gzdyj 的博客

天邑 TEWA-7500V 光猫：超密获取与 IPv6 防火墙放开

Sun, 30 Aug 2026 00:00:00 GMT

2026-08-30 实测通过。仅供个人家庭网络调优使用，请勿用于违法违规用途；获取 root 级权限有风险，操作前请自行评估（可能被运营商限速/封停，后果自负）。

第一部分：可复现教程#

0. 判断你的光猫是不是同款#

本教程适用海思 hsan 平台 + HGS 新版 Web 固件的移动光猫。验证特征：

检查项	命令/方法	本机实测
Web 主页	`curl -s http://192.168.1.1/ \| wc -c`	~266KB 大单页（easyui SPA，全部页面内嵌）
配置字典	`curl -s http://192.168.1.1/json/config.json \| wc -c`	存在，~128KB
老固件后门	`getpage.gch` / `cgi-bin/telnetenable.cgi`	均 404（新固件已封，网上老教程不适用）
telnet banner	开启后 `telnet 192.168.1.1`	`hsan login:`（海思标志，无 `load_cli factory`）

适用设备：天邑 TEWA-7500V（10G XG-PON ONT，海思 hsan 平台），同系列 TEWA-700/7500 其他海思方案机型可对照尝试（博通版走 load_cli factory 路线，本教程不适用）。

前置条件：

光猫背面标签上的普通账号密码（格式一般为 user / <随机8位字母数字混合>）
局域网内一台能访问 192.168.1.1 的 Linux 机器 + python3（无 host 解释器可用 docker exec <容器> python3 跑）
光猫 HTTP 服务很脆（见注意事项），所有脚本必须带重试

1. 普通账号登录（挑战-应答）#

光猫登录是 challenge-response：先取 challenge，再回传 md5(challenge:密码)。不需要 Cookie，服务端按源 IP 识别会话。

1
import urllib.request, urllib.parse, hashlib, json
2

3
BASE = "http://192.168.1.1"
4
USER = "user"
5
PWD  = "光猫背面标签上的普通用户密码"
6

7
op = urllib.request.build_opener()
8
op.addheaders = [("User-Agent", "Mozilla/5.0"), ("Referer", BASE + "/")]
9

10
d = json.loads(op.open(BASE + "/getChallengeStr", timeout=10).read().decode())
11
# 返回: {"challenge": "...", "session": "..."}
12
resp = hashlib.md5((d["challenge"] + ":" + PWD).encode()).hexdigest()
13
url = (BASE + "/lgDevice?userName=" + urllib.parse.quote(USER)
14
       + "&responseChallenge=" + resp
15
       + "&session=" + urllib.parse.quote(str(d.get("session", ""))))
16
r = json.loads(op.open(url, timeout=10).read().decode())
17
# r["errorCode"] == 0 即登录成功

展开收起

坑：响应是 tab 分隔的 pretty JSON（"errorCode":\t0），不要用 'errorCode": 0' 这种字符串匹配，必须 json.loads。

2. 找到被隐藏的 TELNET 页#

新版固件的 TELNET 开关页就在主页里，只是被前端 CSS 类隐藏了：

Terminal window

1
curl -s http://192.168.1.1/ -o index.html
2
grep -o 'FEATURE_TELNET[^>]*' index.html
3
grep -o 'hgs_key="Telnet[A-Za-z]*"' index.html
4
# 可见: TelnetEnable / TelnetWANEnable / TelnetUserName / TelnetPassword

再拉配置字典确认对象名和读写方式：

Terminal window

1
curl -s http://192.168.1.1/json/config.json -o config.json
2
grep -A 20 'HGS_TELNET_CFG' config.json

关键信息（/json/config.json + /json/tableCfg.json 是全部对象/路径的权威字典）：

对象：HGS_TELNET_CFG，读写在 InternetGatewayDevice.DeviceInfo.X_CMCC_ServiceManage. 节点
customerCheckout msgType=220（POST /getObjs），customerCheckin msgType=221（POST /setObjs）

3. 调 API 开启 telnet#

先读当前状态（端点在 80 端口，不是 8080）：

1
full = "InternetGatewayDevice.DeviceInfo.X_CMCC_ServiceManage."
2
body = [{"fullPath": full}]
3
POST("http://192.168.1.1/getObjs?waitTimeoutMs=5000", body)

典型返回（出厂值）：

1
[{"fullPath": "InternetGatewayDevice.DeviceInfo.X_CMCC_ServiceManage.",
2
  "TelnetEnable": "0", "TelnetWANEnable": "0",
3
  "TelnetUserName": "CMCCAdmin", "TelnetPassword": "aDm8H%MdA",
4
  "TelnetPort": "23", "SSHEnable": "0", ...}]

写入开启 telnet（所有值都是字符串；建议顺手改成自己的账号密码）：

1
body = [{"fullPath": full,
2
         "TelnetEnable": "1",
3
         "TelnetWANEnable": "0",
4
         "TelnetUserName": "你自己的telnet用户名",
5
         "TelnetPassword": "你自己的强密码"}]
6
POST("http://192.168.1.1/setObjs?waitTimeoutMs=5000", body)
7
# 返回 [0] 即成功, telnetd 立即启动

通用教程里的 cgi-bin/telnetenable.cgi?telnetenable=1&key=MAC 在新固件上不存在（404）。Fh@MAC后6位 这类默认 telnet 密码属于老/其他固件，新固件密码自己定。

验证：nc -zv 192.168.1.1 23，然后 telnet 登录。

4. telnet 登录，读配置文件拿超密#

Terminal window

1
telnet 192.168.1.1
2
# login: <你上面设的telnet账号>   Password: <你上面设的telnet密码>

进去后是海思 hsan 的 busybox ash（提示符 / $）。没有 load_cli factory、cfg_cmd、qoecmd、cli，su 需要的密码也不是博通版算法能算的——都不用管，直接读配置文件：

Terminal window

1
cat /config/work/lastgood.xml

这是运行配置的明文 XML（约 166KB）。注意 busybox 的 grep 不支持 \{0,400\} 区间正则，最稳的做法是把整个文件 cat 到终端日志里拷回本地再 grep：

Terminal window

1
grep -n 'SYSMNG_ACCOUNT_ATTR_TAB' -A 10 lastgood.log

命中账号表：

1
<Dir Name="SYSMNG_ACCOUNT_ATTR_TAB">
2
  <Value Name="ucTeleAccountEnable" Value="1"/>
3
  <Value Name="aucTeleAccountName" Value="CMCCAdmin"/>
4
  <Value Name="aucTeleAccountPassword" Value="超级密码就在这里"/>   ← 超级密码
5
  <Value Name="aucUserAccountName" Value="user"/>
6
  <Value Name="aucUserAccountPassword" Value="与光猫标签一致的普通密码"/>   ← 可验证没读错文件
7
</Dir>

超密可能被 TR069 随机化过（默认密码 aDm8H%MdA 等都登不上就是这种情况），所以必须读文件拿真值，而不是猜默认密码。

5. 用超密登录 Web 后台#

用第 1 步同样的 challenge-response 登录，userName 换成 CMCCAdmin、密码换成读到的超密即可。登录后浏览器打开 http://192.168.1.1 可看到全部隐藏功能（安全、telnet、广域网等）。

6. 读改安全配置（放开 IPv6 入站）#

安全配置在 hbus://mdm/InternetGatewayDevice.X_CMCC_Security. 节点，走 hbus 协议（path 原样拼 URL，不要 urlencode）：

1
HBUS = "hbus://mdm/InternetGatewayDevice.X_CMCC_Security."
2

3
# 读 (msgType=211)
4
GET(f"http://192.168.1.1/getHbusData?path={HBUS}&msgType=211")
5

6
# 写 (msgType=212, method=set, body 带 path+para)
7
body = {"path": HBUS, "para": {"FirewallLevel": "0"}}
8
POST(f"http://192.168.1.1/setHbusData?path={HBUS}&method=set&msgType=212", body)

读到的全部字段与参考值：

字段	含义	出厂值	推荐值
FirewallEnable	防火墙总开关	1	1（保留）
FirewallLevel	防火墙等级 0低/1中/2高	1(中)	0(低)（放开 IPv4 入站过滤）
DoSEnable	防 DoS 攻击	1	1（保留）
PortScanEnable	防端口扫描	0	0
IPv6SessionSecurityEnable	IPv6 会话安全（v6 入站过滤）	0	0（本来就是关的，别动）
IPFilterIn/OutEnable、UrlFilter、MacFilter	各类过滤	0	0
LockNetEnable	锁网	0	0

改完回读确认 FirewallLevel 变成 "0"，然后从外网（手机关 WiFi 用流量）测试入站。

第二部分：注意事项与经验总结#

稳定性坑（脚本必须处理）#

光猫 HTTP 极脆：大文件、连续请求经常 ConnectionReset，甚至连续十几次失败。所有请求必须带重试（实测 15 次 × 2s 间隔才稳）。单个 curl -s 看天意。
响应格式：JSON 是 tab 分隔 pretty-print，判断成败用 json.loads，别字符串匹配。
没有 Cookie/Token：登录态绑源 IP。同一脚本内一口气完成「登录→动作」，别中途换出口 IP（Docker 容器、host、手机热点的出口 IP 都不同）。
登录限速：密码错 3 次/分钟 → 锁 60s（lgErrCnt 计数）。/lgDevice?task=logout 会被当成登录尝试烧掉额度，别用它。脚本里的重试等待用 65s。
旧会话顶住：有别的设备已登录 Web 时 getChallengeStr 返回 errorCode 1（“其他设备已登录”）。操作时让家里人别开着光猫后台。
连接竞争：telnet 和 Web 会话基本互不影响，但连续开关 telnet 后建议等几秒再连 23 端口。

方法论坑#

先判定固件再抄教程：网上流传的 telnetenable.cgi、load_cli factory、Fh@MAC后6位、天邑博通版 SU 密码生成算法，在海思 hsan + HGS 新固件上全部无效。本教程的路线（隐藏页面→setObjs→读 lastgood.xml）才是新版通用解。
busybox 工具是残血版：grep 不支持区间正则；2>/dev/null 重定向在受限 shell 下会报 can't create /dev/null: Permission denied（命令本身能跑）。别依赖 shell 惯用技巧，直接 cat 回本地分析。
/json/config.json 是万能钥匙：拿到它就知道每个功能对应哪个对象、哪个 hbus 路径、msgType 是多少，Web UI 能做的都能 API 化。
读文件优先于猜密码：默认超密（aDm8H%MdA 等）被 TR069 随机化是常态，配置文件里才是真值。

安全与善后#

telnet 是双刃剑：telnetd -b 192.168.1.1 -p 23 只绑 LAN，但明文协议 + 弱口令依然是风险。用完建议用 setObjs 把 TelnetEnable 写回 "0"。
WebUI 别裸奔公网：入站放开后，你的下一跳路由/宿主机上的 DNAT6 可能把 Web 管理端口也暴露出去（ip6tables -t nat -S 检查）。只留实际需要的端口，多余的 DNAT 手动删掉或加 ip6tables 规则屏蔽。
TR069/RMS 会回滚配置：运营商可远程下发配置。如果过几天发现防火墙等级变回”中”、telnet 自己关了，就是被 RMS 覆盖——重跑一遍脚本即可，别惊讶。
防火墙等级的代价：调”低”降低的是整机的 IPv4 防护（NAT 仍兜底）。DoS 防护建议保留。改完顺手检查自家其他暴露服务（Alist、PhotoPrism 等）是否也要收紧。
光猫侧放开 ≠ 入站就通：实测 UI 注释写着防火墙等级只管 IPv4，而 IPv6 会话安全本来就是关的——光猫可能根本不是拦截者。若外网测试仍不通，按顺序查：下级路由器的「IPv6 防火墙」开关 → 移动上游 ACL（换端口交叉验证）。
善后清单：改了什么记下来（本次典型：FirewallLevel 1→0、TelnetEnable 1、telnet 账号自设）。所有 Web 后台改动通过 hbus API 完成的都可用同样方式改回。

毕业三年，再回头看

Wed, 19 Aug 2026 00:00:00 GMT

毕业三年，再回头看#

突然有感而发，想站在自己的角度写一下毕业三年以来的心态变化。

人似乎总是会对上一个环境、上一个阶段加一层滤镜。大学的时候会对比中职，刚毕业会对比大学，换了一家公司又会开始对比上一家公司。到了新的环境，新的环境好的地方往往感知得没有那么强，上一个环境不好的地方却会慢慢被美化，因为那些不好的东西已经不会再每天真实地刺激你了。反过来，当下环境里不好的地方，因为有了鲜明的对比，也会被无限放大。

所以现在回头看大学，我也会觉得那时候的自己好像特别自律。

但仔细想想，好像也不完全是。

大学那三年，其实我的环境一直都比较固定，变化没有现在这么大。每天去哪里、坐在哪里、见哪些人、做什么事情，都有一个比较稳定的轨迹。环境稳定下来以后，人反而很容易沉淀出一些习惯。

比如我大学的时候经常带着笔记本电脑去图书馆。因为图书馆插座有限，我为了抢一个固定的位置，慢慢就给自己找到了一个非常具体的早起理由。

早起并不一定是因为我多么热爱早起，而是因为我知道，晚一点去图书馆可能就没有固定插座的位置了。

现在想想，这其实挺有意思的。

很多所谓的自律，可能并不是凭空产生的。一个人需要一个理由，一个固定的环境，一个马上就能得到反馈的东西。大学里的我每天去图书馆，慢慢认识了一批经常去图书馆的人，也因为天天在那里待着，后来还获得了一个图书馆勤工俭学的机会。

工作其实很简单，就是每天闭馆之前帮忙打扫一下卫生，时薪只有13块钱，但是胜在轻松，十几分钟就能搞定，而且还能让我每天多在图书馆待一会儿。

那时候又碰上疫情封校，基本也没什么地方可以出去，所以我几乎月月全勤。

甚至后来还面试过图书馆管理员的岗位。

只不过那时候家里生意比较忙，家里觉得我在学校干这个工资太低，也不太理解我为什么要花时间去做这个，最后把我骂回去了。当时我也没有跟学校老师解释具体原因，现在想起来其实还挺不好意思的。毕竟老师可能也会觉得，这个学生既然都面试过了，为什么最后突然不干了。

现在回头看，那时候的生活其实挺简单的。

每天去图书馆，有固定的位置，有认识的人，有要看的书，有网课，有自己的事情。到了晚上九点半左右，把图书馆的卫生拖完，然后出去跑五公里。

那时候跑完步是真的爽，身体是累的，但是脑子特别舒服。

现在让我晚上九点半去跑五公里，我可能会先想一下今天加班到几点，再想一下回去还有没有事情，最后可能坐在床上刷一会儿手机，然后想着明天再跑。

环境真的会改变一个人。

我以前可能会觉得，一个人自律不自律，主要还是看自己的意志力。现在反而越来越觉得，环境才是很大的一部分。

“天时地利人和”这六个字，我以前可能理解得比较简单，现在越来越觉得其中的”地利”其实就是环境。一个人在一个好的环境里，人和往往是事半功倍的，甚至环境本身就在帮你形成习惯。

如果环境不合适，你就需要付出更多的”人和”去对抗它。

我毕业以后才真正感受到这一点。

刚毕业的那半年，其实我也试图维持大学时期的生活方式。想着既然以前每天都能跑步、学习、看书，那工作以后应该也可以。

但现实是，上班一天已经消耗了大量的精力，偶尔还要加班，回到家以后真正属于自己的时间已经没有多少了。然后为了找回一点自己的时间，只能熬夜。

一开始可能只是晚睡一点，后来慢慢变成睡得越来越晚。

最讽刺的是，以前我觉得”早睡”是一件很正常的事情，后来却发现自己连早睡这种最基础的自律都没有了。

刚毕业那半年我甚至还强行保持运动，结果有一段时间胸口一直疼，持续了几个月才慢慢好。当时也不知道到底怎么回事，现在回头看，我总觉得那段时间可能有一点内耗，甚至有点像情绪和心理压力躯体化到了身体上。

以前的我可能会觉得，自己只是坚持不够。

现在反而会想，会不会有时候不是坚持的问题，而是你所处的环境本身就在不断消耗你。

大学的时候，晚上九点半拖完地，出去跑五公里，我会觉得爽得起飞。

刚毕业的时候，同样的事情，却变成了我需要咬牙完成的任务。

这两个”自律”看起来是同一件事情，实际上完全不是一个状态。

现在工作久坐，运动也少了，体重慢慢上来了，肠胃状态也变差了。

但有时候特别有意思，放一个长假回家，每天在家吃吃喝喝，什么都不干，按理说应该更不健康，结果反而体重还能减轻一点，肠胃也好了。

这让我越来越觉得，人的身体和精神其实比自己想象中诚实。

你到底累不累，舒不舒服，它可能比你的脑子更早知道。

所以现在我回头看大学时期的自己，会有一种很复杂的感觉。

我会羡慕那个时候的自己。

每天可以去图书馆，可以沉下心来看书，可以看网课，可以跑步，可以慢慢培养一些习惯。

但我又知道，那个时候的自己其实也有压力。

大学的时候我每天一觉醒来，也并不是完全轻松的。只是过去这么多年以后，那种每天真实存在的压力已经变得模糊了，留下来的反而是那些比较美好的东西。

这可能就是人为什么总会给过去加滤镜。

现在偶尔我也还是会主动去图书馆。

但有一个很明显的变化是，我发现自己沉下心来的时间变短了。

以前一坐就是几个小时，书可以慢慢看，网课可以慢慢学。

现在坐在那里，有时候才过一会儿，就已经开始想手机、想其他事情，或者脑子里开始琢磨工作上的东西。

这时候我才发现，大学那几年留下来的东西，其实远比我当时意识到的多。

以前看过很多网课和书，学过礼仪与修养、演讲与口才，也学过大量专业知识。

当时可能觉得这些东西就是”学过”。

但毕业以后才发现，有些东西其实真的一直在影响自己。

尤其是专业知识，很多东西直到现在还在持续让我受益。

甚至有时候我会突然发现，自己处理某个事情的方式、跟别人沟通的方式、说话的分寸，其实都来自大学时期那些看起来没什么用的积累。

以前我可能会觉得那些都是”术”。

怎么学习、怎么表达、怎么管理时间、怎么提升自己，都是术。

但现在越来越觉得，真正留在身体里的东西，反而不会让你感觉自己正在使用它。

真正融入自己的思想，是不会每天提醒你”我现在正在践行某个道理”的。

它已经变成了你的一部分。

而社会和公司给我带来的东西也不一样。

如果说大学更多让我学会了怎么充实自己，怎么积累知识，怎么建立一些基础的习惯，那么进入社会以后，我学到的更多是人与人之间的边界感。

以前在学校，人与人之间的关系相对简单。

大家一起上课，一起吃饭，一起去图书馆，有时候甚至一天大部分时间都在同一个圈子里。

进入社会以后才发现，人与人之间其实是需要边界的。

什么话应该说，什么话不应该说；什么事情应该帮，什么事情不应该替别人承担；工作和生活应该怎么分开；别人对你的期待和你自己的责任到底有什么区别。

这些东西，大学里的书不一定能直接教会你。

但社会会很快教会你。

只不过社会教你的方式，通常没有图书馆那么温柔。

毕业三年，我也发现自己居然渐渐被环境同化了。

有时候反思自己为人处世的时候，甚至会发现自己身上开始出现一些以前自己可能会觉得有点”登”的东西。

这其实也是一件挺有意思的事情。

以前我会站在旁边评价别人，觉得”这个人怎么会这样”。

后来某一天突然发现，自己好像也开始这样了。

人就是这样。

你以为自己在观察环境，实际上环境也一直在观察你，然后一点一点把你变成它的一部分。

所以现在我反而越来越认同”环境的重要性”。

当然，人不能永远把所有问题归咎于环境。

环境不好，不代表你就只能随波逐流。

但如果一个环境长期让你变得越来越不像自己，那可能也值得认真想一想，到底是自己出了问题，还是环境本身就不适合自己。

有时候我们会觉得自己不够自律、不够努力、不够上进，然后不断给自己增加要求。

但也许真正应该做的，不只是逼自己更努力一点，而是想办法改变自己的环境。

毕竟在一个好的环境里，人和是事半功倍的；而在一个不合适的环境里，你可能每天都在用自己的意志力跟环境对抗。

最后还是回到自己身上。

人往往就是想要的太多，实际行动做的太少。

而且很多时候，我们以为自己想要的东西，其实并不完全是自己想要的。

可能是社会告诉你的，父母告诉你的，亲戚朋友告诉你的。

应该赚多少钱，应该做到什么职位，应该怎样生活，应该什么时候结婚，应该变得多么优秀。

这些”应该”太多以后，人反而很容易忘记问自己一个最简单的问题：

我到底想要什么？

毕业三年以后，我没有觉得自己已经找到了答案。

甚至恰恰相反，我觉得自己才刚开始学会问这个问题。

我希望以后在行动和为人处世上，可以越来越少一点”别人觉得我应该怎样”，多一点”我自己到底想怎样”。

所谓纯粹的”我”，可能也不是完全不受环境影响，而是在受到环境影响以后，依然能够分清楚：

哪些东西是我真正想要的，

哪些东西只是别人希望我拥有的，

哪些东西值得坚持，

哪些东西其实可以放下。

大学三年教会我的东西，现在还在继续影响我。

毕业三年以后，我想学的可能已经不是更多的”术”了。

而是慢慢把那些真正重要的东西留下来，再重新找到一个适合自己的环境。

然后，成为一个自己真正想成为的人。

碎碎念：毕业三年有感

Wed, 19 Aug 2026 00:00:00 GMT

碎碎念：毕业三年有感#

突然有感而发，想站在我的角度写一下当下的感受，写一下毕业三年以来的心态变化，人似乎总是对上一个环境阶段有滤镜，大学的时候会对比中职，刚毕业会对比大学，换了一家新公司会对比上家公司，到了新的环境，新的环境好的地方感知往往不太强，上一个环境不好的地方会被美化，因为我已经不会感触到了。当下环境对比上一个环境不好的地方也会放大，因为有鲜明的对比。

从刚毕业的时候实习生到现在也能带实习生的自己，发现自己居然也渐渐被环境同化，有时候反思自己为人处世的时候也会有一些”登”味，也再次认清环境的重要性。“天时地利人和”这六个字，我觉得地利说的就是环境，在一个好的地利环境下来，人和是事半功倍的，是相辅相成的关系。但是如果环境一时无法改变，做成一件事就需要数倍的”人和”去对抗环境。现在总会想自己在大学期间是多么自律，多么羡慕大学期间的状态，但是我也能想到自己在大学时期每天一觉醒来的那种压力，哪怕记忆模糊，但是那种感受还是深深刻在灵魂深处，刚毕业时拿的薪水不多，还能保持那种自律。随着工作稳定轻松，待遇不错，自律仿佛就像卸了闸的洪山，一泻千里。成功有时候就是往往就是跟别人多坚持一会把，我大学期间读了很多书，学到了很多”术”上面的好习惯，但是坚持下来的似乎一个没有，但是话又说回来，真正溶于身体血液的思想，也不会有感觉。

人往往就是想要的太多，实际行动做的太少。被社会的标准，父母的标准，亲戚朋友的标准裹胁而行动者，希望自己以后在行动和为人处世方面，能当一个纯粹的人，站在一个纯粹得”我”的标准立场上行动说话。

Windows Docker Desktop 拉镜像卡住：代理配置踩坑记录

Sun, 02 Aug 2026 00:00:00 GMT

Windows Docker Desktop 拉镜像卡住：代理配置踩坑记录#

今天拉个镜像卡了我一下午。docker pull snowdreamtech/frpc，回车之后半天没动静，要么一直停在 Waiting，要么直接 dial tcp ... timeout。一开始我以为是网络差，重试几次还是老样子，才意识到这事没这么简单。

坑一：TUN 模式对 Docker Desktop 无效#

我 Windows 上跑着 sing-box，TUN 模式开着，浏览器上网一切正常，所以第一反应是”我明明有代理啊”。但问题恰恰出在这：TUN 模式接管的是宿主机网卡上的流量，而 Docker Desktop 的 daemon 跑在 WSL2 虚拟机里，虚拟机出站的流量根本不走宿主机的 TUN 接口。浏览器能翻墙，不代表 Docker 能翻墙，它的代理得单独配。

坑二：代理配置藏在 settings-store.json 里#

网上那些老教程还在教改 settings.json，实际上 Docker Desktop 现在的配置在 %APPDATA%\Docker\settings-store.json。往里加三样东西：

1
"ProxyHTTPMode": "manual",
2
"OverrideProxyHTTP": "http://127.0.0.1:49456",
3
"OverrideProxyHTTPS": "http://127.0.0.1:49456"

改完还得 docker desktop restart 才会生效，光重启容器没用，我在这上面浪费了不少时间。另外 Docker Desktop 有两套代理：app 代理和 containers 代理，docker pull 走的是容器的代理，别配错地方。

坑三：到底哪个端口才是真代理？#

配代理之前先得搞清楚本地哪个端口能用。sing-box 和 v2rayN 会监听一堆端口，但真不一定都能当代理使。我一开始以为 10814 就是代理端口，配上去还是各种 405。

判断方法其实很简单：开一个原始 TCP 连接，发一条 CONNECT 请求试试：

Terminal window

1
printf 'CONNECT www.google.com:443 HTTP/1.1\r\nHost: www.google.com:443\r\n\r\n' | nc 127.0.0.1 49456

返回 200 Connection established 的就是正经代理——我这边是 xray 的 49456 端口；而 10814 那个端口实际是个本地 HTTP 服务，对 CONNECT 直接回 405 Method Not Allowed 外加一句 Allow: GET，它根本不是代理。所以别看到端口在监听就想当然。

坑四：镜像加速源里混着失效源#

代理配好之后还是慢，这才想起 ~/.docker/daemon.json 里还配着一堆镜像加速源。检查下来 USTC 和 163 的加速源早就失效了，连过去直接超时，docker pull 就卡在等失效源超时上。还有个更刁钻的：daocloud 对带 ?ns=docker.io 参数的请求会回 405 Method Not Allowed。最后干脆把 registry-mirrors 清空，直连 Docker Hub 走代理，反而最稳。

附带一坑：host.docker.internal 解析成 IPv6#

镜像终于拉下来了，结果 frpc 容器跑起来后端还是连不上，frps 那边一直报 503。查了半天发现是容器里 host.docker.internal 解析成了 fdc4:... 的 IPv6 地址，而容器网络的 IPv6 路由根本不通，流量全被扔了。换成宿主机实际的 IPv4 地址，或者用 Docker Desktop VM 的网关（比如 192.168.65.254），立马就好。

一趟折腾下来，最值钱的教训就两条：TUN 模式管不到 WSL2 里的 Docker，代理必须给 Docker 单独配；以及拿不准端口能不能用，发一条 CONNECT 探一探就知道了。

Windows Docker 跑 frpc 内网穿透：完整踩坑记录

Sun, 02 Aug 2026 00:00:00 GMT

Windows Docker 跑 frpc 内网穿透：完整踩坑记录#

上一篇刚把 Docker Desktop 拉镜像的坑写完（docker-pull-proxy-pitfalls），这次接着踩穿透本身的坑。

背景：本地 Windows 跑若依管理系统，vue dev server 监听 80 端口，想通过 frp 穿透到公网随时访问。frps 跑在腾讯云服务器的 Docker 容器里，本地也用 Docker 容器跑 frpc。听起来不复杂，结果从配置到跑通花了我差不多一个下午。

坑一：穿透是 frpc 端定义的，不是 frps#

一开始我以为新增一条穿透要改 frps 的配置再重启 docker 容器。查了半天才发现根本不是这么回事：frp 架构里 proxy 全部定义在 frpc（客户端），frps 只负责接收流量转发出去，默认允许任意端口（除非你配了 allowPorts 白名单）。所以以后新增穿透，只需要改 frpc 配置然后 reload 就行，frps 基本不用动。

这一点跟很多人的直觉正好相反——服务端”看起来”才是管端口的地方，其实控制权全在客户端手里。

坑二：frpc 的配置文件路径是写死的#

我用的 snowdreamtech/frpc 镜像，它的启动脚本硬编码读 /etc/frp/frpc.toml。第一次挂载我随意挂到了别的路径，结果容器起来日志直接报找不到配置文件。挂载必须挂到这个固定位置：

Terminal window

1
docker run -d --name frpc --restart unless-stopped -v C:\frp\frpc.toml:/etc/frp/frpc.toml snowdreamtech/frpc:0.70.1-debian

坑三：host.docker.internal 在 frpc 容器里解析成了 IPv6#

frpc.toml 里 localIP 一开始写的 host.docker.internal——容器里访问宿主机的惯用域名。结果 frps 那边一直报 503/403，后端连不上。

查下来发现是 IPv6 的锅：容器里 host.docker.internal 被解析成了 fdc4:... 开头的 IPv6 地址，而容器网络的 IPv6 路由根本不通，流量直接被丢弃。解法很简单，直接写死 IPv4：

1
[[proxies]]
2
name = "win-ruoyi"
3
type = "tcp"
4
localIP = "192.168.65.254"
5
localPort = 80
6
remotePort = 6100

192.168.65.254 是 Docker Desktop VM 的网关，容器内经它就能到达宿主机；或者直接写宿主机的实际 LAN IP 也行。

坑四：Docker Desktop 的 HTTP 代理劫持了容器访问宿主机的 80 端口#

为了拉镜像，我按上一篇给 Docker Desktop 配了手动代理。结果发现容器访问宿主机 80 端口时被 Docker Desktop 的透明 HTTP 代理劫持了——返回的是带 Proxy-Connection 头的 503/403 错误，错误文本里甚至还有 Windows 风格的 connectex 字样。而访问 9000 这种非标准端口却一切正常。

判断方法：进容器 curl 宿主机 80 端口，看响应头里有没有 Proxy-Connection，有就是被代理层截了。解法：镜像拉完之后把 Docker Desktop 的代理配置清空（%APPDATA%\Docker\settings-store.json 里删掉 OverrideProxyHTTP / OverrideProxyHTTPS / ProxyHTTPMode 这几个键），容器流量就直连宿主机了。这个坑最隐蔽，我排查了很久才想到是代理在捣乱。

坑五：腾讯云安全组/防火墙要单独放行端口#

折腾到这一步，本地链路已经全通了：frps 日志能看到 get a user connection，服务器本机 curl 也返回 200，但公网访问还是超时。最后发现是腾讯云轻量服务器控制台的防火墙没放行 6100 端口，加一条入站规则就好了。

这里有个教训：穿透链路要分三层排查——系统防火墙（ufw/iptables）→ 云厂商安全组 → frps 本身，哪层漏了都会卡住，而且从外面看每一层都像”网络问题”。

结尾：三段式排查法#

这次下来最大的收获是总结出一套排查链路：frp 穿透要分三段看——公网→frps、frps→frpc、frpc→本地服务。每段的症状不一样：超时基本是网络/防火墙问题，403 是 frp 内部错误页，503 是 frpc 连不上后端。对照症状定位到段，排查快很多。这次五个坑里，三个都出在最后一段（frpc→本地服务），可见本地这一段最容易被忽略，也最容易踩。

OpenCode 踩坑记：用 stealth-chrome MCP 接管真浏览器

Wed, 29 Jul 2026 00:00:00 GMT

背景#

前几天要给新搭的两个博客站（一个中文一个英文）加 Google Search Console 的权限，顺便把服务账号也加进去。就一个”添加用户”的操作，想着让 OpenCode 帮我自动化算了。

结果 browser-control MCP 打开的无头浏览器直接被 Google 弹了验证码。换 Puppeteer ？还是弹。换 Playwright stealth ？一样。

搞了半小时，突然反应过来：我 Chrome 里本来就登录着 Google，为什么非要自己新开一个？

解决方案：stealth-chrome MCP#

思路摊开就很简单：不自己开浏览器，接管已经在用的那个。

Chrome DevTools Protocol (CDP) 本来就是干这个的。你的登录态、Cookie、扩展——全都不用管，直接用。

我用 chrome-launcher 写了个几十行的 MCP Server，把 CDP 包了一层，注册到 OpenCode 的 MCP 配置里：

~/.config/opencode/opencode.jsonc

1
{
2
  "mcp": {
3
    "stealth-chrome": {
4
      "type": "local",
5
      "command": [
6
        "node",
7
        "/path/to/stealth-mcp-server.mjs"
8
      ],
9
      "enabled": true,
10
      "description": "真实 Chrome 接管，持久会话"
11
    }
12
  }
13
}

然后把原来的 browser-control 删掉，只留这一个。

连上之后效果立竿见影——Search Console 直接打开就是登录状态，什么验证码都没有。跟手动操作浏览器一样顺手。

踩坑实录#

当然，这过程也不是一帆风顺。记录五个真踩过的坑。

1. 按钮点了没反应#

Search Console 的”添加用户”按钮，用 stealth-chrome_click 点上去页面就跳转了。我一开始以为是 bug，重试了好几次，每次都跳到不相关的页面。

最后用 stealth-chrome_evaluate 执行 JS 的 element.click()，对话框正常弹出来了。

结论： SPA 里的事件绑定，用 JS 直接 click 比模拟点击可靠得多。click 点不动的，试试 evaluate。

2. Ref 编号会变#

每次页面渲染完，元素的 ref 编号（如 e42、e106）都可能变。同一个页面导航回来再 snapshot，ref 全不一样了。

第一次踩到这个的时候我还以为自己记错了。

结论： 如果要跨多次操作同一个页面，别硬编码 ref，用 JS 选择器定位元素更稳。

3. 选错了 dialog#

Search Console 页面里两个 [role="dialog"]——侧边导航栏一个、弹窗一个。document.querySelector('[role="dialog"]') 每次都拿到侧边栏那个。

结论： 用 document.querySelectorAll(...) 取最后一个。

4. 设了 input.value 但 SPA 没反应#

用 input.value = 'xxx' 填完邮箱，点”添加”，提示”请输入有效的邮箱地址”。明明填入的地址是完整的，页面却不认。

因为 SPA 框架监听的是 input 事件，直接设 value 不会触发。要手动 dispatch：

1
input.value = 'blog-seo@xxx.iam.gserviceaccount.com';
2
input.dispatchEvent(new Event('input', { bubbles: true }));
3
input.dispatchEvent(new Event('change', { bubbles: true }));

5. 链接跳不跳不由你#

Search Console 的设置页面里，“用户和权限”看起来是个可点文字，结果点下去直接跳到索引页了——它是个真的 <a href="..."> 链接，不是 SPA 路由。

结论： 点之前先 inspect 一下 a.href 的值，确定是路由跳转还是就地展开。

可用工具一览#

最终我实际用到的就这几个：

工具	用在哪
`stealth-chrome_navigate`	跳转到目标页面
`stealth-chrome_snapshot`	看当前页面上有什么能点的
`stealth-chrome_click`	点简单按钮
`stealth-chrome_evaluate`	执行 JS（踩坑时的主力）
`stealth-chrome_screenshot`	截图确认状态

适用场景#

凡是需要已登录才能操作的网站——Search Console、Cloudflare Dashboard、Gmail——stealth-chrome 都能搞定。浏览器开着就行。

总结#

stealth-chrome MCP 的价值就一句话：别跟浏览器验证作对，用你已经登录好的那个。

配置一次、常驻后台、随便折腾。反正 Chrome 别关就行。

2025 年终总结

Thu, 23 Jul 2026 00:00:00 GMT

2025 年终总结#

记忆就像一杯水，时间就像一个打开的水龙头，岁月如斯，杯中的水越来越淡。一晃又到了 25 年底。回想 24 年总结时说到的期中总结，因为懒癌一直没能动笔。一方面生活进入了舒适区，工作占据了大部分的生活，每天都在办公室的日光灯下分不清昼夜；剩余休闲时间更想找好友出去踏青游玩。今天也是因为流感病假的第四天，希望趁病痛的理性还没有被完全康复的欢愉冲散之前，能把一些有印象有意义的内容记录下来。

工作#

工作上整体还是按部就班、保持严谨、提高技术、追求完美。相较于去年，今年 AI 工具的发展对编码方式造成了很大的改变。AI 的上下文关联、agent、自动搜索能力有了很大的提升，当前最热门的一个词 vibe coding，指的就是完全通过自然语言对话来完成工作中的编码、调试、测试。这极大地解放了双手，把一些可控的、重复性的作业交给 AI 可以完美搞定。在后端上有的复杂逻辑可能还需要反复核对，但在前端上只需要把思路想法清晰表达出来，AI 甚至一次就能搞定。

虽然 AI 极大提高了当前的效率，但新事物产生必然带来变革。AI 抹平了很大一部分经验的作用，但又没有创造太多新的岗位需求。作为浪潮下的普通人，可能只有最大限度地拥抱变化，积累储蓄应对未来的不确定性。

学习#

学习上今年还算马马虎虎，自考过了四门。虽然也不指望这个有啥用，更多的是给自己找个终身学习途中的短暂目标。因为考试今年重新体系化学习了中国近现代史和马克思原理，虽然也是囫囵吞枣，但也受益良多。马原哲学教我们从一个更抽象更高维度的角度来看问题，近现代史则让我对那段时间线和重大会议的作用有了全新了解。

通过学习了一些理财、储蓄相关知识，年初定的储蓄目标逐步按计划完成。理财有赚有亏，整体盈利，不过没到手的终究只能算浮利。

今年对学习方法也有一些更新：对不熟悉的领域主要以视频和好理解的入门文章为主，书籍放到最后用来深入查漏补缺。对于不同观点尽量采用否定之否定思想。

身体#

身体锻炼上，相较去年是连滚带爬，不然也不会一个月反复感冒。在今年暑假期间拔了两颗阻生智齿后，锻炼就开始躺平。今年体检也是各种小毛病异常——一方面是胡吃海喝，一方面是熬夜。一个人独居过于自由，再加上常年吹空调室内外温差过大，熬夜沉迷奶头乐懒惰导致。

身体锻炼将是 2026 年的规划的核心问题之一，需要规律作息、增加热量缺口减轻体重，管住嘴迈开腿。

书评#

小狗钱钱#

当你定下了大目标的时候，就意味着你必须付出比别人多得多的努力

一本儿童读物，但是对于一开始对理财一窍不通的人来说，是很好的一门入门书。按照书中的方式今年提前了两个月完成了计划储蓄。

你是吃出来的 2#

饮食不要偏颇和极端，混合杂吃多样性

看完更加坚信物质决定意识，意识反作用于物质了。工作之后就一直在长胖，核心原因还是因为工作后久坐，新陈代谢过低，下班后又经常犒劳自己。在办公室接触阳光过少，缺少维生素 D 导致免疫力低下。

MongoDB 进阶与实践#

MongoDB 索引，存储引擎，并发原理（MVCC），锁机制，oplog 等设计与 MySQL 是一致的

书到用时方恨少，工作抽时间给自己查漏补缺，遇到相关文档就更加游刃有余。

禅与摩托车维修艺术#

当你做某件事的时候，一旦想要求快，就表示你再不关心它，而想去做别的事

文章主要是讲旅行和修摩托车，看得深有感悟。说是修摩托车，但讲的道理是对所有技术人员共通的。

中国哲学简史#

人必须先说很多话，然后保持静默

跟父母聊天有思想冲突时去看的，想着能不能找到他们为什么会有这样思想的原因。很多思想其实已经融入了血脉，看了书之后跟人才对号入座上。

游戏#

苍之彼方的四重奏：剧情、音乐都是第一梯队，四位女主角塑造得非常成功。欣赏艺术是一种享受。

王者荣耀：时隔一两个月会偶尔玩两把，作为工作中午吃完饭消遣挺好。段位高了容易有分奴倾向。

三角洲行动：玩了九十多个小时，作为工作之余放假休息消遣不错。不需要氪金，也有人机给你框框杀，入门上手难度不高。

游戏最后的核心还是和朋友一起玩。

番剧#

今年看的番剧还挺多的，发现自己不是不爱看番，是对新番兴趣不大，主要看的一些老番。

山田君与 7 个魔女
盾勇
转生公主与天才千金的魔法变革
欢迎来到实力主义至上教室第三季
凡人修仙传
遮天
魔女之旅
影之实力者
我的青春恋爱物语果然有问题（二刷）
骑士与魔法（二刷）
关于我转生变成史莱姆这档事
别当欧尼酱了（二刷）
异世界舅舅
魔法少女小圆系列

电影#

名侦探柯南：迷宫的十字路口
哪吒之魔童闹海
恶意
名侦探柯南：独眼的残像
死神来了：血脉诅咒
赎梦
蛟龙行动
鬼灭之刃：无限城篇
疯狂动物城 2
闻香识女人
唐探 1900
霾下之悘（珞珈山剧院话剧）
开心晚宴（湖北剧院话剧）

旅游#

出门多受的罪多，但是沿途的新鲜感是在本地体会不到的。

江西庐山：淡季免门票去的，山下太阳照得十分温暖，山顶都是雪，台阶两边雪踩成了冰，只能垫着脚走中间。可惜行程比较赶，去完五老峰就筋疲力尽了，没有去到三叠泉。

湖南长沙：下班连夜绿皮出发，晚上车上的脚臭味和烟味至今难忘。第二次去长沙才打开了新大门，体验到了什么叫夜生活——24 小时的火锅店，24 小时的蜜雪冰城。爬完了上次没上去的岳麓山，山顶的微风和鸟瞰整个长沙市区的风景独一档。

安徽天堂寨：国庆时期去的。去的路上随着海拔提高逐渐到了云层中，视野极差还下着雨，然后过了一个隧道后突然一片晴朗。景区楼梯架在山体悬崖边，人多走得一晃一晃还挺害怕。山顶的空气是我呼吸过最清新的。下山体验了一把索道，对于前两天才看过索道原理的人来说还是过于刺激了。

使用 acme.sh 申请泛域名 SSL 证书

Thu, 23 Jul 2026 00:00:00 GMT

使用 acme.sh 申请泛域名 SSL 证书#

Let’s Encrypt 提供免费的泛域名证书（Wildcard Certificate），配合 acme.sh 脚本可以全自动申请和续期，非常适合个人站点。

安装 acme.sh#

Terminal window

1
curl https://get.acme.sh | sh -s email=my@example.com

申请证书（Cloudflare DNS API）#

1. 获取 Cloudflare API Key#

2. 配置 API Key#

Terminal window

1
export CF_Key="your-cloudflare-api-key"
2
export CF_Email="your-cloudflare-email"

3. 申请泛域名证书#

Terminal window

1
# 替换为自己的域名
2
./acme.sh --issue --dns dns_cf -d example.com -d *.example.com

4. 验证#

证书会默认安装到 ~/.acme.sh/ 目录下。查看自动续期任务：

Terminal window

1
crontab -l

acme.sh 会自动添加定时任务，证书到期前自动续期。

与 Nginx Proxy Manager 配合#

将生成的证书文件拷贝到 NPM 的对应目录，或在 NPM 中手动上传证书。

注意事项#

阿里云 DNS、腾讯云 DNS 等也有对应的 DNS API 脚本，可在 acme.sh 官方仓库找到
泛域名证书仅支持 DNS 验证方式，不支持 HTTP 验证
证书有效期 90 天，acme.sh 会自动续期，无需额外操作

参考#

Docker 镜像与容器导入导出命令详解

Thu, 23 Jul 2026 00:00:00 GMT

Docker 镜像与容器导入导出命令详解#

Docker 提供了多组镜像和容器的导入导出命令，初学者容易混淆。本文梳理它们之间的核心区别。

docker export / docker import#

作用于容器，导出的是容器当前文件系统的快照。

Terminal window

1
# 导出容器快照
2
docker export container-id > snapshot.tar
3

4
# 导入为镜像
5
docker import snapshot.tar new-image-name:tag

特点：

只保留从镜像启动到 export 时对文件系统的修改，丢弃历史层和元数据
导出的包体积较小（只有一层文件系统）
导入时必须指定新镜像名称和 tag
导入后的镜像启动必须加 /bin/bash 或其他 entrypoint

适用场景： 制作基础镜像。例如从 ubuntu 镜像启动容器，安装软件后导出为基础镜像分发给其他人。

docker commit#

作用于容器，将容器的修改保存为新的镜像。

Terminal window

1
docker commit container-id new-image-name:tag

常用选项：

-a：作者信息
-m：提交说明
-p：提交时暂停容器运行

特点：

保存了容器的读写层 + 镜像原有的历史层
原本 N 层的镜像，commit 后会变成 N+1 层
可以保留启动命令等元数据

适用场景： 快速保存调试环境的修改，生成可复用的镜像。

docker save / docker load#

作用于镜像，导出的是完整的镜像分层结构。

Terminal window

1
# 导出镜像
2
docker save -o image.tar image-name:tag
3

4
# 导入镜像
5
docker load -i image.tar

特点：

保留完整的分层结构和元数据
包体积比 export 大（包含所有历史层）
load 无法重命名镜像，import 可以指定新名称

适用场景： 离线环境迁移镜像。在没有外网的生产服务器上，先在有网的机器上 pull 镜像，save 打包后拷贝到生产环境再 load。

核心区别总结#

命令	作用对象	保留历史层	包体积	导入后可重命名
`docker export`	容器	❌ 只有一层	小	✅
`docker commit`	容器	✅ 增加一层	中	✅
`docker save`	镜像	✅ 完整保留	大	❌
`docker load`	镜像	✅ 完整保留	大	❌
`docker import`	快照文件	❌ 只有一层	小	✅

一句话记忆法：save/load 是对镜像操作，export/import 是对容器操作，commit 是容器→镜像的桥梁。

使用 Docker 完成 Nacos 集群部署

Thu, 23 Jul 2026 00:00:00 GMT

使用 Docker 完成 Nacos 集群部署#

拉取镜像#

Terminal window

1
docker pull nacos/nacos-server:v2.2.0

不要拉 latest 标签，生产环境务必指定版本号。

数据库准备#

Nacos 集群需要 MySQL 存储配置数据。建议使用 MySQL 5.7。

创建数据库 nacos_config，并执行 Nacos 官方提供的数据库初始化脚本（可在 Nacos 源码的 distribution/conf/nacos-mysql.sql 中找到，包含 config_info、config_info_aggr、users、roles 等核心表）。

创建 Nacos 容器#

创建三个 Nacos 实例组成集群。将以下命令中的 IP 地址替换为你的服务器 IP。

节点 1（端口 8848）#

Terminal window展开收起

1
docker run -d \
2
  -e PREFER_HOST_MODE=hostname \
3
  -e MODE=cluster \
4
  -e NACOS_APPLICATION_PORT=8848 \
5
  -e NACOS_SERVERS="your-server-ip:8848 your-server-ip:8858 your-server-ip:8868" \
6
  -e SPRING_DATASOURCE_PLATFORM=mysql \
7
  -e MYSQL_SERVICE_HOST=your-server-ip \
8
  -e MYSQL_SERVICE_PORT=3306 \
9
  -e MYSQL_SERVICE_USER=root \
10
  -e MYSQL_SERVICE_PASSWORD=your-password \
11
  -e MYSQL_SERVICE_DB_NAME=nacos_config \
12
  -e NACOS_SERVER_IP=your-server-ip \
13
  -p 8848:8848 -p 9848:9848 -p 9849:9849 \
14
  --name my-nacos1 \
15
  nacos/nacos-server:v2.2.0

展开收起

节点 2（端口 8858）#

Terminal window展开收起

1
docker run -d \
2
  -e PREFER_HOST_MODE=hostname \
3
  -e MODE=cluster \
4
  -e NACOS_APPLICATION_PORT=8858 \
5
  -e NACOS_SERVERS="your-server-ip:8848 your-server-ip:8858 your-server-ip:8868" \
6
  -e SPRING_DATASOURCE_PLATFORM=mysql \
7
  -e MYSQL_SERVICE_HOST=your-server-ip \
8
  -e MYSQL_SERVICE_PORT=3306 \
9
  -e MYSQL_SERVICE_USER=root \
10
  -e MYSQL_SERVICE_PASSWORD=your-password \
11
  -e MYSQL_SERVICE_DB_NAME=nacos_config \
12
  -e NACOS_SERVER_IP=your-server-ip \
13
  -p 8858:8858 -p 9858:9858 -p 9859:9859 \
14
  --name my-nacos2 \
15
  nacos/nacos-server:v2.2.0

展开收起

节点 3（端口 8868）#

Terminal window展开收起

1
docker run -d \
2
  -e PREFER_HOST_MODE=hostname \
3
  -e MODE=cluster \
4
  -e NACOS_APPLICATION_PORT=8868 \
5
  -e NACOS_SERVERS="your-server-ip:8848 your-server-ip:8858 your-server-ip:8868" \
6
  -e SPRING_DATASOURCE_PLATFORM=mysql \
7
  -e MYSQL_SERVICE_HOST=your-server-ip \
8
  -e MYSQL_SERVICE_PORT=3306 \
9
  -e MYSQL_SERVICE_USER=root \
10
  -e MYSQL_SERVICE_PASSWORD=your-password \
11
  -e MYSQL_SERVICE_DB_NAME=nacos_config \
12
  -e NACOS_SERVER_IP=your-server-ip \
13
  -p 8868:8868 -p 9868:9868 -p 9869:9869 \
14
  --name my-nacos3 \
15
  nacos/nacos-server:v2.2.0

展开收起

验证集群#

访问任意节点的 http://ip:port/nacos，默认用户名密码为 nacos/nacos。在”集群管理”页面可以看到三个节点。

Nginx 负载均衡#

配置 upstream#

在 Nginx Proxy Manager 的安装目录下创建自定义配置：

/path/to/npm/data/nginx/custom/http.conf

1
upstream nacos {
2
    server your-server-ip:8848;
3
    server your-server-ip:8858;
4
    server your-server-ip:8868;
5
}

配置反向代理#

在 NPM 管理页面添加代理：

1
Domain: nacos.your-domain.com
2
Forward Hostname: 127.0.0.1
3
Forward Port: 80

然后在 Advanced 中添加：

1
location / {
2
    proxy_pass http://nacos;
3
}

配置 SSL 证书后，即可通过 https://nacos.your-domain.com/nacos 访问 Nacos 管理页面。

注意：如果使用 Nginx Proxy Manager，需要在容器挂载目录的 nginx/custom/ 下创建 http.conf，NPM 会自动引入该文件到全局配置中。

参考#

利用 Scoop 自由切换 Java (JDK) 版本

Thu, 23 Jul 2026 00:00:00 GMT

利用 Scoop 自由切换 Java (JDK) 版本#

日常开发中经常需要在 Java 8、Java 11、Java 17、Java 21 等不同 JDK 版本之间切换。手动卸载重装非常麻烦，还要清理注册表残留。使用 Scoop 包管理可以轻松解决这个问题。

安装 Scoop#

打开 PowerShell，执行：

Terminal window

1
# 允许本地脚本执行
2
Set-ExecutionPolicy RemoteSigned -Scope CurrentUser
3

4
# 安装 Scoop
5
iwr -useb get.scoop.sh | iex
6

7
# 验证安装
8
scoop help

安装多版本 JDK#

1. 添加 Java 仓库#

Terminal window

1
scoop bucket add java

2. 查看可用的 JDK 版本#

Terminal window

1
scoop search jdk

3. 安装不同版本#

Terminal window

1
# 安装 OpenJDK 8
2
scoop install openjdk8-redhat
3

4
# 安装 OpenJDK 21
5
scoop install openjdk21

4. 切换 JDK 版本#

Terminal window

1
# 切换到 JDK 8
2
scoop reset openjdk8-redhat
3

4
# 切换到 JDK 21
5
scoop reset openjdk21
6

7
# 切换到 GraalVM 21
8
scoop reset graalvm21-jdk21

之前手动安装过 JDK 的，建议把系统环境变量 JAVA_HOME 删掉，Scoop 会自动管理用户级别的 JAVA_HOME。

原理#

scoop reset 会更新用户环境变量中的 JAVA_HOME 和 PATH，指向对应版本的安装目录。切换后新开的终端窗口立即生效，无需重启。

同理，Python、Ruby、Node.js 等也可以通过 Scoop 进行多版本管理。

服务器日常初始化指南

Thu, 23 Jul 2026 00:00:00 GMT

服务器日常初始化指南#

1. 系统更新#

Terminal window

1
apt update
2
apt upgrade -y

2. 安全防护#

修改 SSH 端口#

编辑 SSH 配置文件 /etc/ssh/sshd_config，将默认的 22 端口修改为其他端口：

Terminal window

1
vim /etc/ssh/sshd_config
2
# 找到 #Port 22，修改为 Port your-port
3
# 保存后重启服务
4
systemctl restart ssh

创建非 root 用户#

Terminal window

1
# 创建新用户
2
adduser your-username
3

4
# 安装 sudo
5
apt install sudo
6

7
# 将用户添加到 sudo 组
8
usermod -aG sudo your-username
9

10
# 或编辑 /etc/sudoers 添加：
11
# your-username ALL=(ALL) NOPASSWD: ALL

禁用 root 远程登录#

Terminal window

1
# 在 /etc/ssh/sshd_config 中修改
2
PermitRootLogin no

SSH 密钥登录 + 禁用密码#

Terminal window

1
# 在本地生成密钥对，将公钥复制到服务器
2
ssh-copy-id your-username@your-server-ip
3

4
# 在 /etc/ssh/sshd_config 中配置：
5
PasswordAuthentication no
6
PubkeyAuthentication yes
7

8
# 重启服务
9
sudo systemctl restart ssh

3. 常用软件安装#

Docker#

参考腾讯云 Docker 搭建文档。

Nginx Proxy Manager#

推荐使用 Docker 安装 NPM，配合图形化管理反向代理和 SSL 证书。

SSL 证书#

使用 acme.sh + Cloudflare DNS API 申请泛域名证书，自动续期。

内网穿透#

使用 frp 实现内网穿透，配置文件已采用新的 TOML 格式。

Alist#

多存储挂载工具，Docker 一键部署，详见 Alist 官方文档。

防火墙#

修改 SSH 端口后记得在防火墙放行新端口
使用 iptables 应对 SYN 攻击、CC 攻击等
仅开放必要的端口（80、443、SSH 端口等）

SpringBoot 邮件发送与异步优化

Thu, 23 Jul 2026 00:00:00 GMT

SpringBoot 邮件发送与异步优化#

基础配置#

1. 引入依赖#

1
<dependency>
2
    <groupId>org.springframework.boot</groupId>
3
    <artifactId>spring-boot-starter-mail</artifactId>
4
</dependency>

2. 配置邮箱参数#

1
spring:
2
  mail:
3
    username: your-email@example.com
4
    password: your-auth-code
5
    host: smtp.163.com

密码处填写的是邮箱的 授权码，不是邮箱登录密码。以 163 邮箱为例，需要在设置 → POP3/SMTP/IMAP 中开启服务并获取授权码。

3. 发送简单邮件#

1
@RestController
2
@RequiredArgsConstructor
3
public class EmailController {
4

5
    private final JavaMailSender javaMailSender;
6

7
    @GetMapping("/send-email")
8
    public String sendEmail(String email) {
9
        SimpleMailMessage message = new SimpleMailMessage();
10
        message.setFrom("your-name<your-email@example.com>");
11
        message.setTo(email);
12
        message.setSubject("验证码");
13
        message.setText("您的验证码是：123456");
14
        javaMailSender.send(message);
15
        return "ok";
16
    }
17
}

展开收起

使用 @Async 实现异步发送#

同步发送邮件会阻塞请求线程，高并发场景下推荐异步化。

1. 开启异步支持#

1
@SpringBootApplication
2
@EnableAsync
3
public class Application {
4
    public static void main(String[] args) {
5
        SpringApplication.run(Application.class, args);
6
    }
7
}

2. 异步发送服务#

1
@Component
2
@Slf4j
3
public class EmailService {
4

5
    @Autowired
6
    private JavaMailSender javaMailSender;
7

8
    @Autowired
9
    private StringRedisTemplate stringRedisTemplate;
10

11
    @Async
12
    public void sendVerificationCode(String email) {
13
        String code = UUID.randomUUID().toString().substring(0, 6);
14
        SimpleMailMessage message = new SimpleMailMessage();
15
        message.setFrom("your-name<your-email@example.com>");
16
        message.setTo(email);
17
        message.setSubject("验证码");
18
        message.setText(code);
19

20
        stringRedisTemplate.boundValueOps("code:" + email)
21
            .set(code, 5, TimeUnit.MINUTES);
22
        javaMailSender.send(message);
23
        log.info("Verification code sent to: {}", email);
24
    }
25
}

展开收起

3. 自定义线程池#

默认的异步线程池核心线程数为 8，可根据业务调整：

1
spring:
2
  task:
3
    execution:
4
      pool:
5
        core-size: 50

或通过 Java 配置：

1
@Bean
2
public ThreadPoolTaskExecutor threadPoolExecutor() {
3
    ThreadPoolTaskExecutor executor = new ThreadPoolTaskExecutor();
4
    executor.setCorePoolSize(20);
5
    executor.setMaxPoolSize(50);
6
    executor.setQueueCapacity(200);
7
    executor.setThreadNamePrefix("mail-executor-");
8
    executor.initialize();
9
    return executor;
10
}

@Async 失效的常见原因#

使用 @Async 时，以下情况会导致注解失效：

方法不是 public 的
返回值不是 void 或 Future
方法使用 static 修饰
Spring 扫描不到类（缺少 @Component/@Service 等注解）
调用方与被调用方在同一个类中（Spring AOP 代理无法拦截内部调用）
通过 new 手动创建对象，而非依赖注入
在 @Async 方法上直接加 @Transactional 无效——应在被调用的方法上加

参考：https://blog.csdn.net/u011413452/article/details/124844941

SpringBoot 调用腾讯云 API 发送短信

Thu, 23 Jul 2026 00:00:00 GMT

SpringBoot 调用腾讯云 API 发送短信#

第一步：申请短信服务#

打开腾讯云控制台，申请短信应用、签名与模板。

第二步：API 调试#

在腾讯云 API Explorer 页面可以快速生成调用代码。

导入依赖#

1
<dependency>
2
    <groupId>com.tencentcloudapi</groupId>
3
    <artifactId>tencentcloud-sdk-java</artifactId>
4
    <version>3.1.838</version>
5
</dependency>

原始调用代码#

1
public class SendSms {
2
    public static void main(String[] args) {
3
        try {
4
            Credential cred = new Credential("SecretId", "SecretKey");
5
            HttpProfile httpProfile = new HttpProfile();
6
            httpProfile.setEndpoint("sms.tencentcloudapi.com");
7

8
            ClientProfile clientProfile = new ClientProfile();
9
            clientProfile.setHttpProfile(httpProfile);
10

11
            SmsClient client = new SmsClient(cred, "ap-beijing", clientProfile);
12

13
            SendSmsRequest req = new SendSmsRequest();
14
            String[] phoneNumberSet1 = {"your-phone-number"};
15
            req.setPhoneNumberSet(phoneNumberSet1);
16
            req.setSmsSdkAppId("1400849908");
17
            req.setSignName("your-sign-name");
18
            req.setTemplateId("1907520");
19

20
            String[] templateParamSet1 = {"6666"};
21
            req.setTemplateParamSet(templateParamSet1);
22

23
            SendSmsResponse resp = client.SendSms(req);
24
            System.out.println(SendSmsResponse.toJsonString(resp));
25
        } catch (TencentCloudSDKException e) {
26
            System.out.println(e.toString());
27
        }
28
    }
29
}

展开收起

返回结果示例：

1
{
2
  "SendStatusSet": [
3
    {
4
      "SerialNo": "3369:294906593316931104718082751",
5
      "PhoneNumber": "your-phone-number",
6
      "Fee": 1,
7
      "Code": "Ok",
8
      "Message": "send success",
9
      "IsoCode": "CN"
10
    }
11
  ],
12
  "RequestId": "69aceba9-a43d-434c-9021-e7320ef52d49"
13
}

第三步：封装为 Spring Boot 工具类#

1. 配置属性#

1
myapp:
2
  secretId: your-secret-id
3
  secretKey: your-secret-key
4
  smsSdkAppId: your-sdk-app-id
5
  signName: your-sign-name
6
  templateId: your-template-id

2. 配置属性绑定类#

1
@Component
2
@ConfigurationProperties(prefix = "myapp")
3
public class MyAppProperties {
4
    private String secretId;
5
    private String secretKey;
6
    private String smsSdkAppId;
7
    private String signName;
8
    private String templateId;
9

10
    // getters and setters
11
}

注意：set 方法不要写成 static 的，否则 @ConfigurationProperties 无法正常注入。

3. 发送短信工具类#

1
@Component
2
@Slf4j
3
public class SmsUtil {
4
    private static SmsClient client = null;
5

6
    @PostConstruct
7
    public void init() {
8
        client = createClient(
9
            MyAppProperties.getSecretId(),
10
            MyAppProperties.getSecretKey()
11
        );
12
    }
13

14
    public static void sendVerificationCode(String phone, String code) {
15
        SendSmsRequest req = new SendSmsRequest();
16
        req.setPhoneNumberSet(new String[]{phone});
17
        req.setSmsSdkAppId(MyAppProperties.getSmsSdkAppId());
18
        req.setSignName(MyAppProperties.getSignName());
19
        req.setTemplateId(MyAppProperties.getTemplateId());
20
        req.setTemplateParamSet(new String[]{code});
21

22
        try {
23
            SendSmsResponse resp = client.SendSms(req);
24
            log.info("SMS send result: {}", SendSmsResponse.toJsonString(resp));
25
        } catch (TencentCloudSDKException e) {
26
            log.error("Failed to send SMS", e);
27
            throw new RuntimeException(e);
28
        }
29
    }
30

31
    private static SmsClient createClient(String secretId, String secretKey) {
32
        Credential cred = new Credential(secretId, secretKey);
33
        HttpProfile httpProfile = new HttpProfile();
34
        httpProfile.setEndpoint("sms.tencentcloudapi.com");
35
        ClientProfile clientProfile = new ClientProfile();
36
        clientProfile.setHttpProfile(httpProfile);
37
        return new SmsClient(cred, "ap-beijing", clientProfile);
38
    }
39
}

展开收起

4. 对外接口#

1
@RestController
2
public class SmsController {
3
    @GetMapping("/sms")
4
    public String sendSms() {
5
        SmsUtil.sendVerificationCode("your-phone", "1234");
6
        return "ok";
7
    }
8
}

总结#

整个演进过程：API 调试（原生 SDK）→ 配置外置（ConfigurationProperties）→ 静态工具类封装（@PostConstruct 初始化）。日常开发中推荐直接使用封装后的工具类方式，避免在业务代码中重复编写 SDK 调用逻辑。

Mx Space + Shiro + Nginx Proxy Manager 反向代理部署

Thu, 01 May 2025 00:00:00 GMT

Mx Space + Shiro + Nginx Proxy Manager 反向代理部署#

前言#

Mix Space 是一款简洁而不简单的个人博客系统，它够快，够现代。你可以利用它构建一个属于自己的个人空间，记录生活，分享知识。

Mix Space 官方文档

本教程采用 Nginx Proxy Manager 反向代理前后端。

前端域名：zinzin.top
后端域名：mx.zinzin.top

准备工作#

你需要准备以下内容：

一台服务器（Linux 内核版本 > 4.18，运行内存 > 1GiB，教程以 Debian 11 为例）
已经映射到服务器 IP 地址的域名
Docker 环境

安装 Nginx Proxy Manager 反向代理管理软件#

在任意目录下创建 docker-compose.yml 文件，内容如下：

1
services:
2
  app:
3
    image: 'jc21/nginx-proxy-manager:latest'
4
    restart: unless-stopped
5
    ports:
6
      - '80:80'
7
      - '81:81'
8
      - '443:443'
9
    volumes:
10
      - ./data:/data
11
      - ./letsencrypt:/etc/letsencrypt

保存文件后执行以下命令启动服务：
Terminal window
```
1
docker-compose up -d
2

3
# 或者
4
docker compose up -d
```
如果你是第一次使用，可以参考以下指南了解更多：
- 推荐一个nginx管理工具 Nginx Proxy Manager
- 官方指南

部署后端#

拉取配置文件：

Terminal window

1
cd && mkdir -p mx-space/core && cd $_
2

3
# 下载 docker-compose.yml 文件
4
wget https://fastly.jsdelivr.net/gh/mx-space/core@master/docker-compose.yml

编辑 docker-compose.yml 文件中的 environment 字段，配置以下信息：
- JWT 密钥（JWT_SECRET）：长度为 16 到 32 个字符的字符串，用于加密用户的 JWT。
- 被允许的域名（ALLOWED_ORIGINS）：通常是前端的域名，多个域名用英文逗号分隔。
- 是否开启加密（ENCRYPT_ENABLE）：如果需要加密，将 false 改为 true，并填写加密密钥。
- 加密密钥（ENCRYPT_KEY）：长度必须为 64 位。

以下是一个示例配置，设置了 jwt 密钥和允许域名需根据自己的域名和密钥进行修改：

1
services:
2
  app:
3
    container_name: mx-server
4
    image: innei/mx-server:latest
5
    environment:
6
      - TZ=Asia/Shanghai
7
      - NODE_ENV=production
8
      - DB_HOST=mongo
9
      - REDIS_HOST=redis
10
      - ALLOWED_ORIGINS=zinzin.top
11
      - JWT_SECRET=Yy14003252791400325279
12
    volumes:
13
      - ./data/mx-space:/root/.mx-space
14
    ports:
15
      - '2333:2333'
16
    depends_on:
17
      - mongo
18
      - redis
19
    networks:
20
      - mx-space
21
    restart: unless-stopped
22
    healthcheck:
23
      test: ['CMD', 'curl', '-f', 'http://127.0.0.1:2333/api/v2/ping']
24
      interval: 1m30s
25
      timeout: 30s
26
      retries: 5
27
      start_period: 30s
28

29
  mongo:
30
    container_name: mongo
31
    image: mongo
32
    volumes:
33
      - ./data/db:/data/db
34
    networks:
35
      - mx-space
36
    restart: unless-stopped
37

38
  redis:
39
    image: redis:alpine
40
    container_name: redis
41
    volumes:
42
      - ./data/redis:/data
43
    healthcheck:
44
      test: ['CMD-SHELL', 'redis-cli ping | grep PONG']
45
      start_period: 20s
46
      interval: 30s
47
      retries: 5
48
      timeout: 3s
49
    networks:
50
      - mx-space
51
    restart: unless-stopped
52

53
networks:
54
  mx-space:
55
    driver: bridge

展开收起

启动后端服务：

Terminal window

1
docker-compose up -d
2

3
# 或者
4
docker compose up -d

完成后，你会看到如下截图：

core完成截图

Nginx Proxy Manager 反向代理 Mx Space 后端#

打开 Nginx Proxy Manager 的管理页面，按照以下步骤设置：

nginx步骤-1

nginx步骤-2

注意：国内服务器可能因网络原因自动申请证书失败，需要多尝试几次，或上传证书。
成功后，访问 https://mx.zinzin.top/proxy/qaqdmin 进行初始化设置：

初始化后端页面
部署成功后的后台页面：

后台管理页面

开始部署前端 Shiro#

1. 设置主题配置#

进入后台，点击”附加功能-配置与云函数”，填入以下内容：

名称：shiro
引用：theme
数据类型：JSON
数据：见下方 JSON 配置。

json

1
{
2
  "footer": {
3
    "otherInfo": {
4
      "date": "2020-{{now}}",
5
      "icp": {
6
        "text": "萌 ICP 备 20236136 号",
7
        "link": "https://icp.gov.moe/?keyword=20236136"
8
      }
9
    },
10
    "linkSections": [
11
      {
12
        "name": "关于",
13
        "links": [
14
          {
15
            "name": "关于本站",
16
            "href": "/about-site"
17
          },
18
          {
19
            "name": "关于我",
20
            "href": "/about"
21
          },
22
          {
23
            "name": "关于此项目",
24
            "href": "https://github.com/innei/Shiro",
25
            "external": true
26
          }
27
        ]
28
      },
29
      {
30
        "name": "更多",
31
        "links": [
32
          {
33
            "name": "时间线",
34
            "href": "/timeline"
35
          },
36
          {
37
            "name": "友链",
38
            "href": "/friends"
39
          },
40
          {
41
            "name": "监控",
42
            "href": "https://status.innei.in/status/main",
43
            "external": true
44
          }
45
        ]
46
      },
47
      {
48
        "name": "联系",
49
        "links": [
50
          {
51
            "name": "写留言",
52
            "href": "/message"
53
          },
54
          {
55
            "name": "发邮件",
56
            "href": "mailto:i@innei.ren",
57
            "external": true
58
          },
59
          {
60
            "name": "GitHub",
61
            "href": "https://github.com/innei",
62
            "external": true
63
          }
64
        ]
65
      }
66
    ]
67
  },
68
  "config": {
69
    "color": {
70
      "light": [
71
        "#33A6B8",
72
        "#FF6666",
73
        "#26A69A",
74
        "#fb7287",
75
        "#69a6cc",
76
        "#F11A7B",
77
        "#78C1F3",
78
        "#FF6666",
79
        "#7ACDF6"
80
      ],
81
      "dark": [
82
        "#F596AA",
83
        "#A0A7D4",
84
        "#ff7b7b",
85
        "#99D8CF",
86
        "#838BC6",
87
        "#FFE5AD",
88
        "#9BE8D8",
89
        "#A1CCD1",
90
        "#EAAEBA"
91
      ]
92
    },
93

94
    "bg": [
95
      "https://github.com/Innei/static/blob/master/images/F0q8mwwaIAEtird.jpeg?raw=true",
96
      "https://github.com/Innei/static/blob/master/images/IMG_2111.jpeg.webp.jpg?raw=true"
97
    ],
98
    "custom": {
99
      "css": [],
100
      "styles": [],
101
      "js": [],
102
      "scripts": []
103
    },
104
    "site": {
105
      "favicon": "/innei.svg",
106
      "faviconDark": "/innei-dark.svg"
107
    },
108
    "hero": {
109
      "title": {
110
        "template": [
111
          {
112
            "type": "h1",
113
            "text": "Hi, I'm ",
114
            "class": "font-light text-4xl"
115
          },
116
          {
117
            "type": "h1",
118
            "text": "Innei",
119
            "class": "font-medium mx-2 text-4xl"
120
          },
121
          {
122
            "type": "h1",
123
            "text": "👋。",
124
            "class": "font-light text-4xl"
125
          },
126
          {
127
            "type": "br"
128
          },
129
          {
130
            "type": "h1",
131
            "text": "A NodeJS Full Stack ",
132
            "class": "font-light text-4xl"
133
          },
134
          {
135
            "type": "code",
136
            "text": "<Developer />",
137
            "class": "font-medium mx-2 text-3xl rounded p-1 bg-gray-200 dark:bg-gray-800/0 hover:dark:bg-gray-800/100 bg-opacity-0 hover:bg-opacity-100 transition-background duration-200"
138
          },
139
          {
140
            "type": "span",
141
            "class": "inline-block w-[1px] h-8 -bottom-2 relative bg-gray-800/80 dark:bg-gray-200/80 opacity-0 group-hover:opacity-100 transition-opacity duration-200 group-hover:animation-blink"
142
          }
143
        ]
144
      },
145
      "description": "An independent developer coding with love."
146
    },
147
    "module": {
148
      "activity": {
149
        "enable": true,
150
        "endpoint": "/fn/ps/update"
151
      },
152
      "donate": {
153
        "enable": true,
154
        "link": "https://afdian.net/@Innei",
155
        "qrcode": [
156
          "https://cdn.jsdelivr.net/gh/Innei/img-bed@master/20191211132347.png",
157
          "https://cdn.innei.ren/bed/2023/0424213144.png"
158
        ]
159
      },
160
      "bilibili": {
161
        "liveId": 1434499
162
      }
163
    }
164
  }
165
}

展开收起

配置主题信息

提示：详细配置说明请参考官方文档：配置项。

2. 使用 Docker Compose 部署 Shiro#

创建并进入 shiro 目录：
Terminal window
```
1
mkdir shiro
2
cd shiro
```

下载相关文件：

Terminal window

1
wget https://raw.githubusercontent.com/Innei/Shiro/main/docker-compose.yml
2
wget https://raw.githubusercontent.com/Innei/Shiro/main/.env.template
3
mv .env.template .env

修改 .env 文件中的后台地址：
Terminal window
```
1
vim .env # 修改你的 ENV变量
```
env改为刚刚配置的后台接口

保存后启动服务：
Terminal window
```
1
docker compose up -d
2

3
# 或者
4
docker-compose up -d
```
后续更新镜像：
Terminal window
```
1
docker compose pull
```

3. Nginx Proxy Manager 反向代理 Shiro#

Shiro反向代理-1

Shiro反向代理-2

按照提示配置反向代理即可，如果服务都运行在同一台机器可以直接写内网 ip 地址。

最终访问主站点#

完成所有部署后，访问 https://zinzin.top 即可看到主站点：

主站点

大功告成！！

如果部署中还遇到其他问题可以参考社区：

社区分享

yono佬国内服务器部署补充

补充#

如国内服务器使用 Nginx Proxy Manager 自动申请一直网络错误失败，可在国内对应域名厂商手动申请证书后，根据证书后缀上传至 Nginx Proxy Manager 即可。

image-20250302191136537