您可能是正版的受害者~~

这句话是一个歪理，但在大陆ACG市场却成了一个不得不面对的事实：哪怕开了会员，订阅了漫画，看到的依然是不完整和删改后的内容。

同时，国内ACG市场也时有不引进/无版权/无熟肉的情况出现。以我的语言水平，显然日语生肉是啃不动的，而翻贴吧或其他论坛熟肉的感觉就像是一碗蛋炒饭没有蛋…

信奉沉浸式体验的我也同样无法接受盗版漫画网站上那些时不时冒出来的弹窗广告和糟糕的体验，令人窒息的排版。

看来本地漫画成了最后的归宿，唯一的问题便只有了一个----从哪儿找源？从哪儿下载？

下载漫画

这个问题十分考验~~互联网信息索引与筛查分析能力~~搜索引擎，一般来说一部漫画加上zip rar jpg epub等字样便可快速筛查出可供下载的漫画文件

但可悲的是，通常来讲这种资源都是存放在BT/百度云盘上的。BT不必说，国内虽然不审查这个，但速度慢到绝望。至于百度网盘…那是黑洞

好在有一些软件实现了对漫画源的爬取存储。我使用的便是Tachiyomi，它支持安装超多插件并爬取下载于本地，保存为cbz格式。这对本地漫画管理而言毫无疑问是非常友好的

Komga管理

Komga 是您的漫画、日本漫画、BD 和杂志的媒体服务器

如何运行：

在计算机或 NAS 上安装并运行 Komga。按内容类型添加库，让 Komga 完成剩下的工作。使用网络界面或任何兼容的客户端。享受阅读！

Komga就是一个专门存储漫画的Calibre，且性能和界面超过了Calibre~~虽然不如Calibre强大~~

建议使用docker-compose搭建

docker-compose

version: '3.3'
services:
  komga:
    image: gotson/komga
    container_name: komga
    volumes:
      - type: bind
        source: ./config
        target: /config
      - type: bind
        source: ./data
        target: /data
    ports:
      - 8080:8080
    user: "1000:1000"
    environment:
      - KOMGA_LIBRARIES_SCAN_STARTUP=true
      - TZ=Asia/Shanghai
    restart: unless-stopped

该docker-compose文件存储结构如下：

└── komga
    ├── docker-compose.yml
    ├── data
    │   └── library
    └── config
        ├── artemis
        ├── database.sqlite
        └── lucene

data即为数据存储，在里面创建的第一层目录即为书库

Komga可通过环境变量进行更精细的修改，详见文档

文件格式

Komga支持CBZ/CBR、EPUB、PDF格式。对于漫画而言，个人觉得cbz^1是最简单、兼容性最高的格式。

建议的文件结构如下：

.
└── library
    ├── 我 推 的 孩 子
    │   ├── 第 1话.cbz
    │   └── 第 9话 .cbz
    └── 辉夜大小姐想让我告白
        ├── 01话 .cbz
        └── 02话.cbz
3 directories, 4 files

library表示库名，下一层结构区分不同的漫画，更下一层则存储漫画文件

如果通过BT/云盘资源下载下来的漫画是一个个文件夹内的图片，那么可以通过shell批量压缩子目录为cbz文件

for dir in */; do zip -r "${dir%/}.cbz" "$dir"; done

刮削元数据

Komga啥都好，就是不支持在线元数据刮削，只能从文件名/commicinfo.xml之类的本地文件查找元数据。

不过Komga本身不支持，社区也很热心的产生了元数据刮削的脚本。

BangumiKomga即为一个从Bangumi获取元数据并填充的Python脚本。

使用方法详见该脚本README。由于自动识别刮削的成功率很低，强烈建议在Bangumi中先找到对应漫画后把链接贴到Komga系列作品链接处，标签写为cbl，配置好后在目录下运行python processMetadata.py，即可近乎完美的给漫画加上海报和信息了

阅读

Tachiyomi有官方Komga插件，填入实例地址/用户密码即可丝滑地使用了，那效果简直杠杠的🥰

Komga同样支持其他OPDS^2协议阅读器

PS: 之前用Calibre搭过同人志漫画库，但Calibre的跨平台性的确差了很多。正好看完推子第一集，想着把漫画刷一遍，又害怕哔哩哔哩漫画有删改，就更新了下漫画管理方案。

~~赤坂！你还我星野爱！永失吾爱啊~~

😎👌 👉 😭

深夜有感 | 我为什么写博客？

Mon, 10 Apr 2023 17:16:09 GMT

~~这篇文章在凌晨1点完成，果然算深夜Emo吧~~

初出茅庐

2019年，博客逐渐落寞，但我却毅然决然地踏入了这片海洋，建立自己的“孤岛”。但一座岛，肯定要有根基对吧？于是我租了台搬瓦工vps，买了个域名~~当时甚至不知道域名是啥作用，只知道可以访问~~，选择了最流行的WP作为后端，开始了一段Blogger的生涯

那个时候，初出茅庐的我感觉自己nb坏了，居然在同龄人还在叱诧峡谷的时候就已经能在网上发表文章了~~标准的邓克效应~~

于是，那时的我写了很多类似那些低质量网站的水文，啥营养都没有，现在看来也是羞耻无比，~~想象一下被人大声念你初中的QQ空间~~

膜拜大佬

但萌新不可能一辈子，在认识了好多nb大佬的博客后，我发现自己还是太过天真。那些数十年如一日写博客的大佬比比皆是，还有可爱的DIYgod~

敏感

2020 年的中期，生活中一些事情使我陷入了人生低谷，我清除了所有旧文章。而这也导致了我直到现在都时常感到自卑，对他人的看法十分敏感，一心想着迎合他人，尽可能抑制自我

2021 年末，我决定注册个新的身份并重新开始写博客~~现在看来那更像是些低质量教程~~，但自那以后，我开始担心自己的文章是否会被人嘲笑，担心自己的表达是否够专业，担心自己的想法是否太过幼稚。这些负面情绪让我失去了写博客的初心

然而，当我冷静下来反思时，我发现自己犯了一个错误，那就是把写博客当成了一种竞争，而非一种分享和交流的方式。我开始追求别人的认可，而不是享受写作的乐趣

迷失

不断地更换博客主题、安装各种插件和优化博客的加载速度

从 WordPress 到 Gridea，再到 Hexo-Fluid、Hexo-Cards，不断更换博客主题，试图找到最漂亮、最吸引人且最高质量的主题，而忽略了博客内容的质量和价值

这意味着我迷失在博客外在表现的追求中，而忘记了博客的初衷和意义

初心

回归初心，我要重新认识写博客的意义

写博客不是为了展示自己有多专业和多nb多菜，而是为了分享自己的经验和想法，为了与读者建立起一种互动和交流的关系。每个人都有自己独特的视角和生活经历，每篇博客都有它自己的价值。我们不应该把自己和别人比较，而是应该欣赏和尊重每个人的写作风格和表达方式

如果我们把写博客当成了一种竞争，那么我们就会失去写作的初心和乐趣。相反，如果我们把写博客当成了一种分享和交流的方式，那么我们就可以更加自由地表达自己的想法，和更多的人建立联系，从而获得更多的成长和启发

最后

所以，我决定回归初心，学着享受写博客的过程，用心去分享，用心去交流，用心去感受，用心去成长

我想，我应该对所有读者自豪地说一声“感谢您的阅读！”

自建轻量邮件服务器？先了解传输原理！

Wed, 29 Mar 2023 18:13:14 GMT

邮件传输原理

sequenceDiagram
    participant User1;
    participant MUA1 as Mail User Agent 1;
    participant MTA1 as Mail Transfer Agent 1;
    participant DNS;
    participant MTA2 as Mail Transfer Agent 2;
    participant MDA as Mail Delivery Agent;
    participant MRA as Mail Retrieval Agent;
    participant MUA2 as Mail User Agent 2;
    participant User2;

    User1->>MUA1: 写一封邮件;
    MUA1->>+MTA1: 通过SMTP(s)发送邮件;
    MTA1->>+MTA1: 检查发信地址是否合法;
    MTA1->>+DNS: 查询收信人域名MX记录;
    DNS-->>-MTA1: 响应;
    MTA1->>+MTA2: 邮件转递;
    MTA2->>+DNS: 查询发信人域名MX/TXT记录;
    DNS-->>-MTA2: 响应;
    Note over MTA1,MTA2: 验证发信人MX/DKIM/SPF/DMARC/PTR;
    rect RGB(200,200,200);
      MTA2->>+MDA: 在收信人邮箱中存储邮件;
      MDA-->-MTA2: 确认接收邮件;
    end;
    MTA2-->>-MTA1: 确认邮件已接收;
    MTA1-->>MUA1: 邮件已发送;
    MUA1->>+MUA1: 存到已发信箱;
    MUA1-->>User1: 发送成功;
    rect RGB(200,200,200);
      MUA2->>+MRA: 访问邮箱下载邮件;
      MRA->>+MDA: 访问邮箱以检索邮件内容;
      MDA-->>-MRA: 响应邮件内容;
      MRA-->>-MUA2: 返回邮件;
      User2-)MUA2: 查看邮件;
    end;

注：

灰色部分表示对方服务器
仅供参考，有任何错误欢迎评论区讨论！

基本定义

MUA（Mail User Agent）是邮件用户代理，也就是用户用来发送和接收邮件的软件。MUA通过IMAP或POP3协议与MRA通信
MTA（Mail Transfer Agent）是邮件传输代理，也就是邮件服务器上的软件，负责通过SMTP协议发送和转发邮件。MTA会根据收信人地址中的域名查询对应的邮件服务器，并将邮件投递给它
MDA（Mail Delivery Agent）是邮件投递代理，也就是负责将MTA接收到的邮件保存到本地磁盘或指定地方的软件。MDA通常会进行垃圾邮件和病毒扫描，并提供邮件过滤和自动回复等功能
MRA（Mail Receive Agent）是邮件接收代理，负责实现IMAP和POP3协议，与MUA进行交互。MRA可以帮助用户从邮件服务器上下载或查看邮件
SMTP（Simple Mail Transfer Protocol）是一种用于电子邮件传输的标准协议。它定义了如何在互联网上传输和传递电子邮件。SMTP是一个客户端/服务器协议，它使用TCP作为传输层协议，并使用25端口作为默认端口，ESMTP通过465/587端口
IMAP（Internet Message Access Protocol）是一种用于电子邮件存储和访问的标准协议。IMAP协议通常使用143/993端口
POP3（Post Office Protocol version 3）是一种用于电子邮件下载的标准协议，它允许用户通过邮件客户端从邮件服务器上下载邮件到本地计算机。它使用110端口进行传输，与SMTP协议配合使用。POP3协议的重点在于下载，不支持在服务器上管理邮件

常用的MUA有：Outlook、Apple Mail、Mutt、Fairemail

常用的MTA有：Sendmail、Postfix

常用的MDA有：procmail、dropmail、Cyrus

常用的MRA有：dovecot、Fetchmail、Getmail

传输过程

邮件传输的过程可以分为以下几个步骤：

本过程将模拟 "小明" <ming@qq.com>发送至 "小红" <hong@gmail.com>

1. 发送

小明通过MUA编写邮件，并指定hong@gmail.com，点击发送，MUA使用SMTP(s)将邮件发送到smtp.qq.com的25/465/587端口

2. 传递

smtp.qq.com检查发信地址是否属于该账号，如果属于，则继续投递。smtp.qq.com使用DNS查询hong@gmail.com对应域的MX记录[^1]。查询成功后，将邮件转发给gmail-smtp-in.l.google.com。

3. 接收

该过程最复杂，因为邮件发送并无验证身份的机制，于是后续为了防止垃圾/钓鱼/假冒诈骗邮件的传递，接收方MTA会进行各种检查来确保邮件可信，MDA也会在MTA确认收信后进行扫描病毒等处理过程。如果检查未通过，重则直接退信，轻则归入垃圾邮箱。

在接收邮件时，Gmail会检查DKIM/SPF/DMARC等记录以及PTR记录，以确保邮件的发送者是真实的、可信的，并且该邮件未被篡改。

:::tip[DNSSEC] 后续检查基本基于DNS系统，因此域名最好支持DNSSEC以防记录被篡改 :::

具体来说，收信方MTA在接收邮件时，会按照以下流程进行验证：

DKIM验证：检查邮件中是否包含了签名过的DKIM头部字段。如果有，Gmail会使用公钥对消息进行验证，以确保该邮件是由相应域名的私钥签名的，防止邮件被篡改
SPF验证：检查邮件的发送服务器是否在发送域名的SPF记录中列出。如果不在，就会认为这封邮件可能是伪造的垃圾/钓鱼邮件
DMARC验证：检查邮件是否符合发送域名的DMARC策略。DMARC可以指定如何处理没有通过DKIM或SPF验证的邮件。例如，可以要求将这些邮件标记为垃圾邮件或拒绝投递
PTR验证：检查邮件所在的IP地址是否与发送邮件的域名的PTR记录相匹配。PTR记录通常用于反向DNS查询，可用于验证邮件发送方的身份

通过上述验证，收信方MTA可以判断邮件是否来自可信的发信人，并且可以有效地防止垃圾邮件、诈骗

4. 存储

gmail-smtp-in.l.google.com确认接收邮件后，MDA进行处理，例如扫描/自动回复等。然后将其存储在hong@gmail.com的邮箱中

5. 查看

如果小红用的是支持Push的MUA(例如Gmail客户端)，那么现在应该已经收到了邮件提醒，打开后即可看到小明发过来的邮件

~~请原谅我用小明小红，咱就是个起名废~~

自建邮件服务器

一般来讲，现在自建邮件服如果不需要图形化界面和其他附加功能，只需要最基本的发送、接受、阻止垃圾邮件，没必要去使用那些过于冗杂的邮件服务器完全解决方案，例如iRedmail

本部分使用docker-mailserver作为例子来搭建邮件服，它包含了postfix, dovecot, SpamAssian, OpenDKIM, OpenDMARC, Fail2Ban等服务，并简单配置为了开箱即用，基本上半小时就可以打造一个功能完备的邮件服务器

docker-mailserver

准备服务器

需要满足几个条件

ip和服务器域名未被列入黑名单(可通过MX Super Tool检查黑名单)
开放25端口
可配置rDNS/PTR记录(可选，尽量)
纯净系统，安装时将hostname主机名填为邮件服务器域名，如mail.example.org

如果只是用docker-mailserver配置简单的邮件服，使用人数少，那配置无需太高，1c 512m即可

当然，要安装docker及docker-compose

配置

如果你的邮件服务器准备于二级域名下，如mail.example.org指向它，那将hostname配置为子域名，domainname配置为apex域^2即可。

:::tip[此处并非填写发信域] 此处仅配置邮件服务器的所在域，例如配置为mail.example.org，那后面小节中的发信域mx记录就指向它 :::

如果直接用apex域，那就将hostname填为example.org，删掉domainname

version: '3.3'
services:
  mailserver:
    image: docker.io/mailserver/docker-mailserver:latest
    container_name: mailserver
    hostname: mail
    domainname: example.org
    env_file: mailserver.env
    environment:
      - SSL_TYPE=letsencrypt
    ports:
      - "25:25"    # SMTP  (explicit TLS => STARTTLS)
      - "143:143"  # IMAP4 (explicit TLS => STARTTLS)
      - "465:465"  # ESMTP (implicit TLS)
      - "587:587"  # ESMTP (explicit TLS => STARTTLS)
      - "993:993"  # IMAP4 (implicit TLS)
    volumes:
      - ./docker-data/dms/mail-data/:/var/mail/
      - ./docker-data/dms/mail-state/:/var/mail-state/
      - ./docker-data/dms/mail-logs/:/var/log/mail/
      - ./docker-data/dms/config/:/tmp/docker-mailserver/
      - /etc/localtime:/etc/localtime:ro
      - /etc/letsencrypt:/etc/letsencrypt
    restart: always
    stop_grace_period: 1m
    cap_add:
      - NET_ADMIN
    healthcheck:
      test: "ss --listening --tcp | grep -P 'LISTEN.+:smtp' || exit 1"
      timeout: 3s
      retries: 0

环境变量

以下是我自用的环境变量，使用前请修改所有example.org占位符为你自己准备配置的主发信域名

还有其它一些选项可配置，请看文档了解相关环境变量含义

强烈建议使用certbot申请证书！上一节的docker-compose.yml已经配置为兼容certbot与letsencrypt，只需在容器外用certbot申请一个邮件服务器域名的SSL证书即可使用

更多SSL配置方式请看文档

OVERRIDE_HOSTNAME=
DMS_DEBUG=0
LOG_LEVEL=info
SUPERVISOR_LOGLEVEL=info
ONE_DIR=1
ACCOUNT_PROVISIONER=
POSTMASTER_ADDRESS=postmaster@example.org
ENABLE_UPDATE_CHECK=1
UPDATE_CHECK_INTERVAL=1d
PERMIT_DOCKER=none
TZ=Asia/Shanghai
NETWORK_INTERFACE=
TLS_LEVEL=
SPOOF_PROTECTION=1
ENABLE_SRS=0
ENABLE_OPENDKIM=1
ENABLE_OPENDMARC=1
ENABLE_POP3=
ENABLE_CLAMAV=0
ENABLE_RSPAMD=1
ENABLE_RSPAMD_REDIS=
ENABLE_AMAVIS=1
AMAVIS_LOGLEVEL=1
ENABLE_DNSBL=1
ENABLE_FAIL2BAN=1
FAIL2BAN_BLOCKTYPE=drop
ENABLE_MANAGESIEVE=
POSTSCREEN_ACTION=enforce
SMTP_ONLY=
SSL_TYPE=
SSL_CERT_PATH=
SSL_KEY_PATH=
SSL_ALT_CERT_PATH=
SSL_ALT_KEY_PATH=
VIRUSMAILS_DELETE_DELAY=
POSTFIX_DAGENT=
POSTFIX_MAILBOX_SIZE_LIMIT=
ENABLE_QUOTAS=1
POSTFIX_MESSAGE_SIZE_LIMIT=
CLAMAV_MESSAGE_SIZE_LIMIT=
PFLOGSUMM_TRIGGER=
PFLOGSUMM_RECIPIENT=
PFLOGSUMM_SENDER=
LOGWATCH_INTERVAL=weekly
LOGWATCH_RECIPIENT=
LOGWATCH_SENDER=
REPORT_RECIPIENT=postmaster@example.org
REPORT_SENDER=
LOGROTATE_INTERVAL=weekly
POSTFIX_INET_PROTOCOLS=all
DOVECOT_INET_PROTOCOLS=all
ENABLE_SPAMASSASSIN=1
SPAMASSASSIN_SPAM_TO_INBOX=1
ENABLE_SPAMASSASSIN_KAM=1
MOVE_SPAM_TO_JUNK=1
SA_TAG=-100000.0
SA_TAG2=5.0
SA_KILL=15.0
SA_SPAM_SUBJECT=***SPAM*****
ENABLE_FETCHMAIL=0
FETCHMAIL_POLL=300
ENABLE_LDAP=
LDAP_START_TLS=
LDAP_SERVER_HOST=
LDAP_SEARCH_BASE=
LDAP_BIND_DN=
LDAP_BIND_PW=
LDAP_QUERY_FILTER_USER=
LDAP_QUERY_FILTER_GROUP=
LDAP_QUERY_FILTER_ALIAS=
LDAP_QUERY_FILTER_DOMAIN=
DOVECOT_TLS=
DOVECOT_USER_FILTER=
DOVECOT_PASS_FILTER=
DOVECOT_MAILBOX_FORMAT=maildir
DOVECOT_AUTH_BIND=
ENABLE_POSTGREY=0
POSTGREY_DELAY=300
POSTGREY_MAX_AGE=35
POSTGREY_TEXT="Delayed by Postgrey"
POSTGREY_AUTO_WHITELIST_CLIENTS=5
ENABLE_SASLAUTHD=0
SASLAUTHD_MECHANISMS=
SASLAUTHD_MECH_OPTIONS=
SASLAUTHD_LDAP_SERVER=
SASLAUTHD_LDAP_BIND_DN=
SASLAUTHD_LDAP_PASSWORD=
SASLAUTHD_LDAP_SEARCH_BASE=
SASLAUTHD_LDAP_FILTER=
SASLAUTHD_LDAP_START_TLS=
SASLAUTHD_LDAP_TLS_CHECK_PEER=
SASLAUTHD_LDAP_TLS_CACERT_FILE=
SASLAUTHD_LDAP_TLS_CACERT_DIR=
SASLAUTHD_LDAP_PASSWORD_ATTR=
SASLAUTHD_LDAP_AUTH_METHOD=
SASLAUTHD_LDAP_MECH=
SRS_SENDER_CLASSES=envelope_sender
SRS_EXCLUDE_DOMAINS=
SRS_SECRET=
DEFAULT_RELAY_HOST=
RELAY_HOST=
RELAY_PORT=25
RELAY_USER=
RELAY_PASSWORD=

启动&查看日志

启动

docker-compose up -d

查看实时日志

docker-compose logs -f

管理

您最好的朋友！Setup.sh！

wget https://raw.githubusercontent.com/docker-mailserver/docker-mailserver/master/setup.sh
chmod a+x ./setup.sh

下载setup.sh后，可以直接运行以获得帮助信息

由于docker-mailserver使用虚拟域，所以任何域名的配置都会在添加相关账号后才会生成

例如使用./setup.sh email add admin@example.org "<password>"后，example.org的配置和存储位置便会生成

配置dns记录

接下来，请转到你的域名服务提供商。这里假设已经配置好邮件服务器域名为mail.example.org，且已将A记录指向服务器。发信域名为example.org

请确保域名已配置好DNSSEC

MX

该记录用于声明为域处理邮件的服务器

类型	名称	内容	优先级	TTL
MX	@	`mail.example.org`	10	1小时

SPF

SPF（Sender Policy Framework）用于防止邮件伪造，也就是防止垃圾邮件。可以指定哪些IP地址有权代表该域名发送电子邮件。

SPF记录语法如下：

v=spf1 a mx ip4:192.0.2.0/24 ip6:2001:0db8::/32 include:example.org ~all

a：该域名的A记录所指向的IP地址允许代表该域名发信
mx：该域名的MX记录所指向的IP地址允许代表该域名发信
ip4/ip6：允许该网段ip发信
include:example.com：example.com域名的SPF记录中包含的IP地址也可以代表该域名发送电子邮件
~all：表示除了上述机制之外的所有IP地址都可以尝试代表该域名发送电子邮件，但是会被标记为垃圾邮件。如果将此处改为-all，那除了前面被允许的地址外，任何地址都不可以代表该域名发信。建议使用-all

建议配置为：

类型	名称	内容	TTL
TXT	@	`v=spf1 mx -all`	1小时

DMARC

DMARC（Domain-based Message Authentication, Reporting & Conformance）基于SPF和DKIM，可以让邮件接收方验证发件人的身份，并向域名所有者提供有关发件人身份验证结果的报告

当邮件接收方收到一封电子邮件时，它会通过SPF和DKIM技术验证发件人的身份。如果发件人的电子邮件地址与SPF记录和DKIM签名匹配，则认为该邮件是合法的；否则就认为该邮件可能是垃圾邮件或欺诈邮件。如果域名所有者启用了DMARC，邮件接收方还会将验证结果报告给域名所有者，以便其进一步分析和处理

DMARC 记录语法如下：

v=DMARC1; p=quarantine; sp=none; rua=mailto:postmaster@example.org; ruf=mailto:postmaster@example.org;

p: 用于指定如何处理邮件，有三种取值：none 表示只报告，不采取任何动作，quarantine 表示将邮件放入收件人的垃圾邮件文件夹中，reject 表示直接拒绝邮件。
sp: 用于指定子域名的处理方式，取值同 p
rua: 指定接收邮件验证报告的地址，可以是多个邮箱地址，用逗号分隔。
ruf: 指定接收邮件处理报告地址，其它同上

建议配置为：

类型	名称	内容	TTL
TXT	_dmarc	`v=DMARC1; p=quarantine; sp=quarantine; rua=mailto:postmaster@example.org; ruf=mailto:postmaster@example.org;`	1小时

DKIM

首先，通过./setup.sh config dkim domain "<domain>"生成发信域名的DKIM公/私钥

接着，查看docker-data/dms/config/opendkim/keys/<domain>/<selector>.txt即可找到需要发布到DNS的DKIM公钥，形如<selector>._domainkey IN TXT ( "v=DKIM1; h=sha256; k=rsa; " "p=xxxxxxx" "xxxxxxx" "xxxxxxx" ) ; ----- DKIM key mail for example.org

使用时需去掉引号与空格，将引号内内容发布至dns，示例如下：

类型	名称	内容	TTL
TXT	`<selector>._domainkey`	`v=DKIM1; h=sha256; k=rsa; p=xxxxxxxxxxxxxxxxxxxxx`	1小时

高级: 多域名使用

由于使用虚拟域，docker-mailserver不存在主域名的说法，任何添加了账号的域名都可被使用来发信，因此请谨慎添加账号，以防发送假冒邮件被退信导致域名/ip进黑名单

按照上文，已经配置好example.org，该如何添加第二个test.com？

只需要按照从"使用setup.sh添加账号"这个步骤起，将发信域名全换为准备添加的第二个域名，重新走一边流程，就可以正常发信/收信了

多个域名同理

优化

PTR/rDNS

PTR 记录提供 IP 地址和域名之间的映射关系

在邮件传输过程中，邮件服务器会根据 IP 地址来确定邮件发送方的域名。如果邮件服务器收到了一封来自未知 IP 地址的邮件，它会尝试使用 PTR 记录查找该 IP 地址对应的域名。如果查找成功，并且该域名与邮件中的发件人域名匹配，那么该邮件就被认为是合法的

例如，iCloud Mail某一台mx服务器的ip地址为17.42.251.62，那么dig -x 17.42.251.62即可反查到该ip指向的域名

附加：解除黑名单/白名单

DNSWL是一个不错的ip地址库，可以将域名与其匹配的ip认证为白名单

SpamHaus也可用于检查是否为黑名单，并提供自助申诉

检查

Mail Tester可以非常方便地看出得分，10分基本上就不可能被放进垃圾邮箱里了

[^1]: 该记录对于大型邮件服务提供商而言，一般会有多个MTA，这只是优先级最高的那个。例如通过dig MX gmail.com可以看到gmail具有五个MX记录alt4.gmail-smtp-in.l.google.com,gmail-smtp-in.l.google.com,alt3.gmail-smtp-in.l.google.com,alt2.gmail-smtp-in.l.google.com,alt1.gmail-smtp-in.l.google.com

Cloudflare Pages上的Hexo博客添加自定义响应头

Sat, 18 Feb 2023 17:59:30 GMT

在上一篇博文配置响应头提高网页安全性让跑分达到A+！中，我简单介绍了一些能够提高安全性的响应头，但众所周知，静态博客基本上都是白嫖托管在各大平台上的，例如GitHub Pages、Cloudflare Pages、腾讯云Serverless、Vercel、Heroku、Netlify等。

在这种托管平台上，Headers响应头配置必须依靠平台本身提供的功能，例如~~GitHub的没有~~Vercel的Vercel.json、Netlify的自定义标头、Cloudflare Pages HeadersCloudflare Pages Headers

坑点

其他平台的自定义标头都是用gui或配置文件来定义的，而Cloudflare Pages与众不同，它要求设置一个_headers文件位于生成的网页根目录下

hexo在生成网页时会将source目录下的文件同步复制到生成的网页根目录下，所以将这个文件放在source里就好

但这个下划线就是个问题了，在Hexo文档中，有这么一句话：

Hexo ignores hidden files and files or folders whose names are prefixed with _ (underscore) - except the _posts folder.

Hexo会忽略以下划线开头的文件或文件夹（除了_posts）

那么该怎么强行让Hexo在生成时将source目录下的_headers复制到站点根目录并跳过渲染？

解决

在skip_render配置项中填入_headers后，还需要使用include将该文件包含在生成时需要复制到根目录的列表里面

文档内并没有提供这类用法，但这个issue验证了该方法的可行性

在_conifg.yml中按照以下用法填入即可

跳过渲染

skip_render:
  - '_headers'

强行包含

include:
  - '_headers'

配置

这样就可以保证source目录下的_headers将会生成于网站根目录下

那该怎么配置这个文件？

基本语法如下：

[url]
  [name]: [value]

e.g.

/secure/page
  X-Frame-Options: DENY
  X-Content-Type-Options: nosniff
  Referrer-Policy: no-referrer

/static/*
  Access-Control-Allow-Origin: *
  X-Robots-Tag: nosnippet

https://myproject.pages.dev/*
  X-Robots-Tag: noindex

删除响应头：

/*.jpg
  ! Content-Security-Policy

更多详细内容请查看Cloudflare Pages Headers

配置响应头提高网页安全性让跑分达到A+！

Sat, 18 Feb 2023 04:35:48 GMT

配置安全响应头可以有效地防止客户端被入侵

检测网址

Security Headers

Mozilla Observatory

介绍与配置

HTTP严格传输安全(HSTS)

http是明文传输，完全没有任何加密，这意味着任何人都可以从传输数据中获取浏览器到服务器间的所有内容。所以https使用的TLS加密十分值得推崇。然而，除非特殊指定https，否则每次用域名访问时，都会首先向服务器发送http请求，再由服务器发送重定向到浏览器，接着浏览器才会升级为https。

HSTS就是解决这一问题的方法。

当浏览器接收到https站点发送的Strict-Transport-Security头，浏览器便会遵守参数规定的时间执行https访问，当浏览器再次访问该站且未过规定时间时，浏览器便不会再发出HTTP请求，而是直接转用https连接，这防止了SSL剥离等针对尚未升级为https连接的攻击。

e.g.

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

该头具有三个参数：max-age=63072000、includeSubDomains、preload。

max-age=表明保持HTTPS连接的时间，后跟秒数，如max-age=31536000含义为一年内仅使用https连接
includeSubDomains表示该域名下所有子域名皆使用https访问

HSTS很好，但最原始最开始的那次连接始终是http，如果有个图谋已久的~~脚本小子~~渗透专家始终盯着一举一动，那该怎么办？

preload参数便是用于解决这一问题。浏览器会从Chrome或Firefox预加载列表里获取应直接使用https连接的站点。该列表可在HSTSpreload主动提交

该列表可用chrome://net-internals/#hsts在本地Chrome上查询和删改

X-Frame-Options

:::tip[建议使用CSP参数代替] Content-Security-Policy 响应头有一个 frame-ancestors 参数可以完美替代X-Frame-Options响应头且具有更多特性 :::

X-Frame-Options HTTP 响应头是用来给浏览器指示允许一个页面可否在 <frame>、<iframe>、<embed> 或者 <object> 中展现的标记。站点可以通过确保网站没有被嵌入到别人的站点里面，从而避免点击劫持攻击。

e.g.

X-Frame-Options: SAMEORIGIN

该头仅有两个参数，SAMEORIGIN和DENY。

SAMEORIGIN表明该页面只允许同源域名展示frame
DENY表明完全不允许任何frame

X-Content-Type-Options

该头的主要作用是要求客户端严格遵守响应头Content-Type中规定的文件MIME类型。否则浏览器会使用MIME-sniffing猜测返回文件的内容并执行

如果该头没有被配置，那么隐藏在图片或其他媒体文件中的javascript和css就可能被攻击者利用来渗透系统

e.g.

X-Content-Type-Options: nosniff

该头仅有nosniff一个参数来提示客户端

nosniff将阻止请求与MIME类型不符的情况发生。

X-XSS-Protection

:::warning[浏览器兼容性] 目前仅Safari浏览器仍支持该头可被完全配置的CSP头取代 :::

该头的作用和其名字一样一目了然，基于浏览器防护XSS攻击，因此不属于任何规范和草案中。

e.g.

X-XSS-Protection: 1; mode=block

该头有四个参数~引用自Mdn~

0 禁止 XSS 过滤。
1 表明启用 XSS 过滤。如果检测到跨站脚本攻击，浏览器将清除页面（删除不安全的部分）。
1;mode=block 表明启用 XSS 过滤。如果检测到攻击，浏览器将不会清除页面，而是阻止页面加载。
1; report=<reporting-URI> 仅chrome 4-77版本支持。该参数表明启用 XSS 过滤。如果检测到跨站脚本攻击，浏览器将清除页面并使用 CSP report-uri 的功能发送违规报告。

Permissions Policy

该头可用来控制页面可访问的浏览器功能，这可以让站点先一步为自身划定可能使用权限范围

e.g.

Permissions-Policy: geolocation=()

该头具有很多个参数，参数语法为<directive>=<allowlist>，前半部分表示权限，后半部分表示允许的白名单。

:::note[权限列表]

document-domain

是否允许设置document.domain

encrypted-media

是否允许使用加密媒体扩展API (EME)

execution-while-not-rendered

任务在未呈现时是否应在框架中执行

execution-while-out-of-viewport

任务在可见视口之外时是否应在帧中执行

fullscreen

是否允许使用Element.requestFullscreen()

gamepad

是否允许使用Gamepad API

geolocation

是否允许使用Geolocation API

gyroscope

是否允许通过界面收集有关设备方向的信息

hid

是否允许使用WebHID API连接到不常见或奇异的人机界面设备，例如备用键盘或游戏手柄。

idle-detection

是否允许使用空闲检测 API来检测用户何时与他们的设备交互

local-fonts

是否允许收集有关用户本地安装字体的数据

magnetometer

是否允许通过界面收集有关设备方向的信息

microphone

是否允许使用音频输入设备

midi

是否允许使用Web MIDI API

payment

是否允许使用Payment Request API

picture-in-picture

是否允许通过相应的API以画中画模式播放视频。

publickey-credentials-get

是否允许使用Web Authentication API来检索已存储的公钥凭据

screen-wake-lock

是否允许使用屏幕唤醒锁定 API来指示设备不应关闭或调暗屏幕

serial

是否允许使用Web Serial API与串行设备通信，通过串行端口直接连接，或通过 USB 或蓝牙设备模拟串行端口

speaker-selection

是否允许使用音频输出设备 API来列出和选择扬声器

usb

是否允许使用Web USB API

web-share

是否允许使用Navigator.share(), Web Share API 将文本、链接、图像和其他内容共享到用户选择的任意目的地，例如移动应用程序

xr-spatial-tracking

是否允许使用WebXR 设备 API与 WebXR 会话进行交互

accelerometer

是否允许收集有关设备加速度信息

ambient-light-sensor

是否允许收集有关设备周围环境中的亮度信息

autoplay

是否允许自动播放通过HTMLMediaElement请求的媒体。

battery

是否允许使用电池状态 API

camera

是否允许使用视频输入设备

display-capture

是否允许使用该getDisplayMedia()方法捕获屏幕内容 :::

白名单则具有三种值：

*: 允许当前页面及所有呈现在页面中的内容使用该功能
(): 不允许使用该功能
(self "https://example.org"): 该种参数允许使用通配符，每个允许站点间以空格隔开，self表示本页面

内容安全策略（CSP）

该头定义了哪些内容允许被该页面使用并执行。

CSP配置很复杂，详情可以看看阮一峰老师的博客 Content Security Policy 入门教程

我可不想重造轮子~~绝不是因为懒得写~~

配置好CSP头后也可以使用Google提供的CSP Evaluator检测一下自己的CSP策略是否强力

跑分

最上面的两个检测网址均可对响应头进行检测，Securityheaders的检测没有Mozilla家的那么严苛，一般来讲检测如果能达到A+就表明安全性响应头配置得差不多了。

The Fuck？拯救手残党！

Tue, 07 Feb 2023 03:03:02 GMT

:::tip[以原文为主] 本文翻译并总结了原文档，如有冲突，请以原文档为准！ :::

:::warning[警告] 如无特殊声明，本文所有指令在Debian/Ubuntu系Linux发行版中运行最佳 :::

需求与痛点

Linux系统的最佳用法自然是CLI，然而CLI的一大痛点就是——没有图形界面！~~这不是废话嘛~~

没有图形界面，就需要用户一个字符一个字符地去敲命令来。由于没有图形界面这么直观，无论是大神还是新手都会时不时犯下一些拼错字符或打错字的低级错误，但大神和新手不同的是，大神会用命令行快捷键来快速纠错，这篇文章“Linux 命令行编辑快捷键” 详细地介绍了命令行中一些快捷键来辅助Linuxer们操作命令。

但，我还是觉得麻烦，输了一长串命令结果要我去慢慢纠错，实在是想骂出声：“Fuck！”

于是，一个极具戏剧性的命令诞生了：TheFuck

功能

举例<sub>以下内容引用自原开发者nvbn</sub>

➜ apt-get install vim
E: Could not open lock file /var/lib/dpkg/lock - open (13: Permission denied)
E: Unable to lock the administration directory (/var/lib/dpkg/), are you root?

➜ fuck
sudo apt-get install vim [enter/↑/↓/ctrl+c]
[sudo] password for nvbn:
Reading package lists... Done
...

➜ git push
fatal: The current branch master has no upstream branch.
To push the current branch and set the remote as upstream, use

    git push --set-upstream origin master


➜ fuck
git push --set-upstream origin master [enter/↑/↓/ctrl+c]
Counting objects: 9, done.
...

➜ puthon
No command 'puthon' found, did you mean:
 Command 'python' from package 'python-minimal' (main)
 Command 'python' from package 'python3' (main)
zsh: command not found: puthon

➜ fuck
python [enter/↑/↓/ctrl+c]
Python 3.4.2 (default, Oct  8 2014, 13:08:17)
...

➜ git brnch
git: 'brnch' is not a git command. See 'git --help'.

Did you mean this?
    branch

➜ fuck
git branch [enter/↑/↓/ctrl+c]
* master

➜ lein rpl
'rpl' is not a task. See 'lein help'.

Did you mean this?
         repl

➜ fuck
lein repl [enter/↑/↓/ctrl+c]
nREPL server started on port 54848 on host 127.0.0.1 - nrepl://127.0.0.1:54848
REPL-y 0.3.1
...

如果你不怕盲目地运行更正的命令，可以禁用 require_confirmation 设置项：

➜ apt-get install vim
E: Could not open lock file /var/lib/dpkg/lock - open (13: Permission denied)
E: Unable to lock the administration directory (/var/lib/dpkg/), are you root?

➜ fuck
sudo apt-get install vim
[sudo] password for nvbn:
Reading package lists... Done
...

安装

依赖

The Fuck依赖Python运行，nvbn给出的依赖项为

Python (3.4+)
pip
Python-dev

安装依赖与本体

通过以下指令安装 (其他发行版Linux请见原文安装部分)

sudo apt update
sudo apt install python3-dev python3-pip python3-setuptools
sudo pip3 install thefuck

原文处的安装命令在最后一个命令的地方加了--user参数，这意味着The Fuck被安装在当前登录用户目录的.local/bin，需要添加环境变量才能运行，此处进行了修改，直接root或sudo下安装该包可跳过该过程。

添加别名

~~建议在.bash_profile, .bashrc, .zshrc 或其他终端启动脚本中添加以下命令:eval $(thefuck --alias)~~

The Fuck已经支持自动添加，只需要在安装完毕后输入两次fuck即可。

更新

pip3 install thefuck --upgrade

使用

Fuck!

命令执行错误后，~~高呼一句Fuck~~输入fuck，再用上下键控制选项，回车键确认修正即可

参数

--yeah

fuck --yeah或者fuck -y跳过确认，直接执行修正后的命令

-r

fuck -r使TheFuck递归修正并执行命令，直到命令执行成功

设置

配置项

TheFuck的配置文件默认是~/.config/thefuck/settings.py

rules – 启用的规则列表，默认为 thefuck.const.DEFAULT_RULES

exclude_rules – 禁用规则列表，默认为 []

require_confirmation – 在运行修正后命令之前是否需要确认，默认为 True

wait_command–获取上一个命令输出的最长时间（以秒为单位）

no_colors – 禁用彩色输出

priority – 具有规则优先级的字典，优先级priority较低的规则将先行匹配

debug – 是否启用调试输出，默认为 False

history_limit – 扫描多少条历史命令，如 2000

alter_history – 是否将修正后命令加入到历史记录，默认为 True

wait_slow_command – 如果它在 slow_commands 列表中，则获取上一个命令输出的最大时间（以秒为单位）

slow_commands –慢命令列表

num_close_matches – 命令修正建议的最大匹配数，默认为 3。

excluded_search_path_prefixes – 搜索命令时需要忽略的路径前缀，默认为 []。

即时模式(实验性)

The Fuck 的默认行为需要时间来重新运行以前的命令。在即时模式下，The Fuck 通过使用脚本的记录输出接着读取日志来节省时间。

目前，即时模式仅支持带有 bash 或 zsh 的 Python 3。 zsh 的自动更正功能也需要被禁用，以便 thefuck 正常工作。

要启用即时模式，请将 --enable-experimental-instant-mode 添加到 .bashrc、.bash_profile 、 .zshrc 等终端启动脚本中的别名参数内。

举例如下：

eval $(thefuck --alias --enable-experimental-instant-mode)

博客显示当前Cloudflare CDN节点，让界面更炫酷

Sun, 18 Sep 2022 01:40:02 GMT

:::tip[更新日志] 2023.08.15 从hexo跳槽到hugo！也许之后会再把这个节点显示重新部署

2023.03.03 由于博客使用了多平台多线路部署，页脚已更换为CI平台提示 :::

本文基于huai.pub于2020-03-13 17:55:26发表的文章而成，遵循署名-非商业性使用 4.0 国标 (CC BY-NC 4.0)

前言

本博客自建立以来，先后托管于Cloudflare Pages和Vercel。几个月前，Vercel的A记录ip被GFW部分污染，经过拨测的全国测速，全国15%的地区污染^1。~~居然有那么多人看不到我精心完成的博客~~这怎么能忍！

于是我上周把博客又切换回了Cloudflare Pages，虽然延迟比不上Vercel，全国ping出来平均都有150ms^2，但好在Cloudflare拥有很强的可定制性和全球可用性，也就不在意那一点延迟了。

这时，我又看到了这篇博客：在开启了CloudFlare的页面中显示当前节点信息

既然已经切换到了Cloudflare，何不整个炫酷的？放在页脚，页面整体渲染后再呈现信息，不影响性能的同时还能告诉各位连接的节点~~顺便装个逼~~

js脚本

代码

我修改了一下原文章中获取脚本的返回，缩减了一点点代码~~，然后增加了n多代码~~

原脚本用indexOf()匹配节点，修改版用正则替换了一下，改成了数组内套json的方法~~绝对不是看原版的括号不爽~~，这样更直接，难出错。

<details> <summary>格式化后的JavaScript脚本，太长了，这里把它先折叠起来</summary>

$(document).ready(
    $.ajax({
        url: "/cdn-cgi/trace",
        success: function (data, status) {
            let areas = [
                '{"s":"TNR","l":"Antananarivo, Madagascar"}',
                '{"s":"CPT","l":"Cape Town, South Africa"}',
                '{"s":"CMN","l":"Casablanca, Morocco"}',
                '{"s":"DAR","l":"Dar Es Salaam, Tanzania"}',
                '{"s":"JIB","l":"Djibouti City, Djibouti"}',
                '{"s":"DUR","l":"Durban, South Africa"}',
                '{"s":"JNB","l":"Johannesburg, South Africa"}',
                '{"s":"KGL","l":"Kigali, Rwanda"}',
                '{"s":"LOS","l":"Lagos, Nigeria"}',
                '{"s":"LAD","l":"Luanda, Angola"}',
                '{"s":"MPM","l":"Maputo, MZ"}',
                '{"s":"MBA","l":"Mombasa, Kenya"}',
                '{"s":"MRU","l":"Port Louis, Mauritius"}',
                '{"s":"RUN","l":"Réunion, France"}',
                '{"s":"BLR","l":"Bangalore, India"}',
                '{"s":"BKK","l":"Bangkok, Thailand"}',
                '{"s":"BWN","l":"Bandar Seri Begawan, Brunei"}',
                '{"s":"CEB","l":"Cebu, Philippines"}',
                '{"s":"CTU","l":"成都, 🇨🇳 中国大陆"}',
                '{"s":"MAA","l":"Chennai, India"}',
                '{"s":"CGP","l":"Chittagong, Bangladesh"}',
                '{"s":"CKG","l":"重庆, 🇨🇳 中国大陆"}',
                '{"s":"CMB","l":"Colombo, Sri Lanka"}',
                '{"s":"DAC","l":"Dhaka, Bangladesh"}',
                '{"s":"SZX","l":"东莞, 🇨🇳 中国大陆"}',
                '{"s":"FUO","l":"佛山, 🇨🇳 中国大陆"}',
                '{"s":"FOC","l":"福州, 🇨🇳 中国大陆"}',
                '{"s":"CAN","l":"广州, 🇨🇳 中国大陆"}',
                '{"s":"HGH","l":"杭州, 🇨🇳 中国大陆"}',
                '{"s":"HAN","l":"Hanoi, Vietnam"}',
                '{"s":"HNY","l":"衡阳, 🇨🇳 中国大陆"}',
                '{"s":"SGN","l":"Ho Chi Minh City, Vietnam"}',
                '{"s":"HKG","l":"🇭🇰 香港"}',
                '{"s":"HYD","l":"Hyderabad, India"}',
                '{"s":"ISB","l":"Islamabad, Pakistan"}',
                '{"s":"CGK","l":"Jakarta, Indonesia"}',
                '{"s":"TNA","l":"济南, 🇨🇳 中国大陆"}',
                '{"s":"KHI","l":"Karachi, Pakistan"}',
                '{"s":"KTM","l":"Kathmandu, Nepal"}',
                '{"s":"CCU","l":"Kolkata, India"}',
                '{"s":"KUL","l":"Kuala Lumpur, Malaysia"}',
                '{"s":"LHE","l":"Lahore, Pakistan"}',
                '{"s":"NAY","l":"廊坊, 🇨🇳 中国大陆"}',
                '{"s":"LYA","l":"洛阳, 🇨🇳 中国大陆"}',
                '{"s":"MFM","l":"🇲🇴 澳门"}',
                '{"s":"MLE","l":"Malé, Maldives"}',
                '{"s":"MNL","l":"Manila, Philippines"}',
                '{"s":"BOM","l":"Mumbai, India"}',
                '{"s":"NAG","l":"Nagpur, India"}',
                '{"s":"NNG","l":"南宁, 🇨🇳 中国大陆"}',
                '{"s":"DEL","l":"New Delhi, India"}',
                '{"s":"KIX","l":"Osaka, Japan"}',
                '{"s":"PNH","l":"Phnom Penh, Cambodia"}',
                '{"s":"TAO","l":"青岛, 🇨🇳 中国大陆"}',
                '{"s":"ICN","l":"Seoul, South Korea"}',
                '{"s":"SHA","l":"上海, 🇨🇳 中国大陆"}',
                '{"s":"SHE","l":"沈阳, 🇨🇳 中国大陆"}',
                '{"s":"SJW","l":"石家庄, 🇨🇳 中国大陆"}',
                '{"s":"SIN","l":"Singapore, Singapore"}',
                '{"s":"SZV","l":"苏州, 🇨🇳 中国大陆"}',
                '{"s":"TPE","l":"台北, 🇨🇳 台湾"}',
                '{"s":"PBH","l":"Thimphu, Bhutan"}',
                '{"s":"TSN","l":"天津, 🇨🇳 中国大陆"}',
                '{"s":"NRT","l":"Tokyo, Japan"}',
                '{"s":"ULN","l":"Ulaanbaatar, Mongolia"}',
                '{"s":"VTE","l":"Vientiane, Laos"}',
                '{"s":"WUH","l":"武汉, 🇨🇳 中国大陆"}',
                '{"s":"WUX","l":"无锡, 🇨🇳 中国大陆"}',
                '{"s":"XIY","l":"西安, 🇨🇳 中国大陆"}',
                '{"s":"EVN","l":"Yerevan, Armenia"}',
                '{"s":"CGO","l":"郑州, 🇨🇳 中国大陆"}',
                '{"s":"CSX","l":"株洲, 🇨🇳 中国大陆"}',
                '{"s":"AMS","l":"Amsterdam, Netherlands"}',
                '{"s":"ATH","l":"Athens, Greece"}',
                '{"s":"BCN","l":"Barcelona, Spain"}',
                '{"s":"BEG","l":"Belgrade, Serbia"}',
                '{"s":"TXL","l":"Berlin, Germany"}',
                '{"s":"BRU","l":"Brussels, Belgium"}',
                '{"s":"OTP","l":"Bucharest, Romania"}',
                '{"s":"BUD","l":"Budapest, Hungary"}',
                '{"s":"KIV","l":"Chișinău, Moldova"}',
                '{"s":"CPH","l":"Copenhagen, Denmark"}',
                '{"s":"ORK","l":"Cork, Ireland"}',
                '{"s":"DUB","l":"Dublin, Ireland"}',
                '{"s":"DUS","l":"Düsseldorf, Germany"}',
                '{"s":"EDI","l":"Edinburgh, United Kingdom"}',
                '{"s":"FRA","l":"Frankfurt, Germany"}',
                '{"s":"GVA","l":"Geneva, Switzerland"}',
                '{"s":"GOT","l":"Gothenburg, Sweden"}',
                '{"s":"HAM","l":"Hamburg, Germany"}',
                '{"s":"HEL","l":"Helsinki, Finland"}',
                '{"s":"IST","l":"Istanbul, Turkey"}',
                '{"s":"KBP","l":"Kyiv, Ukraine"}',
                '{"s":"LIS","l":"Lisbon, Portugal"}',
                '{"s":"LHR","l":"London, United Kingdom"}',
                '{"s":"LUX","l":"Luxembourg City, Luxembourg"}',
                '{"s":"MAD","l":"Madrid, Spain"}',
                '{"s":"MAN","l":"Manchester, United Kingdom"}',
                '{"s":"MRS","l":"Marseille, France"}',
                '{"s":"MXP","l":"Milan, Italy"}',
                '{"s":"DME","l":"Moscow, Russia"}',
                '{"s":"MUC","l":"Munich, Germany"}',
                '{"s":"LCA","l":"Nicosia, Cyprus"}',
                '{"s":"OSL","l":"Oslo, Norway"}',
                '{"s":"CDG","l":"Paris, France"}',
                '{"s":"PRG","l":"Prague, Czech Republic"}',
                '{"s":"KEF","l":"Reykjavík, Iceland"}',
                '{"s":"RIX","l":"Riga, Latvia"}',
                '{"s":"FCO","l":"Rome, Italy"}',
                '{"s":"LED","l":"Saint Petersburg, Russia"}',
                '{"s":"SOF","l":"Sofia, Bulgaria"}',
                '{"s":"ARN","l":"Stockholm, Sweden"}',
                '{"s":"TLL","l":"Tallinn, Estonia"}',
                '{"s":"SKG","l":"Thessaloniki, Greece"}',
                '{"s":"VIE","l":"Vienna, Austria"}',
                '{"s":"VNO","l":"Vilnius, Lithuania"}',
                '{"s":"WAW","l":"Warsaw, Poland"}',
                '{"s":"ZAG","l":"Zagreb, Croatia"}',
                '{"s":"ZRH","l":"Zürich, Switzerland"}',
                '{"s":"ARI","l":"Arica, Chile"}',
                '{"s":"ASU","l":"Asunción, Paraguay"}',
                '{"s":"BOG","l":"Bogotá, Colombia"}',
                '{"s":"EZE","l":"Buenos Aires, Argentina"}',
                '{"s":"CWB","l":"Curitiba, Brazil"}',
                '{"s":"FOR","l":"Fortaleza, Brazil"}',
                '{"s":"GUA","l":"Guatemala City, Guatemala"}',
                '{"s":"LIM","l":"Lima, Peru"}',
                '{"s":"MDE","l":"Medellín, Colombia"}',
                '{"s":"PTY","l":"Panama City, Panama"}',
                '{"s":"POA","l":"Porto Alegre, Brazil"}',
                '{"s":"UIO","l":"Quito, Ecuador"}',
                '{"s":"GIG","l":"Rio de Janeiro, Brazil"}',
                '{"s":"GRU","l":"São Paulo, Brazil"}',
                '{"s":"SCL","l":"Santiago, Chile"}',
                '{"s":"CUR","l":"Willemstad, Curaçao"}',
                '{"s":"GND","l":"St. George‘s, Grenada"}',
                '{"s":"AMM","l":"Amman, Jordan"}',
                '{"s":"BGW","l":"Baghdad, Iraq"}',
                '{"s":"GYD","l":"Baku, Azerbaijan"}',
                '{"s":"BEY","l":"Beirut, Lebanon"}',
                '{"s":"DOH","l":"Doha, Qatar"}',
                '{"s":"DXB","l":"Dubai, United Arab Emirates"}',
                '{"s":"KWI","l":"Kuwait City, Kuwait"}',
                '{"s":"BAH","l":"Manama, Bahrain"}',
                '{"s":"MCT","l":"Muscat, Oman"}',
                '{"s":"ZDM","l":"Ramallah"}',
                '{"s":"RUH","l":"Riyadh, Saudi Arabia"}',
                '{"s":"TLV","l":"Tel Aviv, Israel"}',
                '{"s":"IAD","l":"Ashburn, VA, United States"}',
                '{"s":"ATL","l":"Atlanta, GA, United States"}',
                '{"s":"BOS","l":"Boston, MA, United States"}',
                '{"s":"BUF","l":"Buffalo, NY, United States"}',
                '{"s":"YYC","l":"Calgary, AB, Canada"}',
                '{"s":"CLT","l":"Charlotte, NC, United States"}',
                '{"s":"ORD","l":"Chicago, IL, United States"}',
                '{"s":"CMH","l":"Columbus, OH, United States"}',
                '{"s":"DFW","l":"Dallas, TX, United States"}',
                '{"s":"DEN","l":"Denver, CO, United States"}',
                '{"s":"DTW","l":"Detroit, MI, United States"}',
                '{"s":"HNL","l":"Honolulu, HI, United States"}',
                '{"s":"IAH","l":"Houston, TX, United States"}',
                '{"s":"IND","l":"Indianapolis, IN, United States"}',
                '{"s":"JAX","l":"Jacksonville, FL, United States"}',
                '{"s":"MCI","l":"Kansas City, MO, United States"}',
                '{"s":"LAS","l":"Las Vegas, NV, United States"}',
                '{"s":"LAX","l":"Los Angeles, CA, United States"}',
                '{"s":"MFE","l":"McAllen, TX, United States"}',
                '{"s":"MEM","l":"Memphis, TN, United States"}',
                '{"s":"MEX","l":"Mexico City, Mexico"}',
                '{"s":"MIA","l":"Miami, FL, United States"}',
                '{"s":"MSP","l":"Minneapolis, MN, United States"}',
                '{"s":"MGM","l":"Montgomery, AL, United States"}',
                '{"s":"YUL","l":"Montréal, QC, Canada"}',
                '{"s":"BNA","l":"Nashville, TN, United States"}',
                '{"s":"EWR","l":"Newark, NJ, United States"}',
                '{"s":"ORF","l":"Norfolk, VA, United States"}',
                '{"s":"OMA","l":"Omaha, NE, United States"}',
                '{"s":"PHL","l":"Philadelphia, United States"}',
                '{"s":"PHX","l":"Phoenix, AZ, United States"}',
                '{"s":"PIT","l":"Pittsburgh, PA, United States"}',
                '{"s":"PAP","l":"Port-Au-Prince, Haiti"}',
                '{"s":"PDX","l":"Portland, OR, United States"}',
                '{"s":"QRO","l":"Queretaro, MX, Mexico"}',
                '{"s":"RIC","l":"Richmond, Virginia"}',
                '{"s":"SMF","l":"Sacramento, CA, United States"}',
                '{"s":"SLC","l":"Salt Lake City, UT, United States"}',
                '{"s":"SAN","l":"San Diego, CA, United States"}',
                '{"s":"SJC","l":"San Jose, CA, United States"}',
                '{"s":"YXE","l":"Saskatoon, SK, Canada"}',
                '{"s":"SEA","l":"Seattle, WA, United States"}',
                '{"s":"STL","l":"St. Louis, MO, United States"}',
                '{"s":"TPA","l":"Tampa, FL, United States"}',
                '{"s":"YYZ","l":"Toronto, ON, Canada"}',
                '{"s":"YVR","l":"Vancouver, BC, Canada"}',
                '{"s":"TLH","l":"Tallahassee, FL, United States"}',
                '{"s":"YWG","l":"Winnipeg, MB, Canada"}',
                '{"s":"ADL","l":"Adelaide, SA, Australia"}',
                '{"s":"AKL","l":"Auckland, New Zealand"}',
                '{"s":"BNE","l":"Brisbane, QLD, Australia"}',
                '{"s":"MEL","l":"Melbourne, VIC, Australia"}',
                '{"s":"NOU","l":"Noumea, New caledonia"}',
                '{"s":"PER","l":"Perth, WA, Australia"}',
                '{"s":"SYD","l":"Sydney, NSW, Australia"}'
            ];
            let area = data.split("colo=")[1].split("\n")[0];
            for (var i = 0; i < areas.length; i++) {
                const as = JSON.parse(areas[i]);
                if (as.s == area) {
                    document.getElementById("cdn").innerHTML = as.l;
                    break;
                };
            }
        }
    }
    )
);

</details>

修改版将所有的中国节点加上了国旗emoji，替换为了中文，有兴趣的同学也可以自行替换其他节点

不过Cloudflare大陆节点只有Enterprise Plan用户且已备案才能使用，~~咱也不是sukka那种巨佬~~我不认为能看到大陆节点出现的那一天😢

原理

Cloudflare为所有客户加上了/cdn-cgi/端点，任何一个套了Cloudflare的网站访问example.com/cdn-cgi/trace后都会返回用户现在的信息，如ip地址、CDN节点、是否开启WARP、tls协议版本等。

那么就可以在前端访问这个端点，再进行解析，将内容写入前段对应id的标签内，就可以呈现出目前的用户与Cloudflare CDN间的关系了。

使用

前提

由于使用了jQuery来访问cdn-cgi，所以使用这个脚本需要先引入这个库。已经引用了此库的博客无需再次引用。

目前大部分博客都用了jQuery库，所以大概率无需改代码。实在没有的可以简单改写下该脚本再使用

min缩减版：

$(document).ready($.ajax({url: "/cdn-cgi/trace",success: function(data, status) {let areas=['{"s":"TNR","l":"Antananarivo, Madagascar"}','{"s":"CPT","l":"Cape Town, South Africa"}','{"s":"CMN","l":"Casablanca, Morocco"}','{"s":"DAR","l":"Dar Es Salaam, Tanzania"}','{"s":"JIB","l":"Djibouti City, Djibouti"}','{"s":"DUR","l":"Durban, South Africa"}','{"s":"JNB","l":"Johannesburg, South Africa"}','{"s":"KGL","l":"Kigali, Rwanda"}','{"s":"LOS","l":"Lagos, Nigeria"}','{"s":"LAD","l":"Luanda, Angola"}','{"s":"MPM","l":"Maputo, MZ"}','{"s":"MBA","l":"Mombasa, Kenya"}','{"s":"MRU","l":"Port Louis, Mauritius"}','{"s":"RUN","l":"Réunion, France"}','{"s":"BLR","l":"Bangalore, India"}','{"s":"BKK","l":"Bangkok, Thailand"}','{"s":"BWN","l":"Bandar Seri Begawan, Brunei"}','{"s":"CEB","l":"Cebu, Philippines"}','{"s":"CTU","l":"成都, 🇨🇳 中国大陆"}','{"s":"MAA","l":"Chennai, India"}','{"s":"CGP","l":"Chittagong, Bangladesh"}','{"s":"CKG","l":"重庆, 🇨🇳 中国大陆"}','{"s":"CMB","l":"Colombo, Sri Lanka"}','{"s":"DAC","l":"Dhaka, Bangladesh"}','{"s":"SZX","l":"东莞, 🇨🇳 中国大陆"}','{"s":"FUO","l":"佛山, 🇨🇳 中国大陆"}','{"s":"FOC","l":"福州, 🇨🇳 中国大陆"}','{"s":"CAN","l":"广州, 🇨🇳 中国大陆"}','{"s":"HGH","l":"杭州, 🇨🇳 中国大陆"}','{"s":"HAN","l":"Hanoi, Vietnam"}','{"s":"HNY","l":"衡阳, 🇨🇳 中国大陆"}','{"s":"SGN","l":"Ho Chi Minh City, Vietnam"}','{"s":"HKG","l":"🇭🇰 香港"}','{"s":"HYD","l":"Hyderabad, India"}','{"s":"ISB","l":"Islamabad, Pakistan"}','{"s":"CGK","l":"Jakarta, Indonesia"}','{"s":"TNA","l":"济南, 🇨🇳 中国大陆"}','{"s":"KHI","l":"Karachi, Pakistan"}','{"s":"KTM","l":"Kathmandu, Nepal"}','{"s":"CCU","l":"Kolkata, India"}','{"s":"KUL","l":"Kuala Lumpur, Malaysia"}','{"s":"LHE","l":"Lahore, Pakistan"}','{"s":"NAY","l":"廊坊, 🇨🇳 中国大陆"}','{"s":"LYA","l":"洛阳, 🇨🇳 中国大陆"}','{"s":"MFM","l":"🇲🇴 澳门"}','{"s":"MLE","l":"Malé, Maldives"}','{"s":"MNL","l":"Manila, Philippines"}','{"s":"BOM","l":"Mumbai, India"}','{"s":"NAG","l":"Nagpur, India"}','{"s":"NNG","l":"南宁, 🇨🇳 中国大陆"}','{"s":"DEL","l":"New Delhi, India"}','{"s":"KIX","l":"Osaka, Japan"}','{"s":"PNH","l":"Phnom Penh, Cambodia"}','{"s":"TAO","l":"青岛, 🇨🇳 中国大陆"}','{"s":"ICN","l":"Seoul, South Korea"}','{"s":"SHA","l":"上海, 🇨🇳 中国大陆"}','{"s":"SHE","l":"沈阳, 🇨🇳 中国大陆"}','{"s":"SJW","l":"石家庄, 🇨🇳 中国大陆"}','{"s":"SIN","l":"Singapore, Singapore"}','{"s":"SZV","l":"苏州, 🇨🇳 中国大陆"}','{"s":"TPE","l":"台北, 🇨🇳 台湾"}','{"s":"PBH","l":"Thimphu, Bhutan"}','{"s":"TSN","l":"天津, 🇨🇳 中国大陆"}','{"s":"NRT","l":"Tokyo, Japan"}','{"s":"ULN","l":"Ulaanbaatar, Mongolia"}','{"s":"VTE","l":"Vientiane, Laos"}','{"s":"WUH","l":"武汉, 🇨🇳 中国大陆"}','{"s":"WUX","l":"无锡, 🇨🇳 中国大陆"}','{"s":"XIY","l":"西安, 🇨🇳 中国大陆"}','{"s":"EVN","l":"Yerevan, Armenia"}','{"s":"CGO","l":"郑州, 🇨🇳 中国大陆"}','{"s":"CSX","l":"株洲, 🇨🇳 中国大陆"}','{"s":"AMS","l":"Amsterdam, Netherlands"}','{"s":"ATH","l":"Athens, Greece"}','{"s":"BCN","l":"Barcelona, Spain"}','{"s":"BEG","l":"Belgrade, Serbia"}','{"s":"TXL","l":"Berlin, Germany"}','{"s":"BRU","l":"Brussels, Belgium"}','{"s":"OTP","l":"Bucharest, Romania"}','{"s":"BUD","l":"Budapest, Hungary"}','{"s":"KIV","l":"Chișinău, Moldova"}','{"s":"CPH","l":"Copenhagen, Denmark"}','{"s":"ORK","l":"Cork, Ireland"}','{"s":"DUB","l":"Dublin, Ireland"}','{"s":"DUS","l":"Düsseldorf, Germany"}','{"s":"EDI","l":"Edinburgh, United Kingdom"}','{"s":"FRA","l":"Frankfurt, Germany"}','{"s":"GVA","l":"Geneva, Switzerland"}','{"s":"GOT","l":"Gothenburg, Sweden"}','{"s":"HAM","l":"Hamburg, Germany"}','{"s":"HEL","l":"Helsinki, Finland"}','{"s":"IST","l":"Istanbul, Turkey"}','{"s":"KBP","l":"Kyiv, Ukraine"}','{"s":"LIS","l":"Lisbon, Portugal"}','{"s":"LHR","l":"London, United Kingdom"}','{"s":"LUX","l":"Luxembourg City, Luxembourg"}','{"s":"MAD","l":"Madrid, Spain"}','{"s":"MAN","l":"Manchester, United Kingdom"}','{"s":"MRS","l":"Marseille, France"}','{"s":"MXP","l":"Milan, Italy"}','{"s":"DME","l":"Moscow, Russia"}','{"s":"MUC","l":"Munich, Germany"}','{"s":"LCA","l":"Nicosia, Cyprus"}','{"s":"OSL","l":"Oslo, Norway"}','{"s":"CDG","l":"Paris, France"}','{"s":"PRG","l":"Prague, Czech Republic"}','{"s":"KEF","l":"Reykjavík, Iceland"}','{"s":"RIX","l":"Riga, Latvia"}','{"s":"FCO","l":"Rome, Italy"}','{"s":"LED","l":"Saint Petersburg, Russia"}','{"s":"SOF","l":"Sofia, Bulgaria"}','{"s":"ARN","l":"Stockholm, Sweden"}','{"s":"TLL","l":"Tallinn, Estonia"}','{"s":"SKG","l":"Thessaloniki, Greece"}','{"s":"VIE","l":"Vienna, Austria"}','{"s":"VNO","l":"Vilnius, Lithuania"}','{"s":"WAW","l":"Warsaw, Poland"}','{"s":"ZAG","l":"Zagreb, Croatia"}','{"s":"ZRH","l":"Zürich, Switzerland"}','{"s":"ARI","l":"Arica, Chile"}','{"s":"ASU","l":"Asunción, Paraguay"}','{"s":"BOG","l":"Bogotá, Colombia"}','{"s":"EZE","l":"Buenos Aires, Argentina"}','{"s":"CWB","l":"Curitiba, Brazil"}','{"s":"FOR","l":"Fortaleza, Brazil"}','{"s":"GUA","l":"Guatemala City, Guatemala"}','{"s":"LIM","l":"Lima, Peru"}','{"s":"MDE","l":"Medellín, Colombia"}','{"s":"PTY","l":"Panama City, Panama"}','{"s":"POA","l":"Porto Alegre, Brazil"}','{"s":"UIO","l":"Quito, Ecuador"}','{"s":"GIG","l":"Rio de Janeiro, Brazil"}','{"s":"GRU","l":"São Paulo, Brazil"}','{"s":"SCL","l":"Santiago, Chile"}','{"s":"CUR","l":"Willemstad, Curaçao"}','{"s":"GND","l":"St. George‘s, Grenada"}','{"s":"AMM","l":"Amman, Jordan"}','{"s":"BGW","l":"Baghdad, Iraq"}','{"s":"GYD","l":"Baku, Azerbaijan"}','{"s":"BEY","l":"Beirut, Lebanon"}','{"s":"DOH","l":"Doha, Qatar"}','{"s":"DXB","l":"Dubai, United Arab Emirates"}','{"s":"KWI","l":"Kuwait City, Kuwait"}','{"s":"BAH","l":"Manama, Bahrain"}','{"s":"MCT","l":"Muscat, Oman"}','{"s":"ZDM","l":"Ramallah"}','{"s":"RUH","l":"Riyadh, Saudi Arabia"}','{"s":"TLV","l":"Tel Aviv, Israel"}','{"s":"IAD","l":"Ashburn, VA, United States"}','{"s":"ATL","l":"Atlanta, GA, United States"}','{"s":"BOS","l":"Boston, MA, United States"}','{"s":"BUF","l":"Buffalo, NY, United States"}','{"s":"YYC","l":"Calgary, AB, Canada"}','{"s":"CLT","l":"Charlotte, NC, United States"}','{"s":"ORD","l":"Chicago, IL, United States"}','{"s":"CMH","l":"Columbus, OH, United States"}','{"s":"DFW","l":"Dallas, TX, United States"}','{"s":"DEN","l":"Denver, CO, United States"}','{"s":"DTW","l":"Detroit, MI, United States"}','{"s":"HNL","l":"Honolulu, HI, United States"}','{"s":"IAH","l":"Houston, TX, United States"}','{"s":"IND","l":"Indianapolis, IN, United States"}','{"s":"JAX","l":"Jacksonville, FL, United States"}','{"s":"MCI","l":"Kansas City, MO, United States"}','{"s":"LAS","l":"Las Vegas, NV, United States"}','{"s":"LAX","l":"Los Angeles, CA, United States"}','{"s":"MFE","l":"McAllen, TX, United States"}','{"s":"MEM","l":"Memphis, TN, United States"}','{"s":"MEX","l":"Mexico City, Mexico"}','{"s":"MIA","l":"Miami, FL, United States"}','{"s":"MSP","l":"Minneapolis, MN, United States"}','{"s":"MGM","l":"Montgomery, AL, United States"}','{"s":"YUL","l":"Montréal, QC, Canada"}','{"s":"BNA","l":"Nashville, TN, United States"}','{"s":"EWR","l":"Newark, NJ, United States"}','{"s":"ORF","l":"Norfolk, VA, United States"}','{"s":"OMA","l":"Omaha, NE, United States"}','{"s":"PHL","l":"Philadelphia, United States"}','{"s":"PHX","l":"Phoenix, AZ, United States"}','{"s":"PIT","l":"Pittsburgh, PA, United States"}','{"s":"PAP","l":"Port-Au-Prince, Haiti"}','{"s":"PDX","l":"Portland, OR, United States"}','{"s":"QRO","l":"Queretaro, MX, Mexico"}','{"s":"RIC","l":"Richmond, Virginia"}','{"s":"SMF","l":"Sacramento, CA, United States"}','{"s":"SLC","l":"Salt Lake City, UT, United States"}','{"s":"SAN","l":"San Diego, CA, United States"}','{"s":"SJC","l":"San Jose, CA, United States"}','{"s":"YXE","l":"Saskatoon, SK, Canada"}','{"s":"SEA","l":"Seattle, WA, United States"}','{"s":"STL","l":"St. Louis, MO, United States"}','{"s":"TPA","l":"Tampa, FL, United States"}','{"s":"YYZ","l":"Toronto, ON, Canada"}','{"s":"YVR","l":"Vancouver, BC, Canada"}','{"s":"TLH","l":"Tallahassee, FL, United States"}','{"s":"YWG","l":"Winnipeg, MB, Canada"}','{"s":"ADL","l":"Adelaide, SA, Australia"}','{"s":"AKL","l":"Auckland, New Zealand"}','{"s":"BNE","l":"Brisbane, QLD, Australia"}','{"s":"MEL","l":"Melbourne, VIC, Australia"}','{"s":"NOU","l":"Noumea, New caledonia"}','{"s":"PER","l":"Perth, WA, Australia"}','{"s":"SYD","l":"Sydney, NSW, Australia"}'];let area = data.split("colo=")[1].split("\n")[0];for (var i = 0; i < areas.length; i++) {const as = JSON.parse(areas[i]);if (as.s == area) {document.getElementById("cdn").innerHTML = as.l;break;}}}}));

放入<script></script>内或者作为文件引用皆可。

显示节点信息

在想要呈现节点信息的地方添加<span id="cdn"></span>即可

效果可见本博客下方⬇️

错过 B 站上心爱的直播？试试这个'录播姬'！

Tue, 16 Aug 2022 05:11:02 GMT

:::note[更新日志] 2023-02-06 替换systemd持久化运行方式为pm2 :::

前言

咳咳，说回正题。

老是错过哔哩哔哩上的直播，为此我很是苦恼。

都说遇事不决~~量子力学~~就上 Github。于是，我找到了这款优秀的开源项目：录播姬 | BiliBili Stream Recorder

这个开源项目完整度极高，多平台支持，所以没有服务器的同学也不用担心用不了，只是稍微麻烦点。

那就简单说说如何使用和配置通知服务吧~

安装、配置&使用<sub>（仅简要说明，官方文档更详细）</sub>

下载

录播姬官方网站提供可以自动更新的编译版本。自行根据系统架构选择即可 (Github 上录播姬 Linux amd64 版本安装包)

安装

本教程默认下载后的安装包名为BililiveRecorder-CLI-linux-x64.zip, 安装目录为brec, 程序目录为brec/work, 工作目录为brec/file

使用 Systemd 作为后台运行服务，为保证安全以用户brec运行

本教程中运行系统为Debian

准备

apt update
apt upgrade
apt install zip -y #安装后续所需软件

useradd brec #创建用户 brec

mkdir -p brec/file brec/work
chown -R brec:brec brec #将 brec 目录所有权转移给用户 brec
su brec #切换到用户 brec

cd brec/work
unzip BililiveRecorder-CLI-linux-x64.zip
mv BililiveRecorder.Cli brec
chmod +x brec
./brec --version #检查录播姬是否能正常运行
exit #退出用户 brec

配置 Systemd 运行

nano /etc/systemd/system/brec.service #创建 Systemd 服务文件

brec.service 文件模板如下：

[Unit]
Description=BililiveRecorder
After=network.target

[Service]
User=brec
ExecStart=<dir>/brec/work/brec run  --bind "http://*:23567" --http-basic-user "<username>" --http-basic-pass "<password>" "<dir>/brec/file"

[Install]
WantedBy=multi-user.target

模板内共有四个占位符，两个重复：

<dir>表示brec文件夹所在目录
<username>表示开启 http 访问后认证的用户名
<password>表示开启 http 访问后认证的密码

编辑完 systemd 服务文件并保存后，别忘了systemctl daemon-reload来重载 Systemd

接下来开启 brec 服务systemctl start brec, http 服务将会在 23567 端口开放

如果需要开机启动就 systemctl enable brec

担心安全问题或者想开启域名访问，用Caddy反代开启tls即可

配置

录播姬的配置说明非常简单且详尽，不需要更多的解释和说明

自动脚本实现通知、转码、上传

虽然我们已经配置好录播姬，也可以很轻松地添加房间号、自动录制了。但作为一个懒人，没有提醒、自动上传分类、弹幕转码怎么行！

这个板块主要分享一个小脚本，涵盖 Telegram 提醒、弹幕转码、Rclone 自动上传网盘等功能

代码开源在 Github，本文内容可能不会及时更新，以托管在 GitHub 内的最新版本为准

下载

git clone https://github.com/Morax-xyc/Bililiveauto

基本原理

首先需要监听录播姬的 Webhook, 所以选 JavaScript 为语言，Nodejs 为运行时环境

使用 express web 框架作为接受服务器，代码如下：

const dotenv = require("dotenv")
dotenv.config()
const express = require(’express‘);
const app = express();
 
app.use(express.json({ extended: false }));
app.post(’/bililive‘, function (req, res) {
    res.sendStatus(200);
})

var server = app.listen(process.env.port, function () {
 
  var host = server.address().address
  var port = server.address().port
 
  console.log("BiliLiveAuto脚本正在运行, 地址为 http://%s:%s", host, port);
})

其中引入了dotenv库来读取.env作为配置文件

接收完录播姬传递的webhook，根据其中EventType的值来判断录播姬传递的事件类型

switch(req.body.EventType) {
        case "FileClosed":
           <略>
            break;
        case "StreamStarted":
           <略>
            break;
        case "SessionStarted":
           <略>
            break;
        case "StreamEnded":
           <略>
            break;
        default:
            console.log("Webhook: 判断类型: " + req.body.EventType + " => 提醒未发送");
    };

如果接收到开播、下播、录制的webhook，就通过tgnotice.js模块通知；接收到"文件关闭"的webhook，就启动runbash.js模块来运行bash指令转码、上传

配置

此脚本使用.env文件作为配置文件，模板如下：

# .env

#run
port=8081
rclonedir=od:/Bililive # rclone中配置的上传地址
danmufc=/home/danmu/DM # danmakufactory编译后的二进制文件
workdir=/home/bililiveauto # 脚本所在文件夹
bilifile=/home/brec/file # 录播姬的工作目录

#Telegram
TG_CHAT_ID=12345678 # Telegram ID
TG_TOKEN=9876543:abcdeffhijklmnopqrstuvwxyz # Telegram Bot Token

#功能开关

#是否上传原始文件？true/false
uploadorigin=false

#是否删除本地文件？true/false
deletelocal=true

通知

本脚本使用Telegram来通知，只需要向@userinfobot发送任意消息即可得到Telegram ID; 向@BotFather申请Bot获得Bot Token

最后将两者填入配置文件即可

:::tip[最终步骤] 当然要记得私聊一下你的bot :::

弹幕处理

弹幕处理使用了一个叫DanmakuFactory的项目

配置文件中的danmufc就需要自行编译DanmakuFactory后填入编译好的二进制文件地址

请在编译完成后自行配置并加上--save参数保存json文件以便使用。也可以使用下面我的配置：

{
    "resolution": [1920, 1080],
    "scrolltime": 12.000000,
    "fixtime": 5.000000,
    "density": -1,
    "fontname": "Microsoft YaHei",
    "fontsize": 38,
    "opacity": 180,
    "outline": 0,
    "shadow": 1,
    "displayArea": 0.300000,
    "scrollArea": 0.300000,
    "bold": false,
    "showUsernames": false,
    "showMsgbox": false,
    "msgboxSize": [500, 1080],
    "msgboxPos": [10, 0],
    "msgboxFontsize": 35,
    "giftMinPrice": 0.00,
    "blockmode": ["Btm","Special","Repeat"],
    "statmode": []
}

保存在编译好的二进制文件所在目录下的DanmakuFactoryConfig.json即可

本配置去除所有特殊弹幕、只在30%的屏幕上显示弹幕、共显示12秒、去除重复弹幕

自动转封装

本脚本使用FFmpeg来处理视频文件

录播姬录制下来的文件为flv格式，但编码却是h264，所以可以很方便地转封装为mkv格式

自动上传

自动上传使用rclone

安装脚本:

curl https://rclone.org/install.sh | sudo bash

配置及使用建议Google一下，教程太多就不反复造轮子了

运行

运行本脚本需要先安装nodejs

建议使用nvm脚本快速安装

curl -o- https://raw.githubusercontent.com/nvm-sh/nvm/master/install.sh | bash
nvm install --lts

然后在此脚本目录运行node server.js即可

pm2持久化运行

安装pm2

npm install pm2 -g

运行bililiveauto

pm2 start server.js --name bililiveauto

配置pm2开机自启 root用户全自动，非root用户请执行命令后根据提示复制命令执行

pm2 startup

储存当前服务列表并加入自启

pm2 save

此致，你的bililiveauto将自动在后台运行并在重启时自启。可使用pm2 status查看服务状态，pm2 logs bililiveauto查看日志，pm2 monit打开状态监视器。

最后一步

在录播姬的设置里, 将地址填入"webhook v2"即可, 如"http://127.0.0.1:8081"

避免DNS污染！我的DNS解决方案--AdGuard Home

Tue, 05 Jul 2022 18:41:05 GMT

ps: 很久没写博客了，最近又折腾了不少东西，有空了慢慢写出来…

前言&科普

DNS污染

由于中国大陆较为特殊的网络环境，DNS[^2]一直都是比较麻烦的问题。

由于DNS污染^3，访问网页经常被阻。

就算通过代理连接DNS，速度也会成为问题。

当然，肯定会有同学疑惑："诶？我不用大陆的DNS，我用8.8.8.8不就行了？"但问题在于，现在中国大陆的DNS标准端口53查询都会被ISP抢答，依然存在污染。

那么，选择一个速度足够快，且没有被污染的DNS就是一个重要的话题。

解决方法

俗话说，魔高一尺，道高一丈。当然有办法来应对这种dns劫持。两种方法最为常见：

用非标准端口未污染DNS^1

因为非标准端口，就无法无差别抢答。缺点是…你得找到一个这样的DNS服务器。

使用加密DNS

例如DoH(DNS over HTTPS)、DoT(DNS over TLS)、DoQ^4(DNS over QUIC)。三种加密DNS分别使用htrps、tls、quic协议。简单对比下，doq是截至目前最好的DNS加密方法。

准备

这个方案需要用到一下设备或资源，不满足可能无法使用此方案。~~当然看看也无妨~~

[x] 手机电脑路由器…
[x] 一台低延迟vps/NAS/树莓派/软路由…
[x] 一枚域名^7（二级域名更好）

AdGuard将作为后端提供DNS查询。

终端还得有对应DNS的支持。截至发稿日，原生支持如下：

iOS: DoT和DoH
Android 9.0以上: 支持DoT
Windows11: 支持DoH
路由器: 看固件

如果没有原生支持，也可以通过软件来达到。一般来讲，代理软件都会提供DNS支持。

iOS: Quantumult X、Surge、Stash和Shadowrocket都支持DoH和DoQ。Loon未知。
安卓: Clash支持DoT和DoH
其他终端上的软件过多，可谷歌一下，就不赘述了。

部署

AdGuard Home开源地址&部署文档

AdGuard Home官方配置教程

AdGuard Home的功能很多，甚至还可以过滤广告、强制安全搜索、屏蔽NSFW…

部署平台

vps

选择一个在香港的三网直连vps，可以有效提高日后体验。

如果各位有其他适合的厂家可以在评论区留言。

树莓派&软路由

选择自己的心动设备即可。~~毕竟玩树莓派和软路由的一般都是大佬~~

NAS

AdGuard Home提供官方 Docker镜像。

没用过nas实在不知道怎么配置，请见谅～

安装AdGuard Home

一键梭哈

curl -s -S -L https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sh -s — -v

一键梭哈，绝不拖泥带水！

初始管理端口为3000，请在安装完成后及时在ip后面加:3000进入初始化界面设置管理员账户。

Docker

Docker文档

官方Docker镜像的docker命令：

请对照文档自行修改配置！

Docker Run

docker run —name adguardhome\
    —restart unless-stopped\
    -v /my/own/workdir:/opt/adguardhome/work\
    -v /my/own/confdir:/opt/adguardhome/conf\
    -p 53:53/tcp -p 53:53/udp\
    -p 67:67/udp -p 68:68/udp\
    -p 80:80/tcp -p 443:443/tcp -p 443:443/udp -p 3000:3000/tcp\
    -p 853:853/tcp\
    -p 784:784/udp -p 853:853/udp -p 8853:8853/udp\
    -p 5443:5443/tcp -p 5443:5443/udp\
    -d adguard/adguardhome

Docker-compose

version: '3.3'

services:
  adguardhome:
    image: adguard/adguardhome
    container_name: adguardhome
    restart: unless-stopped
    volumes:
      - '/my/own/workdir:/opt/adguardhome/work'
      - '/my/own/confdir:/opt/adguardhome/conf'
    ports:
      - '53:53/tcp'
      - '53:53/udp'
      - '67:67/udp'
      - '68:68/udp'
      - '80:80/tcp'
      - '443:443/tcp'
      - '443:443/udp'
      - '3000:3000/tcp'
      - '853:853/tcp'
      - '784:784/udp'
      - '853:853/udp'
      - '8853:8853/udp'
      - '5443:5443/tcp'
      - '5443:5443/udp'

配置

由于AdGuard Home全部中文化且UI设计合理，本文只简述部分值得关注的配置。

设置- DNS设置-上游DNS服务器

由于选择的服务器位于香港🇭🇰，截至发稿日不存在DNS污染，故直接使用公共DNS即可。

我配置的请求方式为并行请求，于是每种协议都写了至少一个。列表如下：

8.8.8.8
8.8.4.4
1.1.1.1
1.0.0.1
quic://DNS.adguard.com
156.154.70.1
tls://1dot1dot1dot1.cloudflare-DNS.com
84.200.69.80
1.2.4.8

如果你设置的方式并非"并行请求"，请注意控制列表内上游DNS数量和质量以保证最优的速度。

设置- DNS设置- DNS服务配置

速率限制: 个人使用建议设置为0
DNSSEC: 建议启用以保证上游DNS的正确
弃用ipv6: 若日常使用更多为电脑，则建议关闭

设置- DNS设置-DNS缓存配置

TTL值建议设置为最小600, 最大3600以防止TTL不正常导致的性能问题。

建议选中乐观缓存。

设置- DNS设置-访问控制

打开即意味着只能使用DoH、DoT、DoQ连接（毕竟国内个人不存在静态ip）

设置- 加密设置

按照提示填写即可。

:::warning[注意] 请更改DoT和DoQ的端口以防被统一屏蔽！ :::

如果绑定二级域名且托管在Cloudflare上、是为Freenom免费域名，请前往Freessl按照提示获取通配符证书。[^6]

设置- 客户端设置

设置客户端可以有效分离客户端的DNS查询和限制，也可用于前面的访问控制。

若要让客户端识别功能和DoT、DoQ搭配使用，则绑定的域名必须为二级域名[^5]且将所有三级域名解析到此服务器，例如example.org和*.example.org。

家里有孩子的也可以通过这个来有效单独控制成人🔞内容和众多服务禁止。

过滤器-DNS拦截/允许列表

这个板块即为广告过滤。

过滤

我使用的清单🧾如下：

AdGuard DNS filter
https://adguardteam.github.io/AdGuardSDNSFilter/Filters/filter.txt

CHN: anti-AD
https://anti-ad.net/easylist.txt

大圣净化
https://raw.githubusercontent.com/jdlingyu/ad-wars/master/hosts

EasyList China+EasyList
https://easylist-downloads.adblockplus.org/easylistchina+easylist.txt

EasyPrivacy
https://easylist-downloads.adblockplus.org/easyprivacy.txt

Halflife
https://cdn.jsdelivr.net/gh/o0HalfLife0o/list@master/ad.txt

白名单

还有一个白名单板块，我的清单🧾如下：

Anti-ad白名单
https://raw.githubusercontent.com/privacy-protection-tools/dead-horse/master/anti-ad-white-list.txt

filter_whitelist
https://raw.githubusercontent.com/hl2guide/Filterlist-for-AdGuard/master/filter_whitelist.txt

使用

原生使用详见AdGuard Home中的设置向导^8。

同时，设置向导中也有众多各终端通过软件实现DNS设置的方法。

举个例子🌰

这方面的太多了，我就只举个iOS上Quantumult X的例子🌰

我创建了一个myios的客户端id，使用的二级域名为example.org，quic端口为789。那么，我需要在配置文件中使用：

[DNS]
prefer-doh3
doh-server=https://example.org/DNS-query/myios
doq-server=quic://myios.example.org:789

强烈建议使用DoQ，它比https快太多了！

总结

关于DNS，实在有太多可以说。这次文章自我感觉写起来有点杂，因为内容关联太多，很容易导致哪里漏掉了一些，哪里的逻辑有问题这些漏洞。如果发现有任何问题我没有写到或者错误、有补充，请在评论区评论。

最后，感谢您的阅读！

提供国内可访问的无污染DNS。tg频道网页

[^2]: 什么是DNS？Cloudflare Blog

[^5]: 如若扣不愿付钱购买域名，可以到Freenom免费注册.ml .tk .ga .cf .gqTLD的域名。注册前请一定要谷歌一些教程以防入坑！

[^6]: letsencrypt的通配符证书需要DNS验证。但Cloudflare的api拒绝为.ml .tk .ga .cf .gqTLD的域名验证，只能使用其他通配符证书。

网络隐私保护意识的薄弱与改进措施

Sat, 14 May 2022 05:39:28 GMT

:::note[自卫声明（] 本文最开始为博主为班会准备的稿子，现做了一些修改后在博客发出。本文内容较为浅显且准备时间较短，故文中可能存在一些问题，欢迎批评指正。

当然，不欢迎杠精！ :::

隐私的定义

"百度百科"上对于隐私的定义：

不愿公开的信息

"维基百科"上对于隐私权的定义：

隐私权，指个人人格上的利益不受不法僭用或侵害，个人与大众无合法关联的私事，亦不得妄予发布公开，而其私人活动，不得以可能造成一般人的精神痛苦或感觉羞辱之方式非法侵入的权利。是为众多法律系统所支持的一种人身基本权利。由于它的存在，政府和民间团体的某些活动受到一定的限制。

隐私权是指个人或群体隔离自己或有关自己的信息的权利。在商业世界，人们可能会自愿提供个人详细信息，包括广告信息，以便获得某种利益。公众人物可能受制于公共规则。

中华人民共和国《民法典》对于隐私权的条例：

隐私权：自然人享有的对自己的个人隐私进行支配并排除他人非法干涉的人格权。任何组织或者个人不得以剌探、侵扰、泄露、公开等方式侵害他人的隐私权。

现代社会离不开网络，现代人也越来越习惯将隐私信息放在网络上。

事实上，许多人对隐私信息的定义仍然是模糊的。有人觉得照片是隐私，有人觉得手机号码是隐私，有人觉得凡是个人信息都是隐私。

不过"隐私"俩字的含义是只要是不想被人知道的信息都是隐私。以下内容都是根据我自己不想泄露的信息而给出的隐患和保护措施。

如果你不在意这些信息，请选择性忽略相关内容。

泄露的途径

直接泄露

在网络社会中，直接泄露隐私的危害性比从前更严重。

说不定只是不小心打出了自己的手机号和名字，于是就被他人记录了下来，然后卖给那些营销推广人员、诈骗犯们。

于是你接到一大堆知道你名字的骚扰电话。

这并非危言耸听:现在的服务器储存价格并不贵，机械硬盘几块钱几个T一个月，这对于大公司以及保存你的隐私信息并从中获利来说简直不值一提。

就像网络爬虫与端口扫描网站一样，它们每天都在网络上收集各种别人的隐私信息以卖给需要的人。许多黑客动手前一步都是在某端口扫描网站^1上搜索网站域名的真实IP以采用各种CC攻击或者其他提权漏洞攻击服务器。

所以各位中如果有通过CDN加速托管网站的同学一定要时时开启流量代理，不要暴露服务器IP。~~让CDN承受攻击~~

主动泄露

粗心大意

不经意间泄露自己的信息而忘了考虑泄露的后果

不重视

没有认识到隐私的重要性。当你认为自己的隐私泄露没有关系时，你并没有考虑到那些不怀好意的人:当歹徒知道你的经济情况与地址时，他可能就盯上你了;诈骗分子想方设法知道你的电话、姓名等信息以取得你的信任;你的照片可能被某个抠脚大汉套用以骗某个纯情男子;你的支付密码可以被用来登录你的账号以偷走资金……

被动泄露

有时候，即使你想方设法地保护你的隐私信息，但不知怎得，总会被泄露出去。那么这个时候，就要考虑"被泄露"的可能性了。

黑客攻击

这里我主要讲对于"连接"和"服务器"泄露的风险。关于通过漏洞获取信息的方式太多了，也不可能讲完。这里简单说说比较基础也比较常见的方法。

虽然现今各种"安全卫士"层出不穷，某360安全卫士更是在国内一家独大。很多人觉得只要安装了这种"安全卫士"就可以在互联网上畅行无阻了。这种观念是错误的。因为安全卫士只是保护了你的电脑不被木马和病毒入侵，却无法确保你的信息不被泄露出去。

网络通讯可以简单分为三个部分：客户端连接端远程端。这过程中，连接端和远程端都有可能泄露你的信息。有些经常上网的同学可能会发现Safari或者Chrome系浏览器有时候会在地址栏那里显示"不安全"的字样。这意味着你和这个服务器的连接处于http协议下，并没有被https保护，途径的一切服务器和ISP都能明文查询你和服务器的访问信息。

因为https协议是一个比较高深的话题，我在这里就不详细讲了。

不过即使启用了https协议依旧有两个风险：（MITM中间人攻击）

服务端泄露私钥导致连接被解密
客户端被安装恶意证书解密。

第一个风险相当与你和服务端的密码被别人知道了，于是别人就可以通过这个密码访问你到这个服务端的信息，包括密码等一切隐私信息。

第二个风险意味着你发送向外界的一切信息全部被解密，恶意证书的所有者将知道这个设备对外界的一切访问。只要服务端没有单独的加密协议，那么这些信息都将公开被知晓。所以千万千万千万小心，不要随意安装证书（iOS上称其为描述文件），除非你对这个证书知根知底。

恶意读取

现今操作系统中，除了严格限制读取权限以及使用沙盒机制外的苹果系列系统，以及对于系统有极端掌控欲的Linux高玩，所有其他系统都面临着文件读取、写入权限管理混乱的问题。即使Google在上个月（2022.2）发布了安卓将引入沙盒机制的消息，大家对此依旧充满担忧：Google从不作恶已经成为笑话，权限管理做的不如几款第三方软件，会不会被国内OS加入还是一个问号，这真的会给安卓系用户带来福音嘛？

他人泄露

"他人"不只指人，还包括那些服务提供商。就像网站泄露注册信息，学校泄露家长电话，CDN泄露IP等情况太多了。

一个很简单的例子：我们至今不知道某度网盘会不会泄露数据。明明只是一份简单的视频文件，却被替换成只有十几秒的视频。^2

这种情况都会发生，我们还有什么理由相信某度网盘^2会加密我们的数据？

这些服务商泄露数据也不是一天两天的事儿了。真正能顶住压力的商家终究是少数。除了从一开始就主打端对端加密的MEGA网盘外，连最硬气、力扛FBI坚决不解锁iPhone的Apple都在iCloud端对端加密服务这方面低下了头颅，FBI坚决不会允许拥有如此庞大用户群体的iCloud云盘被完全加密，现阶段没有丝毫解密的可能性的服务被提供。这使得Apple只能在部分安全敏感信息上采用绝对加密，例如健康数据、iCloud钥匙串和iPhone相关信息。

间接泄露

尽管有些人很重视隐私保护，但总是发现自己的隐私被他人知道。许多人总是不经意间泄露隐私出去。明明只是发了个挡住眼睛的自拍，却能够被知道位置在哪儿。

这是个很简单的事情，凭借搜图工具，亦或者其他照片上较为明显的标志，都能很轻松的找到这个照片的关联信息，从而使你的隐私泄露。

关注方面、兴趣爱好、性格等隐私也是各大公司重点关注的方面。下面我讲两个较为常见的间接泄露隐私的渠道。

综合侧写

事实上，在2021.11.1没有执行《中华人民共和国个人信息保护法》前，各大公司对于数据收集简直是可以以"猖狂"二字来形容。

举个例子，某音作为全球下载量最高的软件，它无疑是具有极高的人气的。而是它如此迷人的原因，正在于它对用户信息大分析与定向推送。

它的推荐算法是个黑盒，但运行机制大致如下:审核人员对视频打上初步分类，在第一档推荐池内进行初步标签，接着通过用户行为筛选出优良视频，然后推送至第二档及之后的推荐池不断优化视频tag，最后面向整个某音拥有视频相关tag的用户。

体现在用户上，就是用户们觉得某音视频推荐的极其符合胃口，特别吸引人。

当然，真正的算法没那么简单，某音绝对具有一个优秀的机制来保证流量。

在这个过程中，某音收集了以下数据:用户姓名、头像、手机号码、视频观看时长、点赞对象、关注等信息。

而这些信息通过对你每次观看的数据再次优化，最终生成一份用户侧写，囊括你的喜好、兴趣、性格等隐私信息。

而这些信息，又会被某音共享给其他公司，例如某宝。

于是，当你在某音上盯着一款手机的参数看了很久后，某宝就会不断给你弹出手机的优惠，听起来就细思极恐对吧？这些技术还有个名字:大数据分析。

其实这些东西给那些大公司也没什么问题，毕竟人家需要提供优质的服务嘛。

可是，这些信息并没办法被完全妥善的保管，一旦被有心人得到，可能被针对性的会有无论是诈骗还是针对，甚至对人身安全产生威胁的行为发生。

近年来，这种提供"个性化服务"的行为越来越普遍，它也从一种优质的服务变味了。因为你提供的所有信息都来自于你过往的数据。这也就意味着，你没有办法跳出舒适圈获取新的内容，这便是"信息茧房"，也可以说是"回音室效应"。

这次的演讲是关于隐私的，就不细讲了。感兴趣的同学可以在网络上搜搜，自己看看。

跟踪信息

在上一个部分中说到了某音和某宝共享信息。事实上这并不是特例，各大公司为了实现利益最大化，都进行了数据共享。

但利益牵扯永远是复杂的，所以这种信息共享在最后变成由平台负责。

这种平台一般叫做"xx分析"、"xx analytics"。

国内，提供这种跟踪服务的公司叫"百度分析"，而国外叫"Google Analyics"。

了解Apple的同学可能知道iOS 15推出了"拒绝跟踪"的功能。

国内百度不怎么敢和Apple较量，且百度盈利并不怎么靠这种跟踪，所以没怎么在意。

但谷歌的90%多的盈利都靠广告。所以iOS这项服务推出后，许多人猜测两家公司会打起来。

结果谷歌反而是最支持苹果的。因为国外谷歌搜索几乎把握所有流量，完全不需要靠这个分析，而是直接通过搜索记录分析，于是戏剧性的一幕发生了:"Apple禁止跟踪"被全球最大跟踪器Google分析支持。

除了这些自动跟踪，有些无良公司还嵌入了便于主动跟踪的代码。这个技术很常见，例如绝大多数打印机都具有这个技术，方便追踪文档泄密者与伪造钞票者。豆瓣之前就被曝光在网页使用追踪代码，滴滴在应用中嵌入对比度代码。^3这只是一些比较明显，可以被轻松察觉的。那些不容易察觉的跟踪代码通常被使用于应用之中：通过网页字体、屏幕大小、间距、时间、ip等多重信息生成跟踪代码。这些信息看似很常见，但事实上，几百万人中都不会出现完全一模一样的跟踪代码。

保护措施

看了那么多的隐患，是不是感觉自身已经被扒光，什么隐私都不剩了？别慌，密码学家与算法工程师、白帽黑客、SRC^4每天也在想着怎么保护你的隐私。下面我们看看哪些保护措施可以实施。

增强隐私保护意识

警惕套取信息

钓鱼网站和诈骗网站便是为"套取信息"而服务。所以遇到那些不明链接千万别傻乎乎点进去。因为对于网站所有者而言，只要你点进去，它就赢了。网站可以根据你的访问得知你的访问IP、语言、设备、Cookie、追踪信息…千万别看到个链接就去随便点！同学们可以进入看看whoer.net仅仅根据DNS查询信息就可以知道什么。

当然，除了这种套取信息外，也要警惕那些"卖茶小姐姐"，"纯情小哥哥"们的骚扰，诈骗犯们可是"专业"的。说不定这些人背后都是抠脚大汉呢。

不使用有隐私泄露风险的软件

有隐私泄露风险的软件太多了，例如~~微信（bushi~~

2021年6月，工信部对天涯社区、大麦、途牛旅游、VIP陪练、脉脉等90款侵害用户权益的App进行了下架处理。

所以使用软件是一定要注意使用被信任的软件。如果开源就更好了，因为开源意味着全网程序员都在审查，防止app存在隐患。我推荐几个安全保护Max的软件：Telegram，Tor，MEGA，Cryptomator…它们都使用了End-To-End端对端加密技术，并基本开源。

有些人觉得Telegram不安全，这个不用和我杠，因为Telegram只有开启"加密聊天"才是完全体，这种状态下的Telegram除非是实现了量子霸权的量子计算机才能短时间内破解.有人算过，用2015年全球能源去喂养Antminer R4矿机来穷举破解AES-256加密需要6.3619305×10<sup>53</sup> s。^5

密码等高风险信息妥善保管

密码这种风险过高的隐私信息一定要妥善保管。一般来讲，我们现在创建的密码都太多了，一般人根本记不住，而保存在那些文本应用里又担心泄露风险，那么你可以使用密码管理器。

我推荐几个比较安全的：

KeePass（开源）
BitWarden（开源，可自行部署）
1Password（闭源，付费）

2FA双重验证

SMS验证码
TOTP验证码
安全密钥
Recovery Code

SMS验证码就是普通手机短信验证码。

TOTP验证码就是微软Authenticator、Steam手机令牌、Apple双重验证使用的技术。Apple Keychain和1Password、Bitwarden现已支持TOTP验证码。

安全密钥即为Face ID、Windows Hello、Touch ID等FODI验证方法。

Recovery Code就是恢复密钥，创建TOTP验证码时自动生成，唯一恢复TOTP的方法。

减少信任对象

有人说"只要我没有可以花钱的对象，贫穷就不会找上我"(笑

这其中透露的"奥卡姆剃刀原理"，也叫"简单性原则"十分清晰。

如无必要，勿增实体

尽可能减少信任的对象，由信任对象进行管理是一个不错的措施。比如你信任微信，那么就尽可能减少其他即时聊天软件的使用。比如你信任Apple keychain，那么就不要信任其他密码管理软件。这样可以有效减少泄密源，以免出现全局崩盘的局面。

技术层面阻断

拒绝追踪器

各大浏览器都有自己的"拒绝追踪器"的方法，一般在设置里有。如果没有，可以安装Duckducgo的隐私拓展，阻断追踪器。

Apple设备中，未成年人自动禁止所有追踪及启用强隐私保护服务且不可更改。你也可以在设置里自行启用。

定期清除cookie

可以简单将其理解为清除浏览数据。Cookie数据是网站保存在电脑本地的数据，一般用于判断登陆情况。如果不定期清除，遇到了XSS跨域脚本攻击，那么你的登录密钥有可能被窃取。不过这个登录Cookie通常是会自动销毁的，B站是30天。

文件加密

对文件进行加密是不错的保护选项。

Veracrypt和Cryptomator都是开源文件加密软件的极佳选项。两者各有优劣。Cryptomator是分布式网盘同步加密软件，Veracrypt更多适用于本地。更多信息可自行搜索使用

高级措施

使用VPN服务或代理

emm，VPN这个在国内不是很好使，因为流量特征过于明显，容易被GFW不分青红皂白地阻断。

使用DoH

DoH全名是"DNS over HTTPS"，意味着你的DNS查询收到https协议保护。

普通的DNS查询并未受到保护，那么就有可能出现DNS劫持的情况，他人也可以通过DNS服务器知道你访问了什么网站，使用了什么服务。只要不被代理转发，那么ISP可以很轻松地get到所有公开信息。

国内较好的DoH有阿里DoH、腾讯DoH、DNSpod。当然因为国内特殊网络环境，它们均从源头上收到污染。如果想要不受污染的，那么推荐IQDNS。

Apple设备可以通过安装描述文件来快速更改DNS。地址：IQDNS，Github DoH Config项目（可自行下载安装）

WARP等动态ip及动态线路

使用全球良心CDN——Cloudflare提供的WARP服务来动态更换IP及获得全球网络服务访问与全隐私保护。

本站有相关教程

Tor暗网浏览器

下载安装Tor浏览器进行浏览。Tor可以访问暗网，所以在所有浏览器中，它的安全系数最高。

Gpg端对端加密认证

GPG端对端加密需要一个根证书以搭建你自己的信任网络。GPG可以和Git联合起来进行加密Commit提交，能够实现文件签名、信任、加密操作。

不过相对而言，门槛较高，建议同学们以后在考虑这种加密方式。

（不过它的安全系数是最高的）

小结

现今社会，隐私可谓是公民最重要的东西之一。

一个人对我们了解得越多，就越能控制我们

如果个人数据落到坏人手中，则可能会给我们带来巨大的伤害，财产、人身或精神各方面。

个人数据可能会被用来影响我们的决定，塑造我们的行为，甚至作为一种工具来控制我们。

对于他人隐私的不尊重，在某种意义上，意思是:"我关心我的利益，但我不关心你的。"

自由的标志之一是拥有自主和对我们生活的控制，而如果这么多关于我们的重要决定是在我们没有意识或参与的情况下秘密做出的，我们就无法拥有生而为人的自主权。

保护隐私不仅意味着保护人格的健全与自主权，更意味着一种尊严、一种精神。

希望同学们能重视对隐私的保护，保护自己的信息，保护自己的人格！

使用Vercel反代Leancloud国际版api以避免屏蔽

Thu, 12 May 2022 16:39:28 GMT

:::tip[叛变] 已经叛变到twikoo的统计后端了，Leancloud这种号称对开发者友好的平台已经变味了 :::

情况描述

我用的Hexo主题为Fluid，它内置了用leancloud实现的UV统计功能。作为一位完全不想备案，想方设法逃避的博主，我当然不会选择leancloud国内版，国际版才是最优选！

然而，由于手机和电脑分流规则皆是“漏网之鱼”指向了代理，我也没有专门为我的网站设立规则，我一直没发现一个问题：通过大陆ip访问博客时，leancloud的api会拒绝连接！^1

我分配到的leancloud api地址是ewtbugjp.api.lncldglobal.com，大陆直连时服务器会拒绝连接，其他地方访问才会出现404的返回。

不知道这是什么情况，我Google了好一会儿也没找到原因，没有任何人报告出现此问题。唉，无论是否是特例，我都得修好这个bug！

:::caution[责任自负] 此方法涉及到源代码修改，如果你用的是Serverless托管部署方案[^2]，主题安装方式必须为releases包安装，而非npm install方式安装。使用过程中请遵守Vercel TOS，违反TOS的一切后果由用户承担 :::

解决方法

思路

既然直连不行，还有种方法叫“反代^3”。通过一个不在大陆的服务器去反代这个api，是否就能躲开leancloud国际版对于大陆ip的屏蔽？

可是我的整套个人网站都是Serverless的，不存在后端去代理啊？🤔

事实上，serverless服务也可以作为反代服务器！有很多种办法达成目的。考虑到我现在主博客采用的Vercel部署，且延迟优秀、速度快，自然就想到了用Vercel来反代。

当然，Cloudflarr Worker也可以达到类似效果。教程可以在Google上面搜一下，估计一大堆。

一. Vercel反代

首先，你得有一个Vercel的帐号。 ~~这不是废话嘛~~

其次，你得有一个终端环境。推荐bash或zsh。

1. 安装Vercel CLI

通过Debian系的sudo apt install npm或CentOS系的sudo yum install npm安装npm包管理器。

安装完成后，使用npm i -g vercel以安装Vercel CLI。

2. 登陆Vercel CLI

vercel login

这个过程中有很多种登录方式，这里就不细说了，看着英文指导来就可以。

3. 创建反代文件

新建一个文件夹当作部署的根目录，在文件夹下随便创建一个json文件。我的是ewtbugjp.api.lncldglobal.com.json

在json文件内写入

{
  "version": 2,
  "routes": [
      {"src": "/(.*)","dest": "https://ewtbugjp.api.lncldglobal.com/$1"}
  ]
}

上面的https://ewtbugjp.api.lncldglobal.com是我的api地址。可以在leancloud项目后台找到替换上去，或者通过appid获取：

https://app-router.leancloud.cn/2/route?appId=

将appid添加到上述地址后面访问，即可看到json格式的返回，其中最后一个api_server的值即为你的api服务器域名。

4. 部署

准备好反代文件后，就可以部署了。

vercel -A ewtbugjp.api.lncldglobal.com.json --prod

上面命令中的json文件名记得改为你记得的。

5. 获取部署域名

访问vercel，找到你刚刚部署的项目后，可以选择在设置中通过A记录或CNAME添加域名，也可以直接用vercel提供的域名。

记录下这个域名，我们开始替换leancloud.js内的地址。

二. 替换leancloud地址

以Fluid主题内的leancloud.js为例。

1. 找到leancloud.js

使用npm包安装、在vps或云服务器上运行的Hexo中，leancloud.js文件是node_modules/hexo-theme-fluid/source/js/leancloud.js

使用releases安装在themes文件夹，则leancloud.js是themes/fluid/source/js/leancloud.js

2. 修改server_url

脚本内大约180多行处，有一处代码如下：

 var apiServer = serverUrl || `https://${appId.slice(0, 8).toLowerCase()}.api.lncldglobal.com`;

将其改为：

  var apiServer = serverUrl || `https://leancloud.proxy.com`;

当然，此处的https://leancloud.proxy.com应该修改为你自己的反代网址。

推送部署后，你的api应该就能全球访问了。此行为不会影响“浏览人数”的数据。

[^2]: 即Cloudflare Pages、Github Actions & Pages、Vercel、Heroku等

Cloudflare R2 快速开始使用指南教程 | 中文翻译

Wed, 11 May 2022 15:34:14 GMT

:::tip[提示] 原文地址 本文内容已尽可能与原格式相同，如有遗漏，请多海涵。本文于此Commit下翻译 :::

R2入门指南

Cloudflare R2存储允许开发人员存储大量非结构化数据，而无需支付与典型云存储服务相关的昂贵出口带宽费用。

本指南将指导您设置Wrangler部署第一个R2存储桶。

购买R2

在创建第一个存储桶之前，您必须在Cloudflare仪表板中购买R2。

购买R2：

登录Cloudflare仪表板。
在帐户主页中，选择R2。
选择购买R2计划。
选择继续查看付款详情以查看您的付款。
选择返回 R2以前往 R2 面板。

1. 安装Wrangler

要创建您的R2存储桶，请安装Wrangler，即Workers CLI。

安装wrangler，确保您已安装npm。使用像Volta这样的Node版本管理器或nvm以避免权限问题或轻松更改Node.js版本，然后运行：

npm install -D wrangler

或用Yarn安装：

yarn add wrangler

有关更多信息，请参阅Wrangler安装/更新页面（英文页面^1）。

2. 认证Wrangler

安装完成后，wrangler将需要访问Cloudflare OAuth令牌来代表您管理Worker资源。

运行wrangler login以自动化处理令牌。

Wrangler将尝试自动打开您的网页浏览器，以完成Cloudflare帐户的登录过程。如果您在完成此步骤时遇到问题，或者您无法访问浏览器GUI，您可以将wrangler login终端生成的URL复制并粘贴到浏览器中并登录。

wrangler login
Allow Wrangler to open a page in your browser? [y/n]
y
💁  Opened a link in your default browser: https://dash.cloudflare.com/oauth2/...

打开浏览器，登录您的帐户，然后选择Allow。这将向Wrangler发送OAuth令牌，以便它可以将您的脚本部署到Cloudflare。

:::note[版本要求] R2需要Wrangler1.19.8或更高版本。要检查您的Wrangler版本，请运行wrangler --version。 :::

<span id="step3">3. 创建您的存储桶</span>

通过运行以下操作创建存储桶：

wrangler r2 bucket create <YOUR_BUCKET_NAME>

要检查您的存储桶是否已创建，请运行：

wrangler r2 bucket list

运行list命令后，您将看到所有存储桶名称，包括您刚刚创建的存储桶名称。

4. 将您的R2存储桶绑定在Worker上

你需要存储桶绑定在worker上使用。

:::note[绑定（Bindings）] binding^2是您的worker与KV命名空间、耐用对象或R2存储桶等外部资源交互的方式。binding是Workers运行时向您的代码提供的运行时变量。您可以在wrangler.toml文件中声明一个变量名，该变量名将在运行时绑定到这些资源，并通过此变量与它们交互。每个binding的变量名称和行为都由您在部署Worker时决定。请参阅环境变量（英文页面）的文档以了解更多信息。

Binding在Worker项目目录的wrangler.toml文件中定义。 :::

使用官方提供的模板创建Worker。Wrangler模板是git存储库，旨在作为构建新的Cloudflare Workers项目的起点。

wrangler init <YOUR_WORKER_NAME>

接下来，在项目目录中找到新生成的wrangler.toml文件，并使用Cloudflare帐户ID更新account_id。

通过登录Cloudflare仪表板>概述>向下移动到API>找到您的帐户ID，然后选择单击复制以复制您的帐户ID。或者运行wrangler whoami命令来复制您的帐户ID。

name = ”<YOUR_WORKER_NAME>"
type = ”javascript"
compatibility_date = ”2022-04-18"

account_id = ”YOUR_ACCOUNT_ID" # ← Replace with your Account ID.
workers_dev = true

如果您需要使用较旧的兼容日期，则需要启用r2_public_beta_bindings标志（英文页面）。

为此，请更新您的wrangler.toml文件以包含以下内容：

# An example date older than ”2022-04-18"
compatibility_date = ”2022-02-10"
compatibility_flags = [”r2_public_beta_bindings"]

要将R2存储桶绑定到您的Worker，请将以下内容添加到您的wrangler.toml文件中。将binding属性更新为有效的JavaScript变量标识符，并将bucket_name为您在步骤3中用于创建存储桶的<YOUR_BUCKET_NAME>：

[[r2_buckets]]
binding = 'MY_BUCKET' # <~ valid JavaScript variable name
bucket_name = '<YOUR_BUCKET_NAME>'

在Wrangler配置文档（英文页面）中找到有关如何配置Worker的更多详细信息。

5. 通过worker访问您的R2存储桶

在您的Worker代码中，您的存储桶现在可以在MY_BUCKET变量下使用，您可以开始与它交互。

R2存储桶能够读取、列表、写入和删除对象。您可以使用Service Worker语法在下面看到所有操作的示例。将以下片段添加到项目的index.js文件中：

addEventListener("fetch”, (event) => {
  event.respondWith(handleRequest(event.request));
});

async function handleRequest(request) {
  const url = new URL(request.url);
  const key = url.pathname.slice(1);

  switch (request.method) {
    case "PUT”:
      await MY_BUCKET.put(key, request.body);
      return new Response(`Put ${key} successfully!`);
    case "GET”:
      const object = await MY_BUCKET.get(key);

      if (!object) {
        return new Response("Object Not Found”, { status: 404 });
      }

      return new Response(object.body);
    case "DELETE”:
      await MY_BUCKET.delete(key);
      return new Response("Deleted!”, { status: 200 });

    default:
      return new Response("Route Not Found.”, { status: 404 });
  }
}

6. 存储桶访问和隐私

将上述代码添加到您的Worker中后，每个传入的请求都能够与您的存储桶进行交互。这意味着您的存储桶被公开暴露，其内容可以被公开且无需任何许可地访问和修改。

您现在必须定义授权逻辑，以确定谁可以对您的存储桶执行哪些操作。这种逻辑存在于您的Worker代码中，因为确定用户权限是应用程序的工作。以下是与访问和授权实践相关的资源的简单列表：

基本身份验证：展示如何使用HTTP基本模式限制访问。（英文页面）
使用自定义标头：允许或拒绝基于标题中已知的预共享密钥的请求。（英文页面）

继续使用新创建的桶和Worker，您需要保护所有对于存储桶的操作。

对于PUT和DELETE请求，您将使用一个新的AUTH_KEY_SECRET环境变量，稍后您将该变量定义为Wrangler secret。

对于GET请求，您将确保只能请求特定文件。所有这些自定义逻辑都发生在authorizeRequest函数中，hasValidHeader函数处理自定义标头逻辑。如果所有验证都通过了，则允许该操作。

const ALLOW_LIST = ['cat-pic.webp'];
// Check requests for a pre-shared secret
const hasValidHeader = request => {
  return request.headers.get('X-Custom-Auth-Key') === AUTH_KEY_SECRET;
};

function authorizeRequest(request, key) {
  switch (request.method) {
    case 'PUT':
    case 'DELETE':
      return hasValidHeader(request);
    case 'GET':
      return ALLOW_LIST.includes(key);
    default:
      return false;
  }
}

async function handleRequest(request) {
  const url = new URL(request.url);
  const key = url.pathname.slice(1);

  if (!authorizeRequest(request, key)) {
    return new Response('Forbidden', { status: 403 });
  }
  // ...

要做到这一点，您需要通过Wrangler创建一个Secret：

wrangler secret put AUTH_KEY_SECRET

此命令将提示您在终端中输入Secret：

wrangler secret put AUTH_KEY_SECRET
Enter the secret text you'd like assigned to the variable AUTH_KEY_SECRET on the script named <YOUR_WORKER_NAME>:
*********
🌀  Creating the secret for script name <YOUR_WORKER_NAME>
✨  Success! Uploaded secret AUTH_KEY_SECRET.

此Secret现在作为Worker中的全局变量AUTH_KEY_SECRET可用。

7. 部署你的存储桶

一切准备就绪，设置完Worker和存储桶Bucket后，运行wrangler publish命令（英文页面）以部署到Cloudflare的全球网络：

wrangler publish

您可以使用已经部署的Worker 路由验证您的授权逻辑是否通过以下命令工作：

# Attempt to write an object without providing the "X-Custom-Auth-Key" header
curl https://your-worker.dev/cat-pic.webp -X PUT —header —data 'test'
#=> Forbidden
# Expected because header was missing

# Attempt to write an object with the wrong ”X-Custom-Auth-Key" header value
curl https://your-worker.dev/cat-pic.webp -X PUT —header ”X-Custom-Auth-Key: hotdog" —data 'test'
#=> Forbidden
# Expected because header value did not match the AUTH_KEY_SECRET value

# Attempt to write an object with the correct ”X-Custom-Auth-Key" header value
# Note: Assume that ”*********" is the value of your AUTH_KEY_SECRET Wrangler secret
curl https://your-worker.dev/cat-pic.webp -X PUT —header ”X-Custom-Auth-Key: *********" —data 'test'
#=> Put cat-pic1.webp successfully!

# Attempt to read object called ”foo"
curl https://your-worker.dev/foo
#=> Forbidden
# Expected because ”foo" is not in the ALLOW_LIST

# Attempt to read an object called ”cat-pic.webp"
curl https://your-worker.dev/cat-pic.webp
#=> test
# Note: This is the value that was successfully PUT above

通过完成本指南，您已成功安装Wrangler，并将R2存储桶部署到Cloudflare。

iOS和iPad设备上Git卡在Resolving delta的解决办法

Sat, 23 Apr 2022 00:41:50 GMT

问题描述

因为程序并发与iOS内存管理之间的冲突，Git使用多线程处理将会卡在Resolving deltas部分。

解决方法

解决方法很简单，让ish上的Git运行于单线程即可解决问题。

git config pack.threads "1"

如果想全局使用单线程Git，可以加上global参数。

git config --global pack.threads "1"

Gpg 提交中的一个坑

Tue, 01 Mar 2022 16:23:51 GMT

经过描述

当github配置好gpg加密后，提交commit就需要输入密码了。不过提交后，总会弹出一个提示：

ERROR:数据签名失败 
Fatal:写提交对象失败

就很诡异。

解决方案

Google一番后，找到了解决方法：

定义变量

定义GPG_TTY变量为$(tty)。

具体命令


cat > /etc/profile.d/gpg.sh << EOF 
export GPG_TTY=$(tty) 
EOF

效果

这样，每当你登录时，这个变量都会自动加载，不会再出现这种error的情况。

让Telegram提醒你诸多事务

Tue, 01 Mar 2022 09:27:37 GMT

:::caution[弃坑] 感觉重复造轮子了，~~Gayhub~~上好多类似项目 :::

也许是因为记忆力实在是不太好，而且我的设备很杂，统一推送提醒不太好弄，于是我有了一个写一个通知脚本的打算。

单方面的通知很简单就可以实现，也不需要回调，凭借api轻松实现。

后来我发现了个"Pushdeer"项目，简直惊为天人，有空探索下玩法。

思路

客户端

Telegram作为我个人认为最优秀的即使信息软件且兼容性极高，所以选择它作为这个项目的承载客户端。

功能

[x] SSH Login Notice
[x] Manage 一键管理脚本，图形化配置，无需手动操作，体验一键梭哈的感觉
[x] 定时自定义内容提醒
[x] 网站守护 - 定时检测网站可访问性，若失联则立刻提醒
[x] 进程守护 - 定时检测服务器进程运行状态，若发生error立刻提醒

发展

有一个关于这个的想法：

因为所有功能都和服务器有关，不如直接做一个telegram bot用来管理所有vps，毕竟现在的telegram功能又多又好，简直全能。当然，由于从来没学过telegram bot的完整开发，可能得学习好一阵了。

安装&使用

详见Github Telegram Notice项目

让Github乖乖接受+86 SMS 2FA短信验证

Sat, 26 Feb 2022 14:23:48 GMT

作为世界上最大的开源托管~~同性交友~~网站，GitHub居然在双因素验证的地方没有+86的位置，令人震怒。

但魔高一尺道高一丈，GitHub既然不主动给我们+86，那我们就强迫它接受！

第一步打开"开发人员工具"

打开开发人员工具后找到"Country Code"部分，如下图所示

第二步修改为+86

将value部分中的+1改为+86，如果乐意还可以顺便把United States +1改成China Mainland +86也可以。~~震惊！老美被中国吞并！~~

第三步输入手机号并验证

接下来的步骤相信小学二年级的同学都会了，就不再赘述。上图！

是不是很简单？

Cloudflare WARP | 已屏蔽中国大陆访问

Fri, 04 Feb 2022 03:44:50 GMT

玩vps的朋友应该听过Cloudflare WARP^1，他有个作用就是解锁流媒体，因为它可以提供原生IP供vps使用，原理见下方注释[^2]。而今天，我们就来讲讲在iOS设备上WARP +给科学上网带来的体验。

:::warning[警告] Cloudflare作为目前看来最良心的cdn网络服务商，建议大家少薅羊毛，jsdelivr前车之鉴啊！

第二节的team/zero-trust方案是官方认可的，并不算漏洞，但还是谨慎使用，说不准什么时候cf就关掉了…

非常不建议大家用脚本刷！ :::

:::note[更新日志] 2022.8.7，Cloudflare宣布升级warp：

全面隐藏用户IP，这使得warp效果将接近于iCloud Private Relay
扩容warp网络至100多个国家的270多个城市

Source :::

:::tip[🍟的Surge转换脚本] 薯条🍟写了个脚本，能够将warp(包括team版)转换为Surge可用的格式

脚本地址 :::

1.前提

[ ] 外区Apple ID
[ ] 一个可以用的科学上网方案（临时使用）
[ ] Cloudflare账号

2.Cloudflare WARP

2.1安装

首先要在App Store登录外区Apple ID[^3]，接着访问安装链接进行安装。

2.2配置

接着，先开着你自己的上网工具，然后打开Cloudflare WARP（也就是1.1.1.1 [^4]）开始配置。

它会有许多条款，直接同意即可~~谁<sup>tm</sup>没事儿看条款啊~~。

这个时候就需要注册设备，也就是为什么要开着科学上网的原因（注册设备阶段需要连接1.1.1.1，但长城应该是把它封掉了)。

2.3连接

注册完后可以打开连接，再打开Cloudflare的检测工具看看是不是连上了1.1.1.1的DoH，连上了就可以。

此时，你的WARP连接的是共享带宽，速度慢得一批，当然看看网页还是没啥问题的。如果想要更优质的服务，有两条路。一条是充钱；而另一条，则是白嫖Cloudflare for Teams [^5]。

(如果有条件还是花钱支持一下吧，毕竟也就将近5$/月，Cloudflare的羊毛都薅的我不好意思了😅。订阅了WARP+后可以在设置中帐户页面复制密钥在电脑上使用以共享订阅)

3.Cloudflare Zero Trust

3.1注册组织

首先登录你的cloudflare账号，进入控制台。打开team界面，输入你想注册的组织名（后续可改），然后选择计划。有支付方式的可以绑定一个后选择free计划，没有的也可以直接不管，重新进入Cloudflare Zero Trust。

3.2连接服务

在左侧的My Team中选择Device，增加第一个设备

点击"Connect a device"后，

点击创建注册策略（Create an enrollment policy）后，输入你想要登录邮箱的后缀，例如"@gmail.com"。

接着会要求安装一个描述文件以增加对https连接的支持。（事实上我没搞懂这一步有什么用，因为即使我没安装描述文件并信任也可以正常使用）。

3.3连接Teams

右上角点开更多

点击账户

这个界面中的"按键"上的密钥可以连接电脑和手机以共享流量或WARP+订阅。当然对我们白嫖党是没用滴😎。点击"使用Cloudflare for Teams登录"

隐私条款

通过1.1.1.1登录

登录界面登录成功后就可以成功进入Team版无限流量啦！享受生活！

[^2]: WARP 是 Cloudflare 提供的一项基于 WireGuard 的网络流量安全及加速服务，能够让你通过连接到 Cloudflare 的边缘节点实现隐私保护及链路优化。其连接入口为双栈 (IPv4/IPv6)，因此单栈服务器可以连接到 WARP 来获取额外的网络连通性支持。比如可以让仅具有 IPv6 的服务器直接访问 IPv4 网络，不再局限于 DNS64 的束缚，能自定义任意 DNS 解析服务器，对于科学上网会有很大的帮助；也能让仅具有 IPv4 的服务器获得 IPv6 网络的访问能力，可以作为 IPv6 Only VPS 的 SSH 跳板。 [^3]: 知乎专栏-外区Apple ID注册方式，2022版 [^4]: Cloudflare公布1.1.1.1 [^5]: WARP for Desktop 和 Cloudflare for Teams

Cryptomator 开源应用保护你的隐私！

Mon, 24 Jan 2022 22:05:42 GMT

众所周知，著名公司某度与谷某绝不会窥探用户隐私，绝不对文件进行审查。某度甚至表示绝不会替换用户文件为其他视频。

（本段为虚构情节，如有雷同纯属巧合🙃）

我们在生活中经常会用到网盘。但除了那些端对端加密的高档货（例如Mega），每一个网盘都会对文件进行审查。这无疑是损坏了用户的隐私权益。

这时，就要请上主角- Cryptomator！

介绍

这是一个开源软件，在Github上的Cryptomator库开源，所以可以对其安全性放心。

开发者使用了强大的加密与混淆方法，对目录、名称及内容都进行了加密。单从外部来看是没有任何办法找到真实内容。

开发者在立项时就决定这个应用适用于网盘同步加密，所以产生了这种特殊的分割式加密，使得不像Veracrypt那样，一旦内容更换就需要全部重新下载。

用法

在Cryptomator下载界面下载安装适合自己系统的程序版本。

:::note[iOS收费] 顺带一提，这个软件是全平台的，仅有iOS收费，就当是捐款支持了 :::

第一步：创建保险库

电脑客户端

在PC、Mac或Linux客户端中，网盘必须挂载才能在使用cryptomator。因为博主只有Windows电脑~~绝不是因为买不起~~，所以就以Windows版演示。

软件界面

首选项

添加保险库

:::tip[选择] 这一步中，如果你已经创建过网盘保险库，那就直接选择即可 :::

填写名称

选择路径

:::tip[注意] 这里的选择仅仅只是保险库目录存在的父目录，真正的路径将会由程序自动创建为父目录下你填写的保险库名称的文件夹。 :::

输入密码

:::caution[强烈建议] 强烈建议选择创建恢复密钥。因为如果你的密码忘了，真的真的真的只能通过这个恢复了 :::

创建成功

你可以在主界面选择解锁了！

手机客户端

手机客户端支持链接常见的网盘~~除某度网盘、阿某云盘外~~，也支持webdav。

<details> <summary>iOS客户端<sub>点此展开</sub></summary>

iOS上的Cryptomator比较特殊，截至2021.12.19日前，App Store上的版本为1.x。而开发者正在开发2.x版本。可以通过Testflight提前尝试。

1.x因为使用自身的文件管理方式，无法绕开iOS的文件沙盒，导致使用iCloud同步的果粉们功能受限，且管理很不方便。所以强烈建议等一会儿后使用第二个版本，直接内置于Apple 文件应用，cryptomator程序仅有加解密功能。（多个加密盘会在文件里显示多个盘，下带名称）

有人担心买了第一版是不是还得买第二版？~~没错就是我~~完全没必要开发者回应，购买了第一版的将会免费获得第二版的使用权。参与testflight测试的用户可以在测试期间免费使用。 </details>

第二步：上传后在另一个设备添加保险库

这一步很简单，以iOS Cryptomqtor 2.x举例，挂载对应的网盘，打开现有保险库，输入密码解锁即可。

小结

接下来，享受无法被窥视的轻松生活吧！😎

:::note[注意事项]

任何一个文件都别丢！因为Cryptomator是无序加密的，谁也不知道这个对应哪一个文件！
iCloud PC版挺抽风，不建议用windows的朋友使用iCloud同步。~~Onedrive都比它好~~
Cryptomator已经算加密软件中性能比较好的了~~当然比不上Veracrypt~~，但还是要注意别传太大或过多的文件。 :::

Google Search Console 让你的网站充满人气!

Mon, 24 Jan 2022 18:01:17 GMT

建站之后，你是否发现一个访问也没有？你是否时常感到空虚?现在，我们拥有了站长们都必须拥有的权利：让别人知道我们！

搜索 Google，判断网站是否被收录

site:<your-url> #直接在Google上这样搜索，<your-url>填写你自己的站点

大多数情况会是这样：

别担心，这种情况下，我们就需要主动向 Google 填报网站，让 Google 的 spider 爬到我们的文章。

申请索引

打开Google Search Console

这里有两种认证所有权的对象：网域认证和网页认证，建议使用第二个，比较简单。所以在这里我只以此为例。

输入需要认证的 url 后，会有五种方法可供认证：

HTML 文件：通过在网址根目录添加一个随机生成的.html 文件验证。优点：不需要改动原有代码。

HTML 标记：通过向首页添加元标记，将元标记复制到第一个<head>中验证。缺点：需要改动原有 index.html

Google Analytics：注册 Google Analytics 账号后将 analytics.js 或 gtag.js 代码段添加到<head>中。

Google Tag Manager：同样如此

DNS 设置：将 TXT 记录复制到 DNS 配置中。缺点：麻烦，响应慢（最长 1 天），有的服务商很难找到 DNS 配置入口。

第一种方式最简单也最直接。

Google 会提供一份 html 文件，只需把文件上传至网站根目录即可。

验证完成后会这样：

建立 sitemap 提高爬虫速度

打开XML-sitemaps

填入自己的网站 URL，然后开始爬取

接着进入 detail，然后下载sitemap.xml

把这个文件上传到网站根目录下（如果你用的是宝塔面板，你可以直接将下载链接复制过去远程下载，更方便）

转到Google Search Console，在菜单中找到站点地图，填入/sitemap.xml即可。

总结

以上就是让 Google 加入自己网站的教程，是不是很简单？

当然，有了索引却没文章是一个很丢脸的事情哦，望各位像我一样~~不要脸~~，不当鸽子 🐦！

Moraxyc's Rhapsody

使用Railway.app部署artalk评论系统

配置

数据持久化

账户

结束

千万别注册.cn！

本人经历

朋友趣事

阿里云掩耳盗铃

我的本地漫画管理方案

下载漫画

Komga管理

docker-compose

文件格式

刮削元数据

阅读

深夜有感 | 我为什么写博客？

初出茅庐

膜拜大佬

敏感

迷失

初心

最后

自建轻量邮件服务器？先了解传输原理！

邮件传输原理

基本定义

传输过程

1. 发送

2. 传递

3. 接收

4. 存储

5. 查看

自建邮件服务器

docker-mailserver

准备服务器

配置

环境变量

启动&查看日志

管理

登录

配置dns记录

MX

SPF

DMARC

DKIM

高级: 多域名使用

优化

PTR/rDNS

附加：解除黑名单/白名单

检查

Cloudflare Pages上的Hexo博客添加自定义响应头

坑点

解决

跳过渲染

强行包含

配置

配置响应头 提高网页安全性 让跑分达到A+！

检测网址

介绍与配置

HTTP严格传输安全(HSTS)

X-Frame-Options

X-Content-Type-Options

X-XSS-Protection

Permissions Policy

内容安全策略（CSP）

跑分

The Fuck？拯救手残党！

需求与痛点

功能

举例<sub>以下内容引用自原开发者nvbn</sub>

安装

依赖

安装依赖与本体

添加别名

更新

使用

Fuck!

参数

设置

配置响应头提高网页安全性让跑分达到A+！