博客 (86)

前面写过一篇文章介绍了不买高防 IP，照样抵挡 DDoS 攻击（IP 篇），如果攻击的是域名（CC），那么...

本文适用场景：攻击的是 web 网址而非 IP，来源有许多各地的 IP 地址，每个 IP 地址每小时只有若干请求，但整个网站每分钟有数万请求量。

《小白鼠A》（贵）

阿里云有一款产品叫“Web 应用防火墙”，开通并接入云产品，试用按量付费即可。

在防护配置-Web核心防护 中可配置各种规则，譬如：

“自定义规则”可添加网址/UA/IP/Cookie/等中包含某些关键词的请求；

“区域封禁”可按地区来限制请求；

另外还有“CC防护”等各种实用规则。

添加规则后记得关联实例。

配置完成后可在总览页面查看请求情况，如果攻击停止可关闭防火墙。

试用了12小时，平均每分钟请求2-5万次，消耗 15000SeCU，费用大概是750元。

《小白鼠B》（推荐）

阿里云有一款产品叫“边缘安全加速 ESA”，开通接入域名（注意填写域名时不要写 www）。

创建购买成功后会有一个 CNAME 域名，解析生效。配置 HTTPS 证书。

打开“我正在遭受攻击”，开启后站点进入严格防护模式，默认对所有 HTTP 请求做滑块挑战。这是非常能节省费用的操作，实测开启与不开启的数量相差20倍（具体视攻击强弱）。

另外，ESA 自带的“安全防护-WAF”中若想根据 URL 中包含某个关键词来拒绝请求，需要升级套餐。可以直接在“规则-重定向”设置 302 跳转也能达到类似的效果，但是节省流量的最好办法还是开启滑块。

费用的话，大部费用是由“客户端请求到边缘加速服务器的流量”和“边缘加速服务器响应给客户端的流量”组成的，而且滑块页面不计入流量。可免费试用。

在开启滑块的情况下，1分钟产生10M流量，基础版包含的50GB可以用3天。标准版（500GB）375元可以用一个月。（以我站实测为例，各站情况不同）。

具体费用在“计费管理-套餐管理-套餐总量 (月)-”查看。超过套餐的流量会使用CDN流量包抵扣。

ECS 获取客户端 IP 的问题有两种解决方案，1. 设置四层代理分析（企业版），2. 设置重定向规则，重定向到直接解析到该网站的另一个域名。

为了尽量减少滑块对用户体验的影响，建议加白名单：ESA-站点-安全防护-WAF-白名单规则，譬如添加省份规则，跳过全部规则（包括滑块）。

其它问题：滑块会拒绝蜘蛛？

其它相似产品：Cloudflare、腾讯云 EdgeOne。

----------------下面是停站维护时显示临时页面的做法----------------

被攻击期借用阿里云 OSS/CDN 显示“维护中”页面的方法。

1.

首先让 AI 快速生成一个维护中的页面，上传到 OSS。

虽然这个文件有一个对应的 CDN 链接，但是域名解析使用“显性 URL”模式并不能正常访问到这个页面。

2.

在阿里云 CDN 添加一个域名（也就是网站域名），会生成一个 CNAME 域名，网站域名 CNAME 到这个域名上。

配置这个 CDN 域名的 OSS 实例、HTTPS 等信息。

这样生效后，访问网站域名就能请求到这个 OSS 上了。

3.

但是它并不像网站一样有默认文档，需要添加重写规则。

打开 CDN-域名管理-缓存配置-重写访问URL，添加，添加重写规则。

例：如果目标页面路径是 https://域名/index.html，那么重写规则就是：

^/(?!.*index\.html$).*$

也就是把所有除 /index.html 以外的路径全部重写到 /index.html。

4.

下一步只要观察这个域名的实时流量和带宽，如果攻击停止了，将域名解析回 ECS。

CDN-统计分析-实时监控-访问数据-选择域名-查询。

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' at line 1

原因有很多，其中一种就是缺少主键。

个人整理，仅供参考。具体规格请以官方发布为准。

名称	万兆路由器BE10000	BE7000	BE6500 Pro	BE6500	全屋 BE3600 Pro 套装	全屋 BE3600 Pro 网线版	BE10000 Pro
型号					主：RN04 子：RN01	主：RP01 子：RP03
上市时间	2022.10	2023.5	2023.10	2024.8	2024.10	2025.5	2025.9
处理器	Qualcomm 四核 A73 2.2GHz	Qualcomm 四核 A73 1.5GHz	Qualcomm 四核 A53 1.5GHz	Qualcomm 四核 A53 1.1GHz	主/子： 高通 IPQ5312 四核 1.1GHz	主/子： Qualcomm Dragonwing N7	Qualcomm A7 四核 1.8GHz
内存	2GB	1GB	1GB	512MB	主/子：512MB 一说子是 128MB	主：512MB 子：256MB	2GB
频段	2.4GHz、5.2GHz、5.8GHz	2.4GHz、5GHz	2.4GHz、5GHz	2.4GHz、5GHz	2.4GHz、5GHz	2.4GHz、5GHz	2.4GHz、5.2GHz、5.8GHz
组网	混合 Mesh	混合 Mesh	混合 Mesh	混合 Mesh	混合 Mesh	AC + AP	AI Mesh
天线	12根高增益天线 + 12路信号放大器 + NFC内置天线	7根外置高增益WiFi天线 + 1根内置高增益WiFi天线 + NFC内置天线	6根高增益WiFi内置天线 + 1根蓝牙内置天线 + 1根NFC内置天线	6根外置高增益Wi-Fi天线	主/子：4根内置天线	主：无 子：2根内置双频天线	12根高增益天线 + 12路信号放大器
中枢网关	不支持	不支持	支持	不支持	主：支持 子：不支持	主：支持 子：不支持	支持
蓝牙网关	不支持	不支持	蓝牙 Mesh 1.0 100 台 + 蓝牙 100 台 升级固件后支持蓝牙 Mesh 2.0	蓝牙 Mesh 1.0	蓝牙 Mesh 1.0 200 台 + 蓝牙 100 台	主：不支持 子：蓝牙 Mesh 2.0	蓝牙 Mesh 2.0 200 台 + 蓝牙 100 台
散热	主动散热	自然散热	自然散热	自然散热	自然散热	主：自然散热 子：主动散热	主动散热
接口	4×2.5G 1×10G 1×10G SFP＋ 1×USB 3.0	4×2.5G 1×USB 3.0	4×2.5G	4×2.5G	主/子： 1×2.5G 3×1G	主：5×2.5G 子：2×2.5G	4×2.5G 2×10G 1×M.2 1×USB 3.0
Wi-Fi	Wi-Fi 7	Wi-Fi 7	Wi-Fi 7	Wi-Fi 7	Wi-Fi 7	主：无 子：Wi-Fi 7	Wi-Fi 7
价格	最新价格	最新价格	最新价格	最新价格	最新价格	最新价格	最新价格

• 表格于 2025 年 10 月整理更新。

• 如果只考虑支持蓝牙 Mesh 2.0，那么有 BE3600 Pro 网线版 和 BE10000 Pro 可选，搭配其它 Mesh 路由器实现全屋 Wi-Fi 7 覆盖，搭配其它中枢网关或从网关设备实现全屋蓝牙 Mesh 2.0 覆盖。

• 如果考虑用 Xiaomi 中枢网关 来部署独立的中枢架构，那么选择路由器就没有限制了。
  

• 名称中带有“全屋”字样的通常以子母套装形式出售，子母路由配置通常不同。购买两台一模一样的普通 BE 路由器，就相当于组建了一套“不分子母”的 Mesh 套装。

• 名称中带有“Pro”字样的通常具备中枢网关功能。
  

nginx.conf 中使用 resolver 设置了 DNS 后，nginx 会遵循这个指令，而不是直接使用系统的 hosts 配置。

所以，如果 resolver 设置了外部 DNS（譬如一般的公共 DNS），在 access_by_lua_block 中使用 resty.http 库发起对包含域名的网址的请求，会忽略 hosts 的设置。

解决方案：

1、修改 resolver 指向为本机 DNS。（AI 推荐，实测无效，可以研究一下配合 dnsmasq 使读取 hosts）

查看本机 DNS 的命令：

cat /etc/resolv.conf

或

nmcli dev show | grep DNS

2、request_uri 中直接请求带 IP 地址的网址。

要求这个网站允许直接使用 IP 地址访问。

需要禁用 SSL 验证（ssl_verify = false）。

保存工作再继续。Visual Studio Standard Collector Service 150 (VSStandardCollectorService150)

尝试关闭正在运行的程序，发现是“腾讯元宝”启动了这个进程。

安装 PyPI（包/库/组件）：

pip install 包名

如果安装失败，尝试用国内镜像

pip install 包名 -i https://pypi.tuna.tsinghua.edu.cn/simple

如果不想每次都加 -i 参数，可以更改全局配置

pip config set global.index-url https://pypi.tuna.tsinghua.edu.cn/simple

查看所有配置

pip config list

查看 python 文件路径

# Windows 或 Linux 通用
python -c "import sys; print(sys.executable)"

默认路径为：C:\Users\<user name>\AppData\Local\Programs\Python\Python<version>\python.exe

常用组件介绍

更多

• 利用 Visual Studio 开发 Python

• 为 Python Web 应用配置 IIS

1. 临界区与 lock 关键字

   核心作用：
   

   通过将多线程访问串行化，保护共享资源或代码段。lock 关键字是 Monitor 类的语法糖，提供异常安全的临界区实现。

   实现示例：

   // 创建私有静态只读对象
   // private static readonly object _lockObj = new object();
   private static readonly System.Threading.Lock _locker = new(); // .NET 9+ 推荐使用 Lock 类型，避免传统 object 的性能损耗
   
   public void ThreadSafeMethod()
   {
       lock (_lockObj) 
       {
           // 临界区代码（每次仅一个线程可进入）
       }
   }

   超时机制：

   高并发场景可结合 Monitor.TryEnter 设置超时，避免无限等待：

   
   

   if (Monitor.TryEnter(lockObject, TimeSpan.FromSeconds(1)))
   {
       try { /* 操作 */ }
       finally { Monitor.Exit(lockObject); }
   }

   关键特性：

   用户态锁（无内核切换开销）

   自动调用Monitor.Enter和Monitor.Exit

   必须使用专用私有对象作为锁标识

   注意事项：

   ❌ 避免锁定this、Type实例或字符串（易引发死锁）

   ❌ 避免嵌套锁（需严格按顺序释放）

   ✅ 推荐readonly修饰锁对象

   ❌ lock 不适用于异步代码（async/await），需使用 SemaphoreSlim 实现异步锁

   lock 示例

    

2. 互斥锁（Mutex）

   核心作用：

   系统级内核锁，支持跨进程同步，但性能开销较高（用户态/内核态切换）。

   实现示例：

   using var mutex = new Mutex(false, "Global\\MyAppMutex");
   
   try 
   {
       // 等待锁（最大等待时间500ms）
       if (mutex.WaitOne(500)) 
       {
           // 临界区代码
       }
   }
   finally 
   {
       if (mutex != null)
       {
           mutex.ReleaseMutex();
       }
   }

   关键特性：

   支持跨应用程序域同步

   线程终止时自动释放锁

   支持命名互斥体（系统全局可见）

   适用场景：

   单实例应用程序控制

   进程间共享文件访问

   硬件设备独占访问

   Mutex 示例

    

3. 信号量（Semaphore）

   核心作用：

   通过许可计数器控制并发线程数，SemaphoreSlim为轻量级版本（用户态实现）。

   实现对比：

   类型	跨进程	性能	最大许可数
   Semaphore	✔️	低	系统限制
   SemaphoreSlim	❌	高	Int32.Max

   代码示例：

   // 创建初始3许可、最大5许可的信号量
   var semaphore = new SemaphoreSlim(3, 5);
   
   semaphore.Wait();  // 获取许可
   try 
   {
       // 资源访问代码
   }
   finally 
   {
       semaphore.Release();
   }

   异步编程

   private readonly SemaphoreSlim _asyncLock = new(1, 1);
   public async Task UpdateAsync()
   {
       await _asyncLock.WaitAsync();
       try { /* 异步操作 */ }
       finally { _asyncLock.Release(); }
   }

   典型应用：

   数据库连接池（限制最大连接数）

   API 请求限流

   批量任务并发控制

   Semaphore 示例

    
   

4. 事件（Event）

   核心机制：

   通过信号机制实现线程间通知，分为两种类型：

   类型	信号重置方式	唤醒线程数
   AutoResetEvent	自动	单个
   ManualResetEvent	手动	所有

   使用示例：

   var autoEvent = new AutoResetEvent(false);
   
   // 等待线程
   Task.Run(() => 
   {
       autoEvent.WaitOne();
       // 收到信号后执行
   });
   
   // 信号发送线程
   autoEvent.Set();  // 唤醒一个等待线程

   高级用法：

   配合WaitHandle.WaitAll实现多事件等待

   使用ManualResetEventSlim提升性能

   AutoResetEvent 示例

    
   

5. 读写锁（ReaderWriterLockSlim）

   核心优势：

   实现读写分离的并发策略，适合读多写少场景（如缓存系统）。

   锁模式对比：

   模式	并发性	升级支持
   读模式(EnterReadLock)	多线程并发读	❌
   写模式(EnterWriteLock)	独占访问	❌
   可升级模式	单线程读→写	✔️

   代码示例：

   var rwLock = new ReaderWriterLockSlim();
   
   // 读操作
   rwLock.EnterReadLock();
   try 
   {
       // 只读访问
   }
   finally 
   {
       rwLock.ExitReadLock();
   }
   
   // 写操作
   rwLock.EnterWriteLock();
   try 
   {
       // 排他写入
   }
   finally 
   {
       rwLock.ExitWriteLock();
   }

   最佳实践：

   优先使用ReaderWriterLockSlim（旧版有死锁风险）

   避免长时间持有读锁（可能饿死写线程）

   ReaderWriterLockSlim 示例
   

6. 原子操作（Interlocked）

   原理：

   通过CPU指令实现无锁线程安全操作。

   常用方法：

   int counter = 0;
   Interlocked.Increment(ref counter);      // 原子递增
   Interlocked.Decrement(ref counter);      // 原子递减
   Interlocked.CompareExchange(ref value, newVal, oldVal);  // CAS操作

   适用场景：

   简单计数器

   标志位状态切换

   无锁数据结构实现

    

7. 自旋锁（SpinLock）

   核心特点：

   通过忙等待（busy-wait）避免上下文切换，适用极短临界区（<1微秒）。

   实现示例：

   private SpinLock _spinLock = new SpinLock();
   
   public void CriticalOperation()
   {
       bool lockTaken = false;
       try 
       {
           _spinLock.Enter(ref lockTaken);
           // 极短临界区代码
       }
       finally 
       {
           if (lockTaken) _spinLock.Exit();
       }
   }

   优化技巧：

   单核CPU需调用Thread.SpinWait或Thread.Yield

   配合SpinWait结构实现自适应等待

    

8. 同步机制对比指南

   机制	跨进程	开销级别	最佳适用场景
   lock	❌	低	通用临界区保护
   Mutex	✔️	高	进程间资源独占
   Semaphore	✔️	中	并发数限制（跨进程）
   SemaphoreSlim	❌	低	并发数限制（进程内）
   ReaderWriterLockSlim	❌	中	读多写少场景
   SpinLock	❌	极低	纳秒级临界区
   Interlocked	-	无锁	简单原子操作

选择原则：

1. 优先考虑用户态锁（lock/SpinLock/SemaphoreSlim）

2. 跨进程需求必须使用内核对象（Mutex/Semaphore）

3. 读写比例超过10:1时考虑读写锁

4. 自旋锁仅用于高频短操作（如链表指针修改）

通过以上结构化的分类和对比，开发者可以更精准地选择适合特定场景的线程同步方案。建议在实际使用中配合性能分析工具（如BenchmarkDotNet）进行量化验证。

💡 ASP.NET 的异步编程（async/await）本质是单进程内的线程调度，不算“跨进程”。每个 IIS 应用程序池对应一个独立的工作进程（w3wp.exe），不同用户访问同一应用程序池下的 ASP.NET 网站，两者的请求均由同一个 w3wp.exe 进程处理。可能跨进程的场景有：Web Garden 配置、多应用程序池部署等。

在 C# 中，除了常规锁机制（如 lock、Mutex、Semaphore 等），还有一些内置类型通过内部锁或无锁设计实现线程安全。以下是常见的几类：

1. 线程安全集合（System.Collections.Concurrent）这些集合通过细粒度锁或无锁算法（如 CAS）实现线程安全，适合高并发场景。

• ConcurrentDictionary：分段锁机制，将数据分片存储，每个分片独立加锁，减少锁竞争。

• ConcurrentQueue / ConcurrentStack：基于原子操作（Interlocked）保证线程安全。

• ConcurrentBag：每个线程维护本地存储，减少争用，适合频繁添加和移除的场景。

• BlockingCollection：基于 ConcurrentQueue 和信号量（SemaphoreSlim）实现生产-消费者模式，支持阻塞和超时。

2. 不可变集合（System.Collections.Immutable） 通过数据不可变性实现线程安全（无需锁），每次修改返回新对象。

3. Lazy 的线程安全初始化（Lazy<T>） 通过锁或 Interlocked 确保延迟初始化的线程安全。

4. 通道（System.Threading.Channels）用于异步生产-消费者模型，内部通过锁和信号量管理容量限制。

5. 内存缓存（System.Runtime.Caching.MemoryCache）内部使用锁保护共享状态，确保线程安全。

6. 原子操作类型（Interlocked 类、Volatile 关键字、Unsafe 类）通过 CPU 指令实现无锁线程安全。

7. 其他同步工具（Barrier、CountdownEvent）虽然不是严格意义上的锁，但用于协调线程。

前几天实现了在 nginx 中使用 lua 实现远程鉴权，今天想试试在 IIS 中能不能实现相同的功能。查询资料发现需要使用 URL 重写和 HTTP 请求模块，没有深究。干脆使用 ASP.NET 中间件来实现吧。

在 StratUp.cs 的 Configure 方法中，或 Program.cs 文件中添加以下代码：

// 远程鉴权
app.Use(async (context, next) =>
{
    var ip = context.Connection.RemoteIpAddress!.ToString();
    var ua = context.Request.Headers.UserAgent.ToString();
    var host = context.Request.Host.Host;
    var uri = new Uri(context.Request.GetDisplayUrl()).PathAndQuery;

    var client = new HttpClient();
    client.Timeout = TimeSpan.FromSeconds(1); // 设置超时时间

    try
    {
        var requestUrl = "https://鉴权地址/";

        var requestMessage = new HttpRequestMessage(HttpMethod.Get, requestUrl);
        requestMessage.Headers.Add("X-Real-IP", ip);
        requestMessage.Headers.Add("User-Agent", ua);
        requestMessage.Headers.Add("X-Forwarded-Host", host);
        requestMessage.Headers.Add("X-Forwarded-Uri", uri);

        // 发送请求
        var response = await client.SendAsync(requestMessage);

        // 检查响应状态码
        if (response.StatusCode == HttpStatusCode.Forbidden)
        {
            // 如果返回403，则拒绝访问
            context.Response.StatusCode = (int)HttpStatusCode.Forbidden;
            await context.Response.WriteAsync("Access Denied");
        }
        else
        {
            // 如果返回其他状态码，则继续执行管道中的下一个中间件
            await next();
        }
    }
    catch (TaskCanceledException ex) when (ex.CancellationToken.IsCancellationRequested)
    {
        // 如果请求超时（任务被取消），则继续执行管道中的下一个中间件
        await next();
    }
    catch
    {
        // 如果遇到错误，则继续执行管道中的下一个中间件
        await next();
    }
});

代码很简单，使用 HttpClient 发送请求，若返回 403 则拒绝访问，其它情况继续执行业务逻辑，超时或报错的情况按需修改即可。

若鉴权接口在私网中，建议将鉴权接口域名和私网 IP 添加到 hosts 文件中。

• location 优先于 access_by_lua_block，即使 access_by_lua_block 放在 http 中。

• location 的 3 种匹配的优先级，精确匹配（=） > 正则匹配（~） > 前缀匹配（无符号，直接是“/”开头的 uri 前缀）。

• 相同匹配类型的多个 location（比如有多个正则匹配），按定义顺序来进行匹配。

• 一旦有一个 location 被匹配到，就不再继续匹配其它 location。
  

• 如果使用 access_by_lua_block 鉴权，那么不要放在任何 location 中，这样，匹配完 location 后只要没有命中直接返回语句，就会继续执行 access_by_lua_block。并且，如果 access_by_lua_block 中鉴权拒绝，后续的业务处理（如 php 业务）不会继续进行。