在 MozillaWiki 中推荐了三种配置，分别是现代兼容性、中级兼容性（默认）和旧的向后兼容性。

现代兼容性
对于不需要向后兼容性的服务，以下参数提供更高级别的安全性。此配置与 Windows 7，Edge，Opera 17，Safari 9，Android 5.0 和 Java 8 上的 Firefox 27，Chrome 30，IE 11 兼容。

listen 443 ssl http2;
ssl_protocols TLSv1.2;
ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256;

中级兼容性（默认）
对于不需要与旧客户端（主要是 WinXP）兼容但仍需要支持各种客户端的服务，建议使用此配置。它与 Firefox 1，Chrome 1，IE 7，Opera 5 和 Safari 1 兼容。（推荐）

listen 443 ssl http2;
ssl_protocols TLSv1.2 TLSv1.1 TLSv1;
ssl_ciphers ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS;

旧的向后兼容性
这是旧的密码组件，它主要工作在 Windows XP / IE6 中，如果不是特别需要，建议放弃此配置。

listen 443 ssl http2;
ssl_protocols TLSv1.2 TLSv1.1 TLSv1 SSLv3;
ssl_ciphers ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:ECDHE-RSA-DES-CBC3-SHA:ECDHE-ECDSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:DES-CBC3-SHA:HIGH:SEED:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!RSAPSK:!aDH:!aECDH:!EDH-DSS-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA:!SRP;

一般情况下，使用中级兼容性（默认）的配置即可启用 HTTP2，你还可以通过 mozilla 的 Server side TLS Tools 根据你的服务器进行详细配置。

转自 F2EX 7 年前

14,712

SSH (CentOS)

〓系统

功能	命令	--help	示例
关机	halt		halt
重启	reboot		reboot
系统监视器	top	系统时间, 运行天数, 当前登录用户数, 系统负载总进程数, 运行中的, 睡眠的, 停止的, 未响应的 Cpu(s):us 用户, sy 系统, ni XX, id 空闲, wa 等待, hi XX, si XX Mem, 已使用, 空余, 缓冲 Swap, 已使用, 空余, 缓冲快捷键： M 按占内存排序 P 按占Cpu排序 1 显示每个 Cpu k 杀死进程 q 退出	top
查看进程	ps	aux -ef	列出包含 java 的进程 ps aux \|grep java ps -ef \|grep java
查看内存及 Swap 用量	free	-b,-k,-m,-g 按单位显示	free -m
查看系统时间	date	显示 CST 时间 -R 显示时区 -u 显示 UTC 时间	date
查看硬件时间	clock		clock
设置系统日期			date -s 月/日/年
设置系统时间			date -s 时:分:秒
将系统时间写入到硬件时间			clock -w
查看系统版本			cat /etc/*release
升级系统软件			yum update -y

〓文件

功能	命令	--help	示例
进入目录	cd		cd .. # 上一层目录 cd /root # 根目录
列出目录	ls	白色：表示普通文件蓝色：表示目录绿色：表示可执行文件红色：表示压缩文件浅蓝色：链接文件红色闪烁：表示链接的文件有问题黄色：表示设备文件灰色：表示其他文件	ls
创建目录	mkdir		mkdir XXX
删除目录	rm		rm -rf XXX
删除文件	rm		rm XXX
复制文件	cp		cp XXX YYY
复制目录	cp	-r 复制目录及目录内的所有项目 -v 详细显示进行的步骤	cp -rv XXX YYY
重命名文件	mv	-i: 若指定目录已有同名文件，则先询问是否覆盖旧文件; -f: 在mv操作要覆盖某已有的目标文件时不给任何指示;	mv 源文件目标文件
移动文件	mv	-i: 若指定目录已有同名文件，则先询问是否覆盖旧文件; -f: 在mv操作要覆盖某已有的目标文件时不给任何指示;	mv 一个或多个文件目标目录
下载文件	wget	下载到当前目录	wget http://XXX.tar.gz
计算文件/目录的磁盘用量	du	-a 不仅显示目录，同时显示文件 -h 容易阅读方式显示 --max-depth=N 可指定计算深度	du -ah --max-depth=1 \| sort -n
查找文件	find		find /home -name *.apk

〓 tar

功能	命令	--help	示例
tar	tar	-z 是否压缩 -c 打包 -x 解包 -v 详细地列出处理的文件 -f	打包：tar -cvf abc.tar abc 解包：tar -xvf abc.tar 压缩打包：tar -zcvf abc.tar.gz abc 解压解包：tar -zxvf abc.tar.gz

〓磁盘

功能	命令	--help	示例
查看所有磁盘及分区	fdisk -l		fdisk -l
查看当前挂载	df	-h 按可阅读的方式打印数值和单位 -T 显示文件系统类型	df -hT
管理磁盘分区	fdisk /dev/***	进入后的操作说明： m 显示命令菜单 d 删除一个分区 n 创建一个分区（e 扩展分区；p 主分区） t 改变分区ID q 不保存退出 w 保存退出	fdisk /dev/vdb
格式化分区	mkfs.* /dev/*N		mkfs.xfs /dev/vdb1
挂载分区	mount /dev/*N /*		mount /dev/vdb1 /www
卸载分区	umount /dev/***N		umount /dev/vdb1
开机自动挂载	vi /etc/fstab	配置文档格式：设备挂载点文件系统类型 defaults 0 0	打开：vi /etc/fstab 配置：/dev/vdb1 /www xfs defaults 0 0

〓网络

功能	命令	--help	示例
查看 IP 配置	ifconfig		ifconfig
配置网卡 IP		配置文件目录：/etc/sysconfig/network-scripts/ 配置文件格式： DEVICE=eth0 / eth0:0 / ... # 在配置多线时若使用 cp 命令复制配置文件，必须修改此项以防止冲突 HWADDR=XX:XX:XX:XX:XX:XX # 网卡地址 TYPE=Ethernet # 以太网 UUID=******** ONBOOT=yes # 开机启动 NM_CONTROLLED=yes BOOTPROTO=static # 使用静态 IP IPADDR=192.168.1.2 # IP 地址 NETMASK=255.255.255.XXX # 子网掩码 GATEWAY=192.168.1.1 # 网关 DNS1=114.114.114.114 DNS2=8.8.8.8	vi ifcfg-XXXN(:N)
重启网卡		使配置生效	service network restart

〓防火墙

功能	命令	--help	示例
配置 iptables		添加需要允许的端口的方法同 22 端口	vi /etc/sysconfig/iptables
重启使配置生效			service iptables restart

〓用户/权限

功能	命令	--help	示例
添加用户	useradd	-g 组名 # 加入到该组 -s /bin/false #不允用户直接登录系统	useradd –g 组名用户名 -s /bin/false
修改密码	passwd		passwd 用户
查看所有用户			cut -d : -f 1 /etc/passwd
查看可以登录系统的用户			cat /etc/passwd \| grep -v /sbin/nologin \| cut -d : -f 1
删除用户		-r, --remove remove home directory and mail spool	userdel 用户
添加用户组	groupadd		groupadd 组名
为组添加用户（用户必须已存在）	gpasswd		gpasswd -a 用户组
将用户移出组	gpasswd		gpasswd -d 用户组
查看用户所属组	groups		groups 用户
查看组中有哪些用户	groupmems		groupmems -g 组 -l
更改文件/目录所有者	chown	-R 递归处理所有的文件及子目录	chown -R 用户:组 ***
更改文件/目录权限	chmod	-R 以递归方式更改所有的文件及子目录	chmod -R 777 ***

〓 vi 编辑器

功能	命令	--help	示例
打开文件	vi		vi XXX
进入编辑模式		按 a/i/o/Insert 等
进入末行模式/命令模式		按 Esc后： :w 保存不退出 :q 退出（提示是否保存） :wq 保存并退出 :w XXX 另存到文件 XXX :q! 不保存退出

〓计划任务

功能	命令	--help	示例
设置计划任务	crontab	详细步骤见本页底部	crontab -l # 查看计划任务 crontab -e # 编辑计划任务

〓网站

功能	命令	--help	示例
简单审查日志	cat \| grep		cat 日志文件 \| grep 关键词1 \| grep 关键词2 \| more
日志分析	goaccess		见下文

〓 goaccess

功能	命令	--help	示例
安装	yum install goaccess
日志格式	NCSA Commbined Log Format		date_format %d/%b/%Y log_format %h %^[%d:%^] "%r" %s %b "%R" "%u"
参数	-f	需要解析的日志文件
参数	-e	指定 IP 地址统计
参数	-p	指定配置文件	可以将上面的日志格式内容保存到文件 ~/.goacessrc
参数	-H	显示 HTTP 协议信息
参数	-M	显示 HTTP 方法信息
生成文件			goaccess -f 日志文件 -p ~/.goaccessrc > 目标文件.htm

〓 lnmp

功能	--help	示例
重启 LNMP		/root/lnmp restart
重启 MySQL		/etc/init.d/mysql restart
重启 PureFTPd		/root/pureftpd restart
安装 LNMP	http://lnmp.org/install.html
常见问题	http://lnmp.org/faq.html
状态管理命令	http://lnmp.org/faq/lnmp-status-manager.html
相关软件目录及文件位置	http://lnmp.org/faq/lnmp-software-list.html
防跨站、跨目录安全设置（仅支持 PHP 5.3.3 以上版本）	http://www.vpser.net/security/lnmp-cross-site-corss-dir-security.html
查看 Nginx 版本		nginx -V
查看 MySQL 版本		mysql -V
查看 PNP 版本		php -v
查看 Apache 版本		httpd -v
查内存		cat /proc/meminfo
php.ini		vim /usr/local/php/etc/php.ini
MySQL 配置文件		vim /etc/my.cnf
添加网站		/root/vhost.sh
添加 ProFTPd 用户		/root/proftpd_vhost.sh

〓 nginx

功能	命令	--help	示例
启动/停止/重启	service nginx 或 /etc/rc.d/init.d/nginx		service nginx start service nginx stop service nginx restart
伪静态	在 .conf 文件中配置		rewrite ^(.)/read-htm-(.)\.html(.)$ $1/read.php?$2.html? last; rewrite ^(.)/thread-htm-(.)\.html(.)$ $1/thread.php?$2.html? last; rewrite ^(.)-htm-(.)$ $1.php?$2 last; rewrite ^(.)/simple/([a-z0-9\_]+\.html)$ $1/simple/index.php?$2 last; rewrite ^(.)/data/(.)\.(htm\|php)$ 404.html last; rewrite ^(.)/attachment/(.)\.(htm\|php)$ 404.html last; rewrite ^(.)/html/(.*)\.(htm\|php)$ 404.html last;
防盗链	在 .conf 文件中配置	HttpRefererModule	location ~* \.(gif\|jpg\|png\|swf\|flv)$ { valid_referers none blocked .0574bbs.com .eyuyao.com 0574bbs.com eyuyao.com; if ($invalid_referer) { rewrite ^/ http://web1.eyuyao.com/yyad/src/3122.jpg; # return 404; } }
浏览器缓存	在 .conf 文件中配置		location ~ .*\.(gif\|jpg\|jpeg\|png\|bmp\|swf)$ { expires 30d; }

〓 vsftpd

功能	命令	示例
安装		yum install vsftpd
查看是否已安装		rpm -q vsftpd
启动/停止/重启	service vsftpd	service vsftpd start service vsftpd stop service vsftpd restart
配置文件		vi /etc/vsftpd/vsftpd.conf

〓 MySQL

功能	命令	示例
登录	mysql	mysql -u username -p
登出		exit
查看信息		status;
查询当前正在执行的 SQL 语句		show processlist;
删除指定时间之前的日志	PURGE	PURGE MASTER LOGS BEFORE '2015-1-1 0:00:00';

〓 scp 远程文件/目录传输命令 (yum install openssh-clients) 用法

scp 会把文件权限（读取/写入/执行）带过来，但所有者为当前执行 scp 命令的用户。

scp 低版本有许多漏洞，用完最好 yum remove openssh-clients

scp 采用直接覆盖的机制，如需判断文件无差异则跳过，应改用 rsync 命令。查看 rsync 详细使用方式及与 scp 对比

功能	命令	--help	示例
若远程服务器 SSH 端口非默认	scp	-P 端口号
下载远程服务器上的文件到本地	scp		scp 远程用户@远程服务器:远程文件本地文件
下载远程服务器上的目录到本地	scp	-P 端口 -v 显示进度 -r 递归	scp -r 远程用户@远程服务器:远程目录本地目录实例：scp -r root@x.x.x.x:/a/b/ /c/d/ 结果：/c/d/b/，即将整个 b 复制到 d 下（注意与 rsync 命令的区别）
将本地文件上传到远程服务器	scp		scp 本地文件远程用户@远程服务器:远程文件
将本地目录上传到远程服务器	scp	最终目录结构参：远程->本地	scp -r 本地目录远程用户@远程服务器:远程目录

〓 rsync 远程文件/目录传输命令 (yum install rsync) 用法 查看 rsync 详细使用方式及与 scp 对比

rsync 会把文件权限（读取/写入/执行）带过来，所有者也会带过来。

相比于 scp 最大的优势就是可以增量同步

功能	命令	--help	示例
下载远程服务器上的目录到本地	rsync	-a 递归 -v 详细 -p, -- perms 保持权限 -g, -- group 保持属组 -o, --owner 保持属主 -r 递归 --progress 打印 --delete 删除已不存在的文件 -u 表示仅更新较新的文件 -z 表示在传输过程中进行压缩 -e 'ssh -p 2222' 指定其它端口	rsync 远程用户@远程服务器:远程目录本地目录实例：rsync -avu --progress root@x.x.x.x:/a/b/ /c/d/ 结果：/c/d/，即将 b 内的文件(夹)复制到 d 下（注意与 scp 命令的区别）
将本地文件上传到远程服务器	rsync		rsync 本地文件远程用户@远程服务器:远程文件
将本地目录上传到远程服务器	rsync	最终目录结构参：远程->本地	rsync 本地目录远程用户@远程服务器:远程目录

功能

命令

--help

示例

下载远程服务器上的目录到本地

rsync

-a 递归

-v 详细

-p, -- perms 保持权限

-g, -- group 保持属组

-o, --owner 保持属主

-r 递归

--progress 打印

--delete 删除已不存在的文件

-u 表示仅更新较新的文件

-z 表示在传输过程中进行压缩

-e 'ssh -p 2222' 指定其它端口

rsync 远程用户@远程服务器:远程目录本地目录

实例：rsync -avu --progress root@x.x.x.x:/a/b/ /c/d/

结果：/c/d/，即将 b 内的文件(夹)复制到 d 下（注意与 scp 命令的区别）

将本地文件上传到远程服务器

rsync

rsync 本地文件远程用户@远程服务器:远程文件

将本地目录上传到远程服务器

rsync

最终目录结构参：远程->本地

rsync 本地目录远程用户@远程服务器:远程目录

〓 ftp 客户端 (yum install ftp)

功能	命令	--help	示例
登录	ftp		ftp 目标服务器
列出远程当前路径目录/文件	ls		ls
创建远程目录	mkdir		mkdir 目录名
删除远程目录（空）	rmrmdir		mkdir 目录名
进入远程目录	cd		cd 目录名
显示远程当前路径	pwd		pwd
重命名远程文件	rename		rename 原文件名新文件名
上传文件	put		put 本地文件名
下载文件	get		get 远程文件名
批量下载文件	mget	需要单个确认
批量下载文件【lftp】	mirror	参数有很多	mirror
返回 shell（不退出）	!		!
返回 ftp（接上步）	exit ftp		exit ftp
结束	bye quit		bye quit

〓 iftop

流量监控工具教程

〓 GoAccess

实时网站日志分析工具官网

〓 Cacti

网络流量监测图形分析工具官网百科

常见问题笔记

加硬盘

插入新硬盘
若有 RAID，则先设置，使操作系统能认到硬盘
使用 fdisk 命令对新设备进行分区
使用 mkfs 命令对新分区进行格式化
使用 mount 命令进行挂载
设置开机自动挂载（vi /etc/fstab）

更改 MySQL 数据库目录位置

停止 MySQL 服务
将原数据目录转移或复制到新位置（若是复制，则修改所有者使原来一致）
找到 my.cnf 配置文件（一般在 /etc/），修改 datadir 值为新路径
启动 MySQL 服务

502 Bad Gateway 问题排查

查看 PHP 日志，路径：/usr/local/php/var/log
一般为“server reached pm.max_children setting (10), consider raising it”连接数问题，在“/usr/local/php/etc”下的所有配置文件中查找并修改相关设置即可（如改成 1000）。

计划任务（实例：定时备份数据库并通过 FTP 同步至其它服务器）

创建可执行文件：vi dotask.sh
dotask.sh 的内容示例：
DATE_TIME=`date +%Y_%m_%d_%H%M%S`;
FILE_NAME=数据库名_backup_$DATE_TIME.sql;
cd /home/mysqlbackup/;
mysqldump -u数据库用户名 -p数据库密码数据库名>$FILE_NAME;
tar -zcf $FILE_NAME.tar.gz $FILE_NAME;
rm $FILE_NAME;

ftp -v -n FTP地址 << END
user FTP用户名 FTP密码
bin
put 本地目录文件目标路径文件
bye
END

文件名乱码问题可以在行末加“;”来解决
赋予执行权限：chmod 777 dotask.sh （ls 命令时呈绿色）
编辑计划任务：crontab -e
crontab 书写规则：
# 分时日月周文件路径
0 3 * * * /home/dotask.sh
30 4 * * * /home/dotask2.sh

更多帮助
重启 crond：/etc/init.d/crond restart

netstat

netstat -an | grep xxx.xxx.xxx.xxx 可查看此 IP 的 TCP 请求及端口

xoyozo 7 年前

7,928

“群 Discuz! 开放平台管理员拒绝了你的加群请求”加入 DZ 开发者及购买会员的一些记录

附加消息：暂无该开发者或未上传过应用

原因：没有上架应用（隐藏的不算上架），应用设置显示后记得在版本管理中将版本也设为显示。

附加消息：抱歉，开发者验证无效

原因：可能是没有达到认证要求，不允许加群（譬如：需应用最低总安装量 1000 次）

DZ 水很深，慎入：http://open.discuz.net/?ac=document&page=xootan

2018.8.14 踩坑：

还有，加群要开发者中填写的 QQ 才能加，因为验证是全自动程序判断的。

如果要跳过安装量 1000 次的要求，就直接花钱购买会员，不过购买会员也是一件非常艰难的事情，在与“Q群管家”这个机器人 QQ 的对话中发送“@购买vip”，绝对能让你体验到一种有钱也花不出去的感受。

做这么多花哨的东西，不如踏踏实实把产品做好。

2018.8.15 踩坑：

跟Q群管家对话，@login 时，由于密码过于复杂，消息没反应，特殊符号别提了，连纯大小写字母数字也不行，后改成纯数字密码登录成功。

加群完全看基本信息中填写的 QQ 客服号，群主是机器人，只要应用是上架显示的，版本是显示的，就可以用这个QQ客服申请入群，（可以改）。

xoyozo 7 年前

4,002

服务器被攻击或出现异常警告的优化处理方式汇总（含 Discuz!）

本文不定时更新！

A： MySQL 执行 SHOW FULL PROCESSLIST

Q：查看连接数和慢查询，适用于 MySQL 数据库无法连接 1040

A： iftop -i eth0

Q：查看占用带宽的IP（命令：iftop -i eth0 -F ip/24），添加到安全组、防火墙、宝塔的黑名单中。

命令 grep -l "x.x.x.x" /www/wwwlogs/*.log 可以在 wwwlogs 目录下的所有 .log 文件中查找指定的恶意 IP。

A： goaccess -f xxx.log

Q：实时分析网站日志，查看请求最多的IP

A： net.xoyozo.weblog 日志分析工具

Q：自制的 Web 日志分析工具，可按多种方式排序，纠出可疑访问

A：重启 web 服务器

Q：有时候能解决 CPU 和内存消耗的问题，如果一会儿又升高，则需要找另外的原因

Q： 500 服务器内部错误

502 Bad Gateway

504 Gateway Time-out

A：查看 php 日志，可能的路径：

/usr/local/php/var/log/php-fpm.log

/www/server/php/[版本]/var/log/php-fpm.log

Q： RDS MySQL IOPS 使用率高的原因和处理

A：根据时间点查看慢查询

Q： Discuz! 论坛界面错乱、表情不显示、模块缺失、登录失败、发帖失败等等

A：进入管理中心 - 工具 - 更新缓存，能解决大部分问题

Q： Discuz! 浏览帖子提示“没有找到帖子”

A：进入数据库，修复表 pre_forum_post 或分表

Q： CPU 100% 或内存 100%，负载100+

A：原因有很多，以下是一些建议：

Windows 在任务管理器中查看进程

当前是否有正常的大流量访问（譬如民生类论坛的某个帖子突然火了）特别是重启无效的情况

对比网站日志大小可大致确定哪个网站被大量恶意请求。

观察：命令 top

排查：通过关闭网站来确定是某网站的问题，通过关闭功能确定是某功能的问题，如果 nginx 崩溃请参下条

案例：通过修改 mobcent 文件夹名确定是安米的文件被疯狂请求导致的，更新插件和 mobcent 包解决问题。

如果都是正常访问，top 看到很多 php-fpm，而且个个占用 CPU 还不小，那么根据服务器硬件配置来修改 php 的并发量，如宝塔面板在 php 设置 - 性能调整页，300 并发方案的推荐配置是：

max_children：300
start_servers：30
min_spare_servers：30
max_spare_servers：180

另外，memcached 或 redis 的配置也可以进行相应的修改。

另一个案例是 kswapd0 进程占满 CPU，原因是内存不足导致 swap 分区与内存频繁交换数据。同样调整 php 的设置即可。

也可以通过 iftop 来查询占用带宽较多的 IP 并封禁（出方向），如果 CPU 能降下来，那这个 IP 就是罪魁祸首。

* 使用 WAF 的审计 WAF 日志，未使用 WAF 的审计 Web 日志。

Q：阿里云 ECS 的 CPU 突然达到 100%，并持续到次日 0:00 左右

A：可能 ECS 是 t5 规格，受 CPU 积分制度限制，积分耗尽时 CPU 不工作。解决方法是更换其它规格产品或升配。

Q： ASP.NET 所在服务器 CPU 突然达到 50% 或 100%，并持续

A：首先确定哪个网站，再依次排查网站各功能。可能是 HttpWebRequest 请求远程数据时长时间未返回结果导致的程序阻塞。

Q： nginx 服务停止

A：查看 nginx 日志

WDCP 路径：/www/wdlinux/nginx-1.0.15/logs/error.log

Q：公网出带宽 100%，其它指标正常

A： Windows 在任务管理器-性能-资源监视器-网络查看占用带宽的进程PID，然后在任务管理器-详细信息中的找到对应的用户（如果为每个网站分别创建了用户，就能知道是哪个网站占用了带宽）；如果是被 PID 为 4 的 System 占用大部分带宽，也可以尝试重启 IIS 来解决。

CentOS 使用 nethogs 查看占用带宽的进程PID和USER，如果为每个网站分别创建了用户，就能知道是哪个网站占用了带宽，否则只能一个个关闭网站来判断，不知道大家有没有好的方法？当然还可以直接用 iftop 命令查看占用带宽的 IP。另外，查看每个网站在那个时间段的日志文件的大小也能大概看出是哪个网站被采集了。

A： Linux 显示每个用户会话的登入和登出信息

utmpdump /var/log/wtmp

参考：http://www.tulaoshi.com/n/20160331/2050641.html

Q： RDS 的 CPU 100%

A：如果是突然持续占满（同时伴随 ECS 资源使用率下降，页面出现 502），很大可能是受攻击（或社交网站推送突发事件等），查看“慢查询”，添加相关索引；如果是 Discuz! 论坛，可尝试修复优化表 pre_common_session。

如果是数日缓步上升，或新项目上线，考虑 SQL 慢查询，思路：MySQL / SQL Server。

MySQL：SHOW FULL PROCESSLIST

SQL Server：sp_who

Q： php 网站的服务器，内存在数天内缓慢上升

A：大概是 php-fpm 占用过多，或进程数太多

更改 php 的配置（如 max_spare_servers），执行：service php-fpm reload

Q：进程 cloudfs 占用内存过多

A：参：https://xoyozo.net/Blog/Details/cloudfs-cache

Q： RDS 磁盘占用过大

A：参：https://xoyozo.net/Blog/Details/how-to-use-rds

Q： ECS 受到 DDoS 攻击怎么办？

A：参：https://xoyozo.net/Blog/Details/aliyun-ddos-without-bgp

Q：如果 ECS 和 RDS 各项指标都没有异常，但网页打开慢或打不开502，TTFB 时间很长，是什么原因？（ECS 的 CPU 100%，RDS 的连接数上升，也可参考此条）

A：数据库有坏表，尝试优化/修复表（慢 SQL 日志中锁等待时间较长的表？），或主备切换。show full processlist 时看到许多

DELETE FROM pre_common_session WHERE sid='******' OR lastactivity<****** OR (uid='0' AND ip1='*' AND ip2='*' AND ip3='*' AND ip4='*' AND lastactivity>******)

Q： Discuz! 创始人(站长)密码被改

A：数据库找到 pre_ucenter_members 表，复制其它的已知登录密码的账号，复制其 password 和 salt 两个字段的值到创始人账号中，创始人账号即可用该密码登录了。

Q：通过 iftop 观察到，Discuz! 网站从 RDS 数据库到 ECS 网站服务器私网流量非常大，远大于公网流量

A：可能是缓存出问题了，尝试卸载重装 Redis 来解决。

Q：宝塔面板中安装的 Redis 经常自动停止

A：尝试卸载重装 Redis 来解决。

Q：马甲客户端出现“您的网络有些问题”

A：原因有许多，其中一个就是新建了一个数据表，然后 /source/class/table/ 下面丢失了对应的文件，具体可以找官方排查原因。

Q：排查服务器安全需要检查哪些日志？

A： Web日志、登录日志（/var/log/secure）等。

Q：带宽波形以几分钟为周期呈锯齿状波动是什么原因？

A：该现象主要由防火墙流量管控机制与检测周期设置共同作用所致。防火墙基于预设的带宽阈值执行安全防护策略，当检测到流量峰值超过设定阈值时，将自动触发限流策略拒绝后续请求。待流量回落至安全阈值后，系统自动恢复服务访问权限。若防火墙的带宽采样检测周期设置过长（如以分钟为单位的检测间隔），将导致系统对实时流量变化的响应出现迟滞。这种周期性的检测机制会使带宽监控数据在阈值临界点附近呈现规律性的锯齿状波动特征。

优化建议：可通过调整防火墙的流量检测周期至更小时间粒度（如10-15秒），或采用动态流量整形策略，以实现更平滑的带宽控制效果。

补充说明：对于阿里云监控数据的调用，建议注意接口调用频率管控。高频调用云监控API接口将触发阿里云的API计费策略，可能产生额外的资源消耗成本。

其它案例

某台 ECS 上的多个网站出现 502，查询到 CPU / 内存 / 带宽都比平时高，但都未满。用 iftop 看到连接的一个远程 Redis 占用内网带宽非常高。尝试重启远程 Redis 未果。尝试重启 ECS 上的 nginx 未果。尝试重启 ECS 未果。进入 ECS 的宝塔面板，重启 PHP 有效。

xoyozo 9 年前

9,795

修改 Chrome 谷歌浏览器自动填充的样式

若在谷歌浏览器中记住密码，再次打开时，表单中自动填充的文本框和下拉框都变成了黄色背景，影响界面美观，可以使用以下样式修正：

/* Change Autocomplete styles in Chrome*/
input:-webkit-autofill,
input:-webkit-autofill:hover, 
input:-webkit-autofill:focus
input:-webkit-autofill, 
textarea:-webkit-autofill,
textarea:-webkit-autofill:hover
textarea:-webkit-autofill:focus,
select:-webkit-autofill,
select:-webkit-autofill:hover,
select:-webkit-autofill:focus {
  border: 1px solid green;
  -webkit-text-fill-color: green;
  -webkit-box-shadow: 0 0 0px 1000px #000 inset;
  transition: background-color 5000s ease-in-out 0s;
}

具体样式请自行修改。

参考资料：https://css-tricks.com/snippets/css/change-autocomplete-styles-webkit-browsers/

xoyozo 9 年前

5,104

FlashFXP（FTP）计划任务

设规则：
   属性-文件传输规则-全局
       如果时间为较旧并且传输为下载那么覆盖
       如果大小为不同并且传输为下载那么覆盖
       如果没有匹配的规则，那么：跳过

建站点：
站点-站点管理器-新建站点
设好本地路径，传输自定义规则使用全局设置

队列：
连接站点，在需要备份的目录上右键，队列
在队列上右键，另存为

计划：
   工具-计划-新建任务
   选择队列文件，使用自定义规则
   设置执行时间，Windows 密码

设置完成！

xoyozo 12 年前

6,040

Windows Server 2008 R2 Web 服务搭建流程

《Windows Server 2008 R2 Web 服务搭建流程》

前提一、安装完系统后，各分区的权限均设为：
IIS_IUSRS 完全拒绝（不是什么都不勾，而是勾满右侧的拒绝）
一、创建网站用户，如 netXoyozoWww，密码永不过期，仅隶属于 IIS_IUSRS 组。
二、创建网站根目录 net.xoyozo.www，权限添加用户 netXoyozoWww，允许“读取和执行”、“列出文件夹内容”、“读取”。
创建上传目录 upload，用户 netXoyozoWww 的权限再允许“修改”、“写入”。
三、IIS 中添加网站，网站名称如 net.xoyozo.www，指定物理路径，点击连接为，特定用户，测试设置……
主机名 www.xoyozo.net
四、应用程序池，把 net.xoyozo.www 改成实际需要的 .NET 版本；高级设置，标识，自定义帐户 netXoyozoWww
五、选中网站，日志，更改目录，应用
六、展示网站目录树，选中 upload，处理程序映射，编辑功能权限，取消“脚本”前的勾。
此操作的结果会在该目录下创建 web.config 文件，切勿删除！尚未研究出被上传文件替换的解决方案。程序应严格控制上传路径，阻止修改或替换 web.config 文件

另：
查看端口命令：netstat -an

xoyozo 12 年前

3,851

SQL Server 2012 R2 数据库服务搭建流程

《SQL Server 2012 数据库服务搭建流程》

安装 .net 3.5 并重启！

知识一、安装，选 64 位版本，安装功能：
   实例：数据库引擎服务及子项全选，其它暂时用不到
   共享：管理工具-完整
知识NN、若实例安装到其它磁盘，确保目录有“NETWORK SERVICE”权限！！！
知识二、卸载，参：http://technet.microsoft.com/zh-cn/library/hh231731.aspx
   必须严格按照说明卸载，否则会出现卸载不干净，重装装不上的问题。
   若不幸遇上 0x851A001A，参：http://social.msdn.microsoft.com/Forums/zh-CN/8f4d5cf8-4ab8-4a37-81df-7c294f994515/sql-server-2012-install-error-851a001a
   用户名好像是：NT Service\MSSQLSERVER
知识三、18456错误：
   服务器身份验证：SQL Server 和 Windows 身份验证模式
   具体设置在：SSMS - Windows 身份验证模式登录后 - 对象资源管理器 - 选中当前服务器 - 右键属性 - 安全性
   SQL Server 配置管理器 - SQL Server 服务 - 重启
知识四、修改端口：
   SQL Server 配置管理器 - SQL Server 网络配置 - 相应实例的协议 - TCP/IP - IP 地址 - 将所有1433改掉
   SQL Server 配置管理器 - SQL Server 服务 - 重启
知识五、sa - 登录 - 禁用
知识六、维护计划：
   开启 SQL Server 代理，并在服务里设置自动(延时)
   SSMS - 当前服务器 - 管理 - 维护计划 - 右键维护计划向导每天4:03:02
   工具箱-拖入：收缩数据库-重新组织索引-重新生成索引-更新统计信息-清除历史记录-备份数据库（完整）-“清除维护”任务

编辑每项任务，在“所有用户数据库”中勾选“忽略未处理联机状态的数据库”，这是关键，如果不勾选，一旦某个数据库被设置为脱机，备份就会出错。

在新建的维护计划上右键，执行，完成以后，右键“查看历史记录”，如有错误作相应修改
完整备份+差异备份方式：http://www.cnblogs.com/zhangq723/archive/2012/03/13/2394102.html 从“下面我来讲一下”开始做

需要开放远程连接的，在防火墙设置允许通过的程序，如：
D:\Program Files\Microsoft SQL Server\MSSQL12.MSSQLSERVER\MSSQL\Binn\sqlservr.exe

创建或还原数据库

一、（还原时）改：
   常规 - 目标 - 数据库(B)
   文件 - 表格“还原为”列 - 改文件名如：dbTest.mdf / dbTest_log.ldf
二、（还原时）dbTest - 安全性 - 用户 - 删除原用户，默认那些用户不要删
三、（还原后）属性 - 文件 - 数据库文件 - 逻辑名称，初始大小全是0
   如不需要日志，则：属性 - 选项 - 恢复模式 - 简单
四、安全性 - 登录名 - 新建登录名：
   常规 - 填写登录名 - SQL Server 身份验证 - 取消“强制实施密码策略” - 默认数据库
   用户映射 - 映射对应数据库 - 勾：db_owner / public （若只读则勾：db_datareader / public）
   用户映射确定后再检查一次，第一次有可能未设置成功

xoyozo 11 年前

6,087

微信公众号/小程序/商户平台域名配置和相关功能实现

在开发微信中的网页时，会遇到一些域名相关的配置：

① 公众号设置 - 功能设置 - 业务域名
② 公众号设置 - 功能设置 - JS接口安全域名
③ 接口权限 - 网页授权获取用户基本信息
④ 商户平台 - 产品中心 - 开发配置 - JSAPI支付授权目录
⑤ 小程序 - 开发 - 开发设置 - 业务域名
⑥ 公众号开发 - 基本设置 - IP白名单

第①种业务域名：相对不重要，只是用来禁止显示“防欺诈盗号,请勿支付或输入qq密码”提示框，可配置 3 个二级或二级以上域名（个人理解是“非顶级域名”，即填写了 b.a.com 的话，对 c.b.a.com 不起作用，待测）。

我们网站的域名和公众号是没有绑定关系的，那么你在打开一个（可能是朋友分享的）网页时，跟哪个公众号的配置去关联呢，答案是 JS-SDK。

测试结果：由于一个月只有3次修改机会，这次先测二级域名，有效；再测顶级域名，有效；删除所有，仍有效。所以应该是缓存作用。过几天再试，然后下个月先测顶级域名，来确定直接填写顶级域名是否对所有二级域名有效。

第②种 JS接口安全域名：是配置所配置的域名下的网页可调用 JS-SDK。可配置 5 个一级或一级以上域名（个人理解是“任何级域名”，即填写了 b.a.com 对 c.b.a.com 也有效，但对 c.z.a.com 无效，待测。如果我们拥有顶级域名对应网站的控制权（上传验证文件到网站根目录），直接填写顶级域名即可）。
使用 JS-SDK 的每个网页都必须注入配置信息（wx.config），而之前必须获取 jsapi_ticket，jsapi_ticket api 的调用次数非常有限，必须全局缓存。而获取 jsapi_ticket 之前必须先获取 access_token，同样需要全局缓存。所以，我们专门做个接口，功能是传入需要使用 JS-SDK 的网页的 url，输出 wx.config 需要用到的配置信息，来实现在不同网页（网站）使用 JS-SDK。

第③种网页授权域名：这是已认证的服务号才能享有的特权，主要作用是获取用户在该服务号中的 openid 和 unionid。可配置 1 个 2 个回调域名（可填写任意级别的域名，但仅对该域名的网页（网站）有效，若填写了 a.com 对 b.a.com 是无效的）。

因此，如果我们需要在不同二级域名甚至不同顶级域名下的网页（以下称之为活动页面）实现用户授权，需要做一个统一的代理授权页面（回调域名当然是填写这个页面所在的域名），引导用户依次打开：微信授权页面 - 代理授权页面 - 活动页面，根据开发说明文档，具体实现如下：

当用户第一次打开活动页面时，引导打开微信授权页面（https://open.weixin.qq.com/connect/oauth2/authorize），其中参数 redirect_uri 指定回调地址，即代理授权页面地址，参数 state 指定活动页面地址。微信授权页面返回 code 和 state，code 作为换取网页授权 access_token 的票据。到这一步，本来可以由代理授权页面直接拿这个 code 去换取 access_token、openid 和 unionid 了，但是由于当前用户还在 302 重定向过程中，将这些信息带入到活动页面时势必导致信息泄露，所以这里将 code 追加到 state 指定的网址上后重定向到活动页面，活动页面拿到 code 再通过服务器端向代理授权页面所在服务器请求 openid 和 unionid，并将它们保存于 Session 中视为用户登录。这样，服务号的 appid 和 secret 也能得到保护。代理授权页面请求的微信服务器接口地址是 https://api.weixin.qq.com/sns/oauth2/access_token。

注：网页授权 access_token 不同于 JS-SDK 中使用的全局唯一接口调用凭据 access_token，没有请求次数限制。

流程既然通了，实现逻辑可以这样设定：

活动页面首先判断 Session 中是否有 openid 或 unionid，若有表示已授权登录；没有再判断地址栏是否有 code 参数，若有则调用代理授权页面所在服务器的接口，用 code 换 openid 和 unionid；没有则直接重定向到代理授权页面，带上 state。用 code 换 openid 和 unionid 时若成功则保存至 Session，若失败则仍然重定向到代理授权页面，带上 state，特别注意 state 中的活动页面地址确保没有 code 参数。

第④种 JSAPI支付授权目录：涉及到微信支付时用到，顾名思义是固定某一个网站内的某个目录，以“/”结尾。最多可添加 5 个。如果支付页面在目录 https://www.a.com/b/ 下，那么可以填写 https://www.a.com/b/ 或 https://www.a.com/（建议后者），暂未测试填写 https://a.com/ 会不会起作用。涉及支付安全，建议设置支付页面的最深一层不可写的目录，以防目录内被上传后门文件带来的安全隐患。

第⑤种小程序业务域名：任何需要在小程序的 web-view 组件中打开的网页，都必须配置小程序业务域名，限制 20 个。该域名要求必须 https，可填入“任何级域名”（建议填顶级域名，即填写了 a.com 对 b.a.com 也有效。如果我们拥有顶级域名对应网站的控制权（上传验证文件到网站根目录），直接填写顶级域名即可）。

第⑥种 IP白名单：仅填写管理全局 access_token 的中控服务器的 IP。

总结：在上述自定义接口部署完成后，如果微信中的网页想获取用户的 unionid，则不需要配置域名，直接使用统一的代理授权即可；如果需要使用 JS-SDK 功能，如分享、上传等等，则需要配置 JS 接口安全域名；如果有表单，最好配置一下业务域名。

本文系个人经验总结，部分结果未经证实，欢迎指正！QQ：940534113

xoyozo 9 年前

9,478

创建苹果 iOS 开发证书

本文是一个初学者对苹果开发证书的理解，有一定局限性，不适合所有苹果开发者参考，欢迎批评指正。

发布 iOS 应用主要有三块内容：Certificates, Identifiers & Profiles

Certificates（证书）：是用来给应用程序签名的

Identifiers（标识符）：一个应用对应一个 ID，相当于应用程序的身份证

Provisioning Profiles（描述文件）：它将证书、标识符、设备结合起来，形成一个描述文件，让 Xcode 知道需要打一个怎么样的 .ipa 包

如何创建证书

创建 App ID 就不详说了，不要使用带通配符的名称。值得一提的是，如果要使用推送，必须勾选“Push Notifications”，其它功能按需勾选。

创建证书，需要用到 Mac 电脑上的“钥匙串访问”来生成一个“本地证书”（CSR 文件）：

打开“钥匙串访问” - 证书助理 - 从证书颁发机构请求证书 - 保存到磁盘

然后就可以拿这个本地证书去 Apple Developer 里生成“开发证书”或“发布证书”（CER 文件）。打包证书和推送证书生成过程类似，区别是选择“App Store and Ad Hoc”还是“Apple Push Notification service SSL”。下载后添加到钥匙串就完成了。

添加测试设备就不提了。

然后就是描述文件，同样有开发和发布两种。开发主要是用于 Xcode 环境中；发布中还分两种：App Store 是用于正式上线的，Ad Hoc 是用于测试设备的。下一步选择 App ID，下一步选择证书，然后给 Profile 取个能够分辨的名字，生成的是一个 mobileprovision 文件。

提供证书文件给第三方打包平台

一般需要提供“iOS Distribution 证书”、“推送证书”、“Ad Hoc”和“App Store”类型的 Profiles、App ID 以及 iTunes Connect 中的 Apple ID（不是指登录的邮箱，是指在 iTunes Connect 中创建的 App 在商店中的 ID）。

证书其实跟 App ID 不是一一对应的关系，多个 App 是可以使用同一个证书的。可以单独创建，到期互不影响。Download 后是 .cer 格式，用“钥匙串”工具可以导出 .p12 证书并设置密码。

如果由于命名无序或创建错误导致无法分辨上架中的 App 用的是哪个证书，哪个描述文件，那么，首先要知道这个 App ID 是多少（就是 iTunes Connect 中所谓的“套装 ID”），然后在 Provisioning Profiles 中挨个查看对应的 App ID，点击“Edit”还能看到使用的证书。

有些平台需要 .pem 文件，是由 .p12 文件通过一个命令转化而来的，具体可以百度。

证书过期怎么办

创建一个呗，然后描述文件 Edit，选择新的证书。

推送证书过期怎么办

在 App ID 里 Edit 就能查看 Push Notifications 项的 SSL Certificate 是否过期。如果过期需要重新创建证书，可以直接在 App ID 的 Edit 里快捷创建（需要“钥匙串”配合）。

不用重新提交 App Store 审核

换一台电脑，证书要怎么导过去

这个问题适用于自己使用 Xcode 开发应用的情况，暂时问一下百度吧。

注：本文部分总结来自百度，未经证实。

Apple Push Services 和 APNs Production iOS 这两种类型有什么区别？

xoyozo 9 年前

5,244

1 2 3 4 5

〓系统

〓文件

〓 tar

〓磁盘

〓网络

〓防火墙

〓用户/权限

〓 vi 编辑器

〓计划任务

〓网站

〓 goaccess

〓 lnmp

〓 nginx

〓 vsftpd

〓 MySQL

〓 scp 远程文件/目录传输命令 (yum install openssh-clients) 用法

〓 rsync 远程文件/目录传输命令 (yum install rsync) 用法 查看 rsync 详细使用方式及与 scp 对比

〓 ftp 客户端 (yum install ftp)

〓 iftop

〓 GoAccess

〓 Cacti

常见问题笔记

加硬盘

更改 MySQL 数据库目录位置

502 Bad Gateway 问题排查

计划任务（实例：定时备份数据库并通过 FTP 同步至其它服务器）

netstat

其它案例

如何创建证书

提供证书文件给第三方打包平台

证书过期怎么办

推送证书过期怎么办

换一台电脑，证书要怎么导过去

大家在看

最新发布

查询 / 检测

编程

前端

行业

本站 API

博客 (44)

〓 系统

〓 文件

〓 tar

〓 磁盘

〓 网络

〓 防火墙

〓 用户/权限

〓 vi 编辑器

〓 计划任务

〓 网站

〓 goaccess

〓 lnmp

〓 nginx

〓 vsftpd

〓 MySQL

〓 scp 远程文件/目录传输命令 (yum install openssh-clients) 用法

〓 rsync 远程文件/目录传输命令 (yum install rsync) 用法查看 rsync 详细使用方式及与 scp 对比

〓 ftp 客户端 (yum install ftp)

〓 iftop

〓 GoAccess

〓 Cacti

常见问题笔记

加硬盘

更改 MySQL 数据库目录位置

502 Bad Gateway 问题排查

计划任务（实例：定时备份数据库并通过 FTP 同步至其它服务器）

netstat

其它案例

如何创建证书

提供证书文件给第三方打包平台

证书过期怎么办

推送证书过期怎么办

换一台电脑，证书要怎么导过去

大家在看

最新发布

〓系统

〓文件

〓磁盘

〓网络

〓防火墙

〓用户/权限

〓计划任务

〓网站