前面写过一篇文章介绍了不买高防 IP，照样抵挡 DDoS 攻击（IP 篇），如果攻击的是域名（CC），那么...
本文适用场景：攻击的是 web 网址而非 IP，来源有许多各地的 IP 地址，每个 IP 地址每小时只有若干请求，但整个网站每分钟有数万请求量。
《小白鼠A》（贵）
阿里云有一款产品叫“Web 应用防火墙”，开通并接入云产品，试用按量付费即可。
在防护配置-Web核心防护 中可配置各种规则，譬如：
“自定义规则”可添加网址/UA/IP/Cookie/等中包含某些关键词的请求；
“区域封禁”可按地区来限制请求；
另外还有“CC防护”等各种实用规则。
添加规则后记得关联实例。
配置完成后可在总览页面查看请求情况，如果攻击停止可关闭防火墙。
试用了12小时，平均每分钟请求2-5万次，消耗 15000SeCU，费用大概是750元。
《小白鼠B》（推荐）
阿里云有一款产品叫“边缘安全加速 ESA”，开通接入域名（注意填写域名时不要写 www）。
创建购买成功后会有一个 CNAME 域名，解析生效。配置 HTTPS 证书。
打开“我正在遭受攻击”，开启后站点进入严格防护模式，默认对所有 HTTP 请求做滑块挑战。这是非常能节省费用的操作，实测开启与不开启的数量相差20倍（具体视攻击强弱）。
另外，ESA 自带的“安全防护-WAF”中若想根据 URL 中包含某个关键词来拒绝请求，需要升级套餐。可以直接在“规则-重定向”设置 302 跳转也能达到类似的效果，但是节省流量的最好办法还是开启滑块。
费用的话，大部费用是由“客户端请求到边缘加速服务器的流量”和“边缘加速服务器响应给客户端的流量”组成的，而且滑块页面不计入流量。可免费试用。
在开启滑块的情况下，1分钟产生10M流量，基础版包含的50GB可以用3天。标准版（500GB）375元可以用一个月。（以我站实测为例，各站情况不同）。
具体费用在“计费管理-套餐管理-套餐总量 (月)-
”查看。超过套餐的流量会使用CDN流量包抵扣。
ECS 获取客户端 IP 的问题有两种解决方案，1. 设置四层代理分析（企业版），2. 设置重定向规则，重定向到直接解析到该网站的另一个域名。
为了尽量减少滑块对用户体验的影响，建议加白名单：ESA-站点-安全防护-WAF-白名单规则，譬如添加省份规则，跳过全部规则（包括滑块）。
其它问题：滑块会拒绝蜘蛛？
其它相似产品：Cloudflare、腾讯云 EdgeOne。
----------------下面是停站维护时显示临时页面的做法----------------
被攻击期借用阿里云 OSS/CDN 显示“维护中”页面的方法。
1.
首先让 AI 快速生成一个维护中的页面，上传到 OSS。
虽然这个文件有一个对应的 CDN 链接，但是域名解析使用“显性 URL”模式并不能正常访问到这个页面。
2.
在阿里云 CDN 添加一个域名（也就是网站域名），会生成一个 CNAME 域名，网站域名 CNAME 到这个域名上。
配置这个 CDN 域名的 OSS 实例、HTTPS 等信息。
这样生效后，访问网站域名就能请求到这个 OSS 上了。
3.
但是它并不像网站一样有默认文档，需要添加重写规则。
打开 CDN-域名管理-缓存配置-重写访问URL，添加，添加重写规则。
例：如果目标页面路径是 https://域名/index.html，那么重写规则就是：
^/(?!.*index\.html$).*$也就是把所有除 /index.html 以外的路径全部重写到 /index.html。
4.
下一步只要观察这个域名的实时流量和带宽，如果攻击停止了，将域名解析回 ECS。
CDN-统计分析-实时监控-访问数据-选择域名-查询。
今天遇到一个向基于 .NET Framework 框架开发的 Web 网站 POST 数据响应 405 Method Not Allowed 的问题。
服务端接口地址是 https://***/api/abc/Default.aspx，
若请求 https://***/api/abc/Default.aspx 或 https://***/api/abc/ 则正常 ，
若请求 https://***/api/abc 就会出现这个问题。
原因可能是服务器可能返回 301 重定向到 https://***/api/abc/Default.aspx，
导致最终接口接受到的请求方法不是 POST 。
早前记录过在 CentOS 中部署 ASP.NET Core 网站，现在宝塔面板已经直接支持创建 .NET 网站了，再次记录一下。
本文环境：VS2022、.NET 9、宝塔面板v11。
一、在 VS 中创建一个 .NET 9 网站，项目名称例：WebApplication1
发布选项：
关于“生成单个文件”选项，若勾选，发布后的项目启动文件不带后缀名（.dll），尝试在宝塔面板 v11.0.0 中无法顺利启动。
二、在 Linux 服务器上创建目录：/www/wwwroot/WebApplication1/
将发布后的文件上传到这个目录上，最终的文件结构如下：
三、进入宝塔面板，在 网站-Net项目 中安装 .Net环境管理，这里以 9.0.201 为例：
四、添加项目
项目名称：随意
运行路径：项目所在目录，本例中为：
/www/wwwroot/WebApplication1启动命令：使用 dotnet 命令，dotnet 命令可以不使用全路径（/www/server/dotnet/9.0.201/dotnet），第一个参数是项目启动文件，--urls 是反向代理的服务器和端口。服务器名可以是*也可以是localhost。例：
dotnet WebApplication1.dll --urls=http://*:5000项目端口：与启动命令中的端口号一致
开机启动：一般会勾选
启动用户：尽量用 www，最小权限原则。
正常情况下，网站已启动，如果未启动，检查配置，根据报错内容排查问题。
五、配置网站
添加域名、SSL 证书等。
友情提示：
网站版本更新重新发布后，需要手动重启网站才能生效，习惯于发布到 IIS（会自动生效）的同学要特别注意。
新手尽量以空项目或默认项目来部署，避免因特殊原因导致一系列其它问题。
nginx 反向代理并不会转发所有 Header，需要手动配置。
AutoUpdater.NET 是一个开源库，专为 .NET 桌面应用程序设计，支持 Windows Forms 和 WPF 应用。它通过从服务器获取 XML 文件来检测新版本信息，当发现新版本时向用户显示更新对话框。
相对于 ClickOnce，AutoUpdater.NET 的配置更简单一些。
首先通过 NuGet 包管理器安装 Autoupdater.NET.Official，然后在应用程序入口点添加以下代码：
AutoUpdater.Start("http://yourserver.com/path/to/update.xml");XML 文件结构如下：
<?xml version="1.0" encoding="UTF-8"?>
<item>
<version>2.0.0.0</version> <!--必填：最新版本号-->
<url>http://yourserver.com/path/to/updatefile.zip</url> <!--必填：更新文件下载地址-->
<changelog>http://yourserver.com/path/to/changelog.txt</changelog> <!--可选：更新日志-->
<mandatory>False</mandatory> <!--可选：是否强制更新-->
</item>Windows Forms 在 Program.cs 文件的 Main() 方法中，WPF 在 App.xaml.cs 的 OnStartup() 中添加：
AutoUpdater.Start("http://yourserver.com/path/to/update.xml");
AutoUpdater.CheckForUpdateEvent += (e) =>
{
if (e.Error != null)
{
MessageBox.Show($"检查版本更新失败：{e.Error.Message}");
}
if (e.IsUpdateAvailable)
{
if (e.Mandatory.Value)
{
// 强制更新
AutoUpdater.DownloadUpdate(e);
}
else
{
// 可选更新
if (MessageBox.Show("发现新版本，是否立即更新？", "更新提示", MessageBoxButtons.YesNo, MessageBoxIcon.Information) == DialogResult.Yes)
{
AutoUpdater.DownloadUpdate(e);
}
}
}
};这样就能简单实现打开应用时判断是否有更新。具体用法参：GitHub
对于控制台应用程序，AutoUpdater.NET 并不直接支持。可以使用 GeneralUpdate 等轻量级自动更新库。
其它：
若希望通过标准安装流程（如添加到开始菜单），优先选择 ClickOnce，适合长期维护的内部工具。
若追求快速集成和无感更新，AutoUpdater.NET 更灵活。
无论哪种方案，务必对程序进行代码签名（如购买企业证书或生成测试证书），否则系统可能拦截安装。（你要允许来自未知发布者的此应用对你的设备进行更改吗）
可以购买“OV 代码签名”证书或“EV 代码签名”证书，注意：“代码签名证书”与“域名证书”互不通用。
IIS 中使用 HttpPlatformHandler 模块部署 python web 项目时遇到 502.3 网关错误：
HTTP 错误 502.3 - Bad Gateway
There was a connection error while trying to route the request.
最可能的原因:
CGI 应用程序没有返回一组有效的 HTTP 错误。
由于父网关中出现错误，充当代理或网关的服务器无法处理该请求。
可尝试的操作:
使用 DebugDiag 排查 CGI 应用程序。
确定此错误是否由代理或网关引起。
详细错误信息:
模块 httpPlatformHandler
通知 ExecuteRequestHandler
处理程序 httpplatformhandler
错误代码 见下方表格
详细信息:
当 CGI 应用程序未返回一组有效的 HTTP 头，或者代理或网关无法将请求发送至父网关时，便会出现此错误。您可能需要获取一个网络跟踪，或者与代理服务器管理员联系(如果不是 CGI 的问题)。
| 错误代码 | 可能的错误原因 |
|---|---|
| 0x8007053d | 未安装相关组件库，建议执行命令：pip install -r requirements.txt |
| 0x80070005 | 若显示配置错误“由于权限不足而无法读取配置文件”则是应用代码目录未配置相应用户的读取权限； 访问受限，请正确配置 IIS 中的网站凭据、应用程序池标识、项目目录“读取”、解释器目录“读取和执行”权限等 |
| 0x80072ee2 | 执行超时，一般发生在批量读写的时候 |
| 0x8007042b | |
| 任何错误 | 查看日志文件。 可能的错误原因：
|
本文介绍 Token 认证和 HMAC 认证两种方式。
一、Token 接口认证方式
原理：
客户端使用账号密码等信息登录，服务器验证通过后生成一个 Token 发送给客户端。客户端在后续的请求中携带这个 Token，服务器通过验证 Token 来确认用户的身份和权限。
应用场景：移动应用、Web 应用（特别是 SPA）
优点：
无状态性，即服务器不需要存储用户的会话信息。
易于实现跨域认证。
缺点：
Token 可能被窃取，应使用 HTTPS、不暴露在 URL 中、使用 HttpOnly 的 Cookie、对 Session ID 进行验证、设置合理过期时间、对 Token 进行加密等措施加强防范。
二、HMAC 接口认证方式
原理：
客户端将消息M与密钥K连接起来，通过哈希函数计算得到 HMAC 值，发送给服务器。服务器收到请求后，使用相同的密钥和请求参数重新计算 HMAC 值，如果与客户端发送的签名一致，即是合法请求。
优点：
安全性较高，攻击者很难伪造 HMAC 值，截获并篡改数据也无法通过服务端验证。
计算效率较高，哈希函数（如 MD5、SHA-1、SHA-256 等）计算效率比较高。
缺点：
密钥的更新和管理比较麻烦。
扩展：
在消息体中添加时间戳以防止重放攻击。
加密隐私数据：可以使用对称加密算法（如 AES）或非对称加密算法（如 RSA、ECC 等）对部分隐私数据进行加密。非对称算法虽然更安全，但速度较慢，如需加密大量数据，可以考虑使用对称加密算法进行加密，然后使用非对称加密算法对对称密钥进行加密。
连接 Filezilla Server 时提示“服务器的证书未知。请小心验证证书以确信该服务器可信任。”
解决办法：登录服务器，打开 Administrator FileZilla Server，菜单中选择 Server，Configure，点击左侧的 Administration，切换到 Connection security 页，点击 Generate new 按钮，OK。
Protocols settings 的 FTP and FTP over TLS(FTPS) 中同样也需要点击 Generate new。
http {
...
lua_shared_dict cpu_cache 1m; # 定义共享字典用于缓存 CPU 使用率
access_by_lua_block {
local cpu_cache = ngx.shared.cpu_cache
local cache_time = cpu_cache:get("cache_time") or 0
local current_time = ngx.now()
if current_time - cache_time > 5 then -- 每 5 秒更新一次
local cpu_info = io.popen("top -bn1 | grep 'Cpu(s)'"):read("*all")
local cpu_usage = cpu_info:match("(%d+%.%d+) id") -- 获取空闲 CPU 百分比
local cpu_used = 100 - tonumber(cpu_usage) -- 计算使用率
cpu_cache:set("cpu_usage", cpu_used)
cpu_cache:set("cache_time", current_time)
end
local cpu_usage = cpu_cache:get("cpu_usage")
ngx.log(ngx.INFO, "CPU 使用率: " .. cpu_usage .. "%")
-- 将 cpu_usage 发送到远程鉴权接口，可根据服务器压力来决定是否拒绝一些不重要的请求
}
}代码解析：
共享字典：使用 lua_shared_dict 定义一个共享字典 cpu_cache，用于存储 CPU 使用率和缓存时间。
获取 CPU 使用率：在 access_by_lua_block 中，检查缓存时间，如果超过 5 秒，则重新获取 CPU 使用率，并更新共享字典。
记录日志：使用 ngx.log 将 CPU 使用率记录到 Nginx 日志中。
注意事项：
确保 Nginx 配置中已经加载了 Lua 模块（如 ngx_http_lua_module）。
根据实际需求调整缓存时间，以平衡性能和数据的实时性。
尝试过使用 ifconfig 或 ip 命令获取网卡流量，在宝塔面板中失败了，怀疑是权限问题，有空再研究。临时方案是鉴权接口定时调用宝塔面板 API 或阿里云控制台 API 来获取 ECS 的 CPU 和带宽使用率。
在 access_by_lua_block 代码块中实现远程鉴权：
#鉴权-START #resolver 223.5.5.5; # cat /etc/resolv.conf access_by_lua_block { local http = require("resty.http") local httpc = http.new() httpc:set_timeout(500) -- 连接超时 local res, err = httpc:request_uri("https://鉴权地址/", { method = "GET", headers = { ["X-Real-IP"] = ngx.var.remote_addr, ["User-Agent"] = ngx.var.http_user_agent, ["X-Forwarded-Host"] = ngx.var.host, ["X-Forwarded-Uri"] = ngx.var.request_uri, }, ssl_verify = false, -- 禁用 SSL 验证 timeout = 500, -- 读取超时 }) if not res then ngx.log(ngx.ERR, "Failed to request: " .. err) end if res and res.status == 403 then ngx.exit(ngx.HTTP_FORBIDDEN) -- return ngx.redirect("https://一个显示403友好信息的页面.html") end } #鉴权-END注意更改接口地址和友情显示 403 页面地址。
本示例仅捕获 403 状态码，500、408 等其它异常情况视为允许访问，请根据业务需求自行添加状态码的判断。
若超时也会进入
if not res then代码块。建议将此代码部署在 nginx 主配置文件的 http 代码块中（宝塔面板中的路径：/www/server/nginx/nginx/conf/nginx.conf），如果你只想为单个网站鉴权，也可以放在网站配置文件的 server 块中。
若鉴权接口在私网中，建议将鉴权接口域名和私网 IP 添加到 hosts 文件中。
附
直接输出字符串
ngx.header.content_type = "text/plain"; ngx.say("hello world!")输出到日志
ngx.log(ngx.ERR, "Response status: " .. res.status)日志在网站的 站名.error.log 中查看。
宝塔面板查看方式：日志 - 网站日志 - 异常
若想获取服务器 CPU 使用率等信息并传递给远程鉴权接口，请参考此文。
常见问题
no resolver defined to resolve
原因：没有定义 DNS 解析器
解决方法：在 http 块或 server 块中添加
resolver 8.8.8.8 valid=30s;，推荐使用接入商自己的公共 DNS，如果走内网，推荐使用本机 DNS。unable to get local issuer certificate
原因：没有配置 SSL 证书信息
解决方法：添加 request_uri 参数：
ssl_verify = true, -- 启用 SSL 验证 ssl_trusted_certificate = "证书路径", -- 指定 CA 证书路径或
ssl_verify = false, -- 禁用 SSL 验证若您不想用 lua，可以用 nginx 原生自带的 auth_request 模块来实现。
要将一个服务公开给外部访问，必须开放端口，例举一些场景的端口映射：
VMware 实现宿主机端口映射到虚拟机端口：
打开 VMware 的菜单中的 编辑 - 虚拟网络编辑器，
在弹出窗口中表格中的选中“NAT”项，点击下方的“NAT设置”（若无法操作需要先点击“更改设置”允许）
在“NAT设置”中“添加”，填写主机端口和虚拟机端口、虚拟机IP地址。
这样，宿主机就能访问到虚拟机中的服务了。
在 Windows 11 的防火墙中允许端口：
在“设置”或“控制面板”中打开防火墙，“高级设置”
在“入站规则”中“新建规则”
选择“端口”并填写，完成。
这样，局域网的其它电脑就能访问到这台 Windows 的服务了。
小米路由器：
登录路由器，进入“高级设置”，
切换到“端口转发”，添加规则，
这样，外网就能通过路由器的外网IP来访问局域网中的内网服务了。
华为路由器 AX3 Pro：
登录路由器，进入“更多功能”，
展开“安全设置”，选择“NAT服务”，
点击“+”号设置端口映射。
这样，外网就能通过路由器的外网IP来访问局域网中的内网服务了。
H3C ER3200G2 路由器：
登录路由器，展开“高级设置”，“地址转换”，
切换到“虚拟服务器”，“新增”，
填端口和内部服务器IP，完成。
这样，外网就能通过路由器的外网IP来访问局域网中的内网服务了。