# 系统与负载
uname -a && uptime && nproc

# 内存与 Swap
free -h && swapon --show

# 磁盘与 inode（inode 爆满也会导致无法写文件）
df -hT -x tmpfs -x devtmpfs
df -i -x tmpfs -x devtmpfs

# 压力指标（PSI）：比 load 更直观
cat /proc/pressure/cpu /proc/pressure/memory /proc/pressure/io

# 服务健康
systemctl --failed

# 资源占用 Top
ps -eo pid,user,%cpu,%mem,etime,cmd --sort=-%mem | head

# 创建 4G Swap 文件
sudo fallocate -l 4G /swapfile
sudo chmod 600 /swapfile
sudo chown root:root /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile

# 写入 fstab 实现开机自动挂载
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab
sudo systemctl daemon-reload

# 降低交换倾向（服务器通常建议 10）
echo 'vm.swappiness=10' | sudo tee /etc/sysctl.d/99-swappiness.conf
sudo sysctl --system

echo "运行: $(uname -r)"
ls /boot/vmlinuz-*   # 已安装的内核

systemctl is-enabled deepseek-harness nginx mysqld docker
docker inspect <容器> --format '{{.Name}} -> {{.HostConfig.RestartPolicy.Name}}'

sudo systemd-run --on-active=30 --unit=my-reboot /sbin/reboot

http://127.0.0.1:<PORT>/?token=<每次都不一样>

const created = encodeBase64Url(randomBytes(32));   // 每次进程启动随机生成

set-cookie: <auth-cookie>=v1.<payload>.<HMAC-SHA256>;
            Max-Age=2592000; Path=/; Expires=<30 天后>; HttpOnly; SameSite=Strict

第一次用带 token 的链接访问
   ↓ 校验启动令牌通过（一次性）
   ↓ 303 跳转，token 从地址栏消失
   ↓ 下发 30 天有效、持久密钥签名的 Cookie
浏览器存下 Cookie → 此后所有访问都靠 Cookie
   ↓
重启后启动令牌换了（旧 URL token 失效）
但签名密钥没变 → Cookie 依然有效 → 你依然在登录状态

用户 ──→ CDN 边缘节点（吸收/拦截攻击） ──回源──→ 源站:443 ──→ Nginx
                  ↑ 攻击在这里被挡掉            ↑ 但这台机器仍在公网监听

用户 ──→ CDN 边缘 ──→ 隧道（服务器主动拨出的长连接）──→ 127.0.0.1:<内部端口>
                              ↑ 服务器不开任何入站端口

curl --resolve your-domain.com:443:203.0.113.10 https://your-domain.com/

# 查看 Docker 的 DNAT 规则（注意 -d 和目标端口的转换）
sudo iptables -t nat -S DOCKER
# -A DOCKER ! -i br-xxxx -p tcp --dport 13306 -j DNAT --to-destination 172.x.x.x:3306

# docker-compose.yml
ports:
  - "127.0.0.1:13306:3306"    # 而不是 "13306:3306"

# 1. 备份配置
cp .env .env.bak-$(date +%Y%m%d%H%M%S)

# 2. 改前记录数据库清单（用于改后比对）
docker exec <容器> mysql -uroot -p"$PW" -N -e "show databases;" | sort

# 3. 修改并重建
sed -i 's|^HOST_IP=0\.0\.0\.0$|HOST_IP=127.0.0.1|' .env
docker compose up -d

# 4. 改后比对数据 + 验证监听地址 + 从外部复测
docker port <容器>          # 应显示 127.0.0.1:13306

sudo ufw status                    # 防火墙允许了什么
sudo ss -tlnp                      # 进程实际监听了什么
nc -zv <公网IP> <端口>             # 外部实际能不能连上

server {
    listen 80;
    listen 443 ssl;
    server_name example.com;

    ssl_certificate     /path/to/cert/fullchain.pem;
    ssl_certificate_key /path/to/cert/privkey.pem;

    # ACME HTTP-01 校验目录 —— 必须保留！
    location ^~ /.well-known/acme-challenge/ {
        root /path/to/webroot;
        default_type text/plain;
        allow all;
    }

    # 根域名统一跳转（$request_uri 保留路径与查询参数）
    location / {
        return 301 https://www.example.com$request_uri;
    }
}

# docker-compose.yml
command:
  - --halo.external-url=https://www.example.com/

① 看日志         → 无任何 externalUrl 相关记录
② 看主题文件     → 无硬编码域名
③ 看磁盘缓存     → 无 sitemap/rss 缓存文件
④ 全文 grep 数据库 → 竟然也搜不到旧域名 ❌

CREATE TABLE extensions (
  name    varchar(255) PRIMARY KEY,
  data    bytea,          -- ← 二进制！
  version bigint
);

-- 用 escape 编码解码后搜索
select name from extensions where encode(data,'escape') like '%example%';

/registry/configmaps/system
  └─ data
       ├─ authProvider
       ├─ basic  → { title, language, externalUrl: "https://example.com/" }   ← 就是这里
       └─ theme

-- ❌ 报错：function replace(bytea, bytea, bytea) does not exist
update extensions set data = replace(data, convert_to('old','UTF8'), convert_to('new','UTF8'))
where name = '/registry/configmaps/system';

-- ✅ 先转 text，替换，再转回 bytea
update extensions
set data = convert_to(
      replace(convert_from(data,'UTF8'), 'https://example.com/', 'https://www.example.com/'),
      'UTF8')
where name = '/registry/configmaps/system';

# 1. 备份原始二进制数据（base64 便于保存）
docker exec <db> psql -U <user> -d <db> -t -A \
  -c "select encode(data,'base64') from extensions where name='/registry/configmaps/system';" \
  > configmap-backup.b64

# 2. 停服务（防止回写）
docker compose stop <service>

# 3. 改库
# 4. 校验 JSON 合法性（别把配置改坏）
# 5. 启动服务
docker compose up -d

# 6. 验证：站点地图 / RSS 里的链接是否已更新

/www/server/panel/vhost/ssl_saved/a1b2c3d4e5f60718293a4b5c6d7e8f90/

md5sum fullchain.pem
# a1b2c3d4e5f60718293a4b5c6d7e8f90  ← 与目录名完全一致

#!/bin/bash
# 从数据库动态解析当前证书路径，内容有变化就同步并 reload
DB="/path/to/ssl_data.db"
DEST_ROOT="/www/server/panel/vhost/cert"

for domain in example.com; do
    dest="$DEST_ROOT/$domain"
    src=$(sqlite3 "$DB" "select path from ssl_info where subject='$domain' order by id desc limit 1;")
    [ -f "$src/fullchain.pem" ] || continue
    # 内容相同就跳过
    cmp -s "$src/fullchain.pem" "$dest/fullchain.pem" && continue
    cp -f "$src/fullchain.pem" "$src/privkey.pem" "$dest/"
    chmod 600 "$dest"/*.pem
    changed=1
done

[ "$changed" = "1" ] && nginx -t && nginx -s reload

# ── 巡检 ──────────────────────────────
uptime && free -h && df -hT && df -i
cat /proc/pressure/cpu
systemctl --failed
ps -eo pid,user,%cpu,%mem,cmd --sort=-%mem | head

# ── Swap ─────────────────────────────
fallocate -l 4G /swapfile && chmod 600 /swapfile && mkswap /swapfile && swapon /swapfile
echo '/swapfile none swap sw 0 0' >> /etc/fstab
sysctl -w vm.swappiness=10

# ── 重启 ─────────────────────────────
systemd-run --on-active=30 --unit=my-reboot /sbin/reboot
systemctl list-timers my-reboot*

# ── 端口暴露面 ────────────────────────
ufw status && ss -tlnp && nc -zv <IP> <PORT>
iptables -t nat -S DOCKER        # 看 Docker 是否绕过了 ufw

# ── Nginx ────────────────────────────
nginx -t && nginx -s reload
nginx -T | grep -A5 <关键词>      # 导出实际加载的配置

# ── Docker ───────────────────────────
docker inspect <容器> --format '{{.HostConfig.RestartPolicy.Name}}'
docker inspect <容器> --format '{{index .Config.Labels "com.docker.compose.project.config_files"}}'

# ── 证书 ─────────────────────────────
openssl x509 -noout -subject -dates -in fullchain.pem
diff <(openssl x509 -noout -modulus -in fullchain.pem) \
     <(openssl rsa  -noout -modulus -in privkey.pem)    # 校验证书与私钥是否匹配