博客 (64)

首先，禁止网站下所有 .php 等文件均不允许被访问到。

在 nginx 网站配置文件中，include enable-php-**.conf; 上方插入：

location ~ ^/.*\.(php|php5|py|sh|bash|out)$ { deny all; }

其中，^ 匹配开始，/.* 匹配所有目录和文件名，\.(php|php5|py|sh|bash|out) 匹配文件后缀名，$ 匹配结束。

即便如此，仍然忽略了 nginx 中 .php 文件名后加斜杠仍然能访问到的情况，譬如我们访问这个网址：

https://xoyozo.net/phpinfo.php/abc.html

nginx 仍然运行了 phpinfo.php，给了后门可趁之机，所以改进为：

location ~ ^/.*\.(php|php5|py|sh|bash|out)(/.*)?$ { deny all; }

Discuz! X3.4 需要写入权限的目录：

• /自研目录/upload/

• /config/

• /data/

• /uc_client/data/

• /uc_server/data/

• /source/plugin/

但，这些都不重要，我们已经禁止了所有目录的 .php 访问了。

第二步，解禁需要直接被访问到的文件路径。

Discuz! X3.4 根目录下的 .php 文件都是入口文件，需要能够被访问到：

/admin.php
/api.php
/connect.php
/forum.php
/group.php
/home.php
/index.php
/member.php
/misc.php
/plugin.php
/portal.php
/search.php

其它目录中需要被直接访问到的文件：

/archiver/index.php
/m/index.php
/uc_server/admin.php
/uc_server/avatar.php
/uc_server/index.php

部分插件文件需要能够被直接访问到：

/source/plugin/magmobileapi/magmobileapi.php
/source/plugin/smstong/accountinfo.php
/source/plugin/smstong/checkenv.php

另外如果有自建目录需要有 .php 访问权限，那么也需要在此处加白，本文以 /_/ 目录为例

最终拼成：工具

location ~ ^(?:(?!(/admin\.php|/api\.php|/connect\.php|/forum\.php|/group\.php|/home\.php|/index\.php|/member\.php|/misc\.php|/plugin\.php|/portal\.php|/search\.php|/archiver/index\.php|/m/index\.php|/uc_server/admin\.php|/uc_server/avatar\.php|/uc_server/index\.php|/source/plugin/magmobileapi/magmobileapi\.php|/source/plugin/smstong/accountinfo\.php|/source/plugin/smstong/checkenv\.php|/_/.*\.php))/.*\.(php|php5|py|sh|bash|out)(/.*)?)$ { deny all; }

这里用到正则表达式中的“不捕获”和“负向零宽断言”语法，格式为：

^(?:(?!(允许的目录或文件A|允许的目录或文件B))禁止的目录和文件)$

值得注意的是，此句负向零宽断言中的匹配内容是匹配前缀的，也就是说

https://xoyozo.net/index.php
https://xoyozo.net/index.php/abc.html

都可以访问到，而

https://xoyozo.net/forbidden.php
https://xoyozo.net/forbidden.php/abc.html

都访问不到，这是符合需求的。

如果自建目录 /_/ 下有写入需求，单独禁止即可，以 /_/upload/ 为例：

location ~ ^/_/upload/.*\.(php|php5|py|sh|bash|out)(/.*)?$ { deny all; }

ThinkPHP 网站有统一的访问入口，可按本文方法配置访问权限。

特别注意：上面的代码必须加在 PHP 引用配置（include enable-php-**.conf;）的上方才有效。

附：一键生成 nginx 访问控制 location URI { } 语句工具

1. 项目 - 属性 - 生成 - 输出 - 文档文件，勾选“生成包含 API 文档的文件。”，“XML 文档文件路径”可留空。

   
   

2. 在配置方法 AddSwaggerGen 中添加以下两行

   var xmlFilename = $"{System.Reflection.Assembly.GetExecutingAssembly().GetName().Name}.xml";
   options.IncludeXmlComments(Path.Combine(AppContext.BaseDirectory, xmlFilename));

参：Swashbuckle 和 ASP.NET Core 入门 | Microsoft Docs

打开文件 Startup.cs，找到：

app.UseSwagger();
app.UseSwaggerUI(c => c.SwaggerEndpoint("/swagger/v1/swagger.json", "TodoApi v1"));

将这两行移出 if 外。

天地图：https://map.tianditu.gov.cn/

开放平台：http://lbs.tianditu.gov.cn/

控制台：https://console.tianditu.gov.cn/

若不显示地图，请添加域名白名单。

坐标系：CGCS 2000（国家大地坐标系）

高德地图：https://www.amap.com/

开放平台：https://lbs.amap.com/

控制台：https://console.amap.com/

更多：坐标获取

坐标系：GCJ-02（火星坐标、国测局坐标系）

百度地图：https://map.baidu.com/

开放平台：http://lbsyun.baidu.com/

控制台：http://lbsyun.baidu.com/apiconsole/center

更多：拾取坐标系统

坐标系：BD-09（百度坐标）

腾讯地图：https://map.qq.com/

PC端于2022年11月11日停止服务

开放平台（腾讯位置服务）：https://lbs.qq.com/

控制台：https://lbs.qq.com/dev/console

更多：位置服务

坐标系：GCJ-02（火星坐标、国测局坐标系）

附：常见地图经纬度坐标系及转换

JavaScript API GL v1.0 是基于 WebGL 全新开发的地图 API 接口。为了方便开发者迁移升级，大部份接口向下兼容。目前 GL v1.0 版本接口包含了 3D 地图的渲染、基本控件、覆盖物。在后面的版本中，将对原 v2.0、v3.0 中的核心功能进行补全。

JavaScript API GL 版本对手机性能要求较高，不建议在移动端调用。若涉及移动端 JS 服务调用，请使用 JavaScript API v3.0 版本。

JavaScript API GL v1.0 基于 WebGL 开发，对于用户的浏览器环境有兼容性要求。需要完整支持 WebGL 的现代浏览器来支持渲染。对于 WebGL 支持欠佳的浏览器会降级为 Canvas 绘制，若仍然存在兼容性问题，则会降级到瓦片图渲染。确保不同浏览器环境的用户都可以完成地图的基本渲染。

参考：http://lbsyun.baidu.com/index.php?title=jspopularGL/guide/usage

类参考：http://lbs.tianditu.gov.cn/api/js4.0/opensource/class/ImageOverlay.html

资源引用：http://lbs.tianditu.gov.cn/api/js4.0/opensource/openlibrary/ImageOverlay.js

压缩文件：http://lbs.tianditu.gov.cn/api/js4.0/opensource/openlibrary/ImageOverlay.min.js

示例：http://lbs.tianditu.gov.cn/api/js4.0/opensource/demo/ImageOverlay.html

添加图片覆盖物：

map = new T.Map('mapDiv');
map.centerAndZoom(new T.LngLat(116.390750, 39.916980), zoom);
var bd = new T.LngLatBounds(
    new T.LngLat(116.385360, 39.911380),
    new T.LngLat(116.395940, 39.921400));
img = new T.ImageOverlay("http://lbs.tianditu.gov.cn/images/openlibrary/gugong.jpg", bd, {
    opacity: 1,
    alt: "故宫博物院"
});
map.addOverLay(img);

修改图片地址：

img.setImageUrl(imgBase64);

百度地图称之为地面叠加层（GroundOverlay）

类参考：https://mapopen-pub-jsapi.bj.bcebos.com/jsapi/reference/jsapi_reference_3_0.html#a3b18

示例DEMO：http://lbsyun.baidu.com/jsdemo.htm#gImageGround

var map = new BMapGL.Map('container');
map.centerAndZoom(new BMapGL.Point(117.200, 36.2437), 18);
map.enableScrollWheelZoom(true);
map.setTilt(45);
map.setDisplayOptions({
    poiText: false,  // 隐藏poi标注
    poiIcon: false,  // 隐藏poi图标
    building: false  // 隐藏楼块
});


var pStart = new BMapGL.Point(117.19635, 36.24093);
var pEnd = new BMapGL.Point(117.20350, 36.24764);
var bounds = new BMapGL.Bounds(new BMapGL.Point(pStart.lng, pEnd.lat), new BMapGL.Point(pEnd.lng, pStart.lat));
var imgOverlay = new BMapGL.GroundOverlay(bounds, {
    type: 'image',
    url: '/jsdemo/img/shouhuimap.png',
    opacity: 1
});
map.addOverlay(imgOverlay);

【阿里云】尊敬的@aliyun.com：为了保障服务器的稳定运行，您的IP:  实例名称： 已启动限流保护措施。阈值与产品规格相关，您可以登录云盾控制台调整清洗阈值，若超出调整范围请提交售后工单反馈或电话95187-1进行咨询。

【阿里云】尊敬的@aliyun.com：您的IP: 受到攻击流量已超过云盾DDoS基础防护的带宽峰值，服务器的所有访问已被屏蔽，如果300分钟后攻击停止将自动解除否则会延期解除。详情请登录【云盾控制台】-【DDoS基础防护】查看或致电95187-1进行咨询。

恭喜，你的 ECS 服务器受到 DDoS 攻击了。这个时候，工单客服和电话客服都会极力推销高防 IP 这个产品（DDoS高防（新BGP）），为了抵挡一年才会遇到几分钟的攻击，咱们还是选择更为经济的方式来解决攻击这个问题吧。

ECS 等产品都会自带流量清洗这个功能，在阈值范围内的攻击流量会免费处理掉，超过阈值就把 ECS 拉入黑洞，以防止同机房的其它服务受到影响。一般攻击才持续 5~20 分钟，关小黑屋就等 5 个小时，谁比较善良。

既然受攻击的是 ECS 公网 IP，那么我们可以借用负载均衡（SLB）使用 ECS 的私网 IP 来请求业务。

初期可以创建一个按量付费的 SLB，熟悉费用后可再次调整。选择“私网”（文末解释为什么不选择“公网”）

服务地址绑定到 ECS，按业务需求添加监听端口：

此时，SLB 已经和 ECS 打通了，但是这个私网 SLB 并没有公网 IP，所以继续购买一个叫弹性公网 IP （EIP）的产品，用于打通公网与私网。同样初期选择按量付费。

将 SLB 与 EIP 绑定（各自的管理界面都有相关操作入口）。

最后，将域名解析到 EIP 即可，顺便将 TTL 改为最小值。

解析生效后，外部的请求通过 EIP 到 SLB 再到 ECS 的私网 IP 访问成功，但 ECS 主动的出流量仍然通过其公网 IP 流出，在黑洞期间相关的操作仍然会失败（如上传文件到外部图床），这个等后续遇到再补充解决方案。

一旦 DDoS 改为攻击 EIP，那么只要重新创建一个新的 EIP，将 SLB 绑定到该新的 EIP，并解析域名即可。

既然本例的 SLB 是私网到私网的，是不是可以省去 SLB，由 EIP 直接到 ECS？

经实践证明，EIP 绑定 ECS 会提示 ECS 已存在公网 IP，无法绑定。而且，带宽计费方式为按固定带宽的包年包月实例，不支持将公网 IP 转换为弹性公网 IP。

SLB 为什么不选择“公网”？

本方案仅为临时防止 DDoS 攻击，所以一旦再次受到攻击需要立即做出反应，而 SLB 的配置相对于 EIP 会更为复杂，所以我们选择新建 EIP 的方式来代替新建公网 SLB。费用方面，私网 SLB 没有流量费用，EIP 的流量费用与公网 SLB 相同，所以两种方案的费用是相差不大的。

最后，推荐使用阿里云 SDK 通过 API 接口来实现一键部署/更换 EIP 功能。

进阶功能：使用接口 DescribeEipAddresses 判断 EIP 的 LockReason 状态是否为 security，若是则自动切换 EIP，实现无人值守全自动防 DDoS。

最近，Microsoft 将其针对Web API 的默认序列化从 Newtonsoft JsonConvert 更改为 System.Text.Json JsonSerializer。

using System.Text.Json;
string s = JsonSerializer.Serialize(object);
var obj = JsonSerializer.Deserialize<T>(string);

System.Text.Json 命名空间：https://docs.microsoft.com/zh-cn/dotnet/api/system.text.json?view=net-5.0

如何从 Newtonsoft.Json 迁移到 System.Text.Json：https://docs.microsoft.com/zh-cn/dotnet/standard/serialization/system-text-json-migrate-from-newtonsoft-how-to?pivots=dotnet-5-0

不序列化属性

[System.Text.Json.Serialization.JsonIgnore]

当值为 null 时不序列化

[System.Text.Json.Serialization.JsonIgnore(Condition = JsonIgnoreCondition.WhenWritingNull)]

格式化/美化

System.Text.Json.JsonSerializer.Serialize(Obj, new System.Text.Json.JsonSerializerOptions {
    WriteIndented = true
})

不编码中文（建议默认需要编码，可防止页面显示乱码，除非需要放在 <pre /> 标签中直接显示，可友好显示中文）

System.Text.Json.JsonSerializer.Serialize(Obj, new System.Text.Json.JsonSerializerOptions {
    Encoder = System.Text.Encodings.Web.JavaScriptEncoder.UnsafeRelaxedJsonEscaping
})