2019 on Ricky

Bash 腳本如何建立臨時檔案：mktemp 與 trap 教學

Mon, 30 Dec 2019 14:31:45 +0800

Bash 腳本如何建立臨時檔案：mktemp 與 trap 教學

`mktemp` 命令

產生的臨時檔案名稱是隨機的，而且權限只有使用者本人可讀寫。
為了確保臨時檔案建立成功，mktemp 後面最好使用 OR 運算子（||），在建立失敗時退出腳本。
為了確保腳本退出時刪除臨時檔案，可以使用 trap 指定退出時的清理動作。

#!/bin/bash

trap 'rm -f "$TMPFILE"' EXIT

TMPFILE=$(mktemp) || exit 1
echo "Our temp file is $TMPFILE"

mktemp 參數

-d 參數可以建立臨時目錄。
-p 參數可以指定臨時檔案所在的目錄。預設使用 $TMPDIR 環境變數指定的目錄；若未設定，使用 /tmp。
-t 參數可以指定臨時檔案的檔名模板，模板末尾必須至少包含三個連續的 X 字元作為隨機字元，建議至少六個 X。預設的檔名模板為 tmp. 加上十個隨機字元。

`trap` 命令的用法

trap 命令用來在 Bash 腳本中響應系統訊號。

最常見的系統訊號是 SIGINT（中斷），也就是按下 Ctrl + C 產生的訊號。-l 參數可以列出所有系統訊號。

$ trap -l
 1) SIGHUP 2) SIGINT 3) SIGQUIT
 4) SIGILL 5) SIGTRAP 6) SIGABRT
 ... ...

trap 的命令格式如下：

GitHub Actions 入門教學

Mon, 23 Dec 2019 10:16:01 +0800

GitHub Actions 入門教學

Nginx 如何防禦 DDoS 攻擊？

Fri, 20 Dec 2019 09:42:50 +0800

ngx_http_limit_req_module

limit_req_zone $binary_remote_addr zone=mylimit:10m rate=10r/s;

Golang 服務的檔案句柄超出系統限制（too many open files）

Mon, 16 Dec 2019 10:14:33 +0800

Golang 服務的檔案句柄超出系統限制（too many open files）

查看系統設定：ulimit -a | grep open，系統設定正常。
查看服務的開啟檔案限制：cat /proc/40636/limits，服務沒有繼承系統設定，仍是預設的 1024 限制。
查看服務開啟檔案數（連線數）：lsof -p 40636 | wc -l，已超過限制，因此報錯。
查看開啟了哪些連線：lsof -p 40636 > openfiles.log，發現很多 HTTP 連線未關閉，IP 是告警服務的介面。沿著線索找到原因：程式解析設定時出錯，對告警服務大量連線後未關閉，導致 too many open files。至於為何服務未繼承系統最大限制，還需進一步查看。
最終原因：服務由 supervisor 管理，supervisor 預設 minfds 為 1024。於設定中加入 minfds=81920，並重啟 supervisorctl reload。

Trellis Ansible 錯誤的解譯器

Fri, 06 Dec 2019 22:34:31 +0800

Trellis Ansible Bad Interpreter Error

Bad Interpreter Error

使用 Ansible 時遇到錯誤的解譯器問題。找不到 Python 2.7：

zsh: /usr/local/bin/ansible-vault: bad interpreter: /usr/local/opt/python@2/bin/python2.7: no such file or directory

這是正常的，因為我們檢查 /usr/local/opt 後只看到 Python 3。

安裝 Python 2

brew install python@2

Python 嚴重崩潰

接著在檢查 Ansible 版本時又出現錯誤：

➜ trellis git:(master) ansible --version
[1] 19153 abort ansible --version

它在 Python 2.7 上崩潰了，但理論上應該可以正常執行。我決定升級 Ansible。

sudo pip install ansible --upgrade
.....
Requirement already satisfied, skipping upgrade: six>=1.4.1 in /usr/local/lib/python2.7/site-packages (from cryptography->ansible) (1.11.0)
 Requirement already satisfied, skipping upgrade: pycparser in /usr/local/lib/python2.7/site-packages (from cffi>=1.7; platform_python_implementation != "PyPy"->cryptography->ansible) (2.18)
 Installing collected packages: ansible
 Found existing installation: ansible 2.7.5
 Uninstalling ansible-2.7.5:
 Successfully uninstalled ansible-2.7.5
 Successfully installed ansible-2.9.1

Still I had the Python error and iTerm was showing a MacOS popup that Python was crashing unexpectedly:

Python quit unexpectedly.
Click Reopen to open the application again. Click Report to see more detailed information and send a report to Apple.
Application Specific Information:
 /usr/lib/libcrypto.dylib
 abort() called
 Invalid dylib load. Clients should not load the unversioned libcrypto dylib as it does not have a stable ABI.

Invalid DyLib

找到 https://stackoverflow.com/questions/58272830/python-crashing-on-macos-10-15-beta-19a582a-with-usr-lib-libcrypto-dylib 這篇，知道是動態函式庫載入錯誤，於是決定安裝 openssl。

用 iptables 和 ip rule 做負載均衡

Wed, 04 Dec 2019 11:08:04 +0800

用 iptables 和 ip rule 做負載均衡

操作

這裡以一台透過有線 + 無線出口連線到網際網路的 Arch Linux 裝置為例。共有兩個出口，分別使用網卡 eth0 和 eth1。大致對應關係如下：

標記 10 (0xa) - 路由表 #110 - 使用 eth0 出口
標記 11 (0xb) - 路由表 #111 - 使用 eth1 出口

我們會根據封包上的標記值判斷它應該走哪個出口。首先，使用 ip rule 為每個標記值指定一張路由表。

通常預設路由表的權重是 32768。為了讓我們的路由表生效，需要將權重調高一些（例如 31000）。

# 讓帶標記 10 (0xa) 的封包使用 110 號路由表，權重 31000
ip rule add fwmark 10 table 110 prio 31000
# 讓帶標記 11 (0xb) 的封包使用 111 號路由表，權重 31000
ip rule add fwmark 11 table 111 prio 31000
# 如果你的連線更多，可以繼續新增標記 <-> 路由表的對應關係

# #110 路由表的路由
ip route add 10.20.0.0/24 dev eth0 table 110
ip route add default via 10.20.0.254 table 110
# #111 路由表的路由
ip route add 10.25.0.0/24 dev eth1 table 111
ip route add default via 10.25.0.254 table 111


# 如果這條連線已經被標記，將標記設定到封包上
iptables -t mangle -A OUTPUT -j CONNMARK --restore-mark
# 如果封包已經有標記，直接放行
iptables -t mangle -A OUTPUT -m mark ! --mark 0 -j ACCEPT
# 如果封包沒有被標記
# 把封包標記為 10 (0xa)
iptables -t mangle -A OUTPUT -j MARK --set-mark 10
# 每 2 個封包就把一個封包標記為 11 (0xb)
iptables -t mangle -A OUTPUT -m statistic --mode nth --every 2 --packet 0 -j MARK --set-mark 11

# 如果你有三條出口，這裡可以類似於
# iptables -t mangle -A OUTPUT -j MARK --set-mark 10
# iptables -t mangle -A OUTPUT -m statistic --mode nth --every 3 --packet 0 -j MARK --set-mark 11
# iptables -t mangle -A OUTPUT -m statistic --mode nth --every 3 --packet 1 -j MARK --set-mark 12

# 把封包的標記儲存到整條連線上，讓整個連線使用同一個出口
iptables -t mangle -A OUTPUT -j CONNMARK --save-mark

# 讓封包的出口與我們選擇的一致
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

之後可以用 iptables -L OUTPUT -t mangle 看一下規則是否正確，再用 Wireshark 驗證連線是否真的分流。

htop 說明

Thu, 14 Nov 2019 10:05:35 +0800

htop explained

Jenkinsfile 範例

Wed, 06 Nov 2019 17:29:46 +0800

Some Jenkinsfile examples

並行

#!/usr/bin/env groovy
pipeline {
agent any
stages {
stage("Build") {
steps {
sh 'mvn -v'
}
}
stage("Testing") {
parallel {
stage("Unit Tests") {
agent { docker 'openjdk:7-jdk-alpine' }
steps {
sh 'java -version'
}
}
stage("Functional Tests") {
agent { docker 'openjdk:8-jdk-alpine' }
steps {
sh 'java -version'
}
}
stage("Integration Tests") {
steps {
sh 'java -version'
}
}
}
}
stage("Deploy") {
steps {
echo "Deploy!"
}
}
}
}

When

#!/usr/bin/env groovy
pipeline {
agent any
environment {
VALUE_ONE = '1'
VALUE_TWO = '2'
VALUE_THREE = '3'
}
stages {
// skip a stage while creating the pipeline
stage("A stage to be skipped") {
when {
expression { false } //skip this stage
}
steps {
echo 'This step will never be run'
}
}
// Execute when branch = 'master'
stage("BASIC WHEN - Branch") {
when {
branch 'master'
}
steps {
echo 'BASIC WHEN - Master Branch!'
}
}
// Expression based when example with AND
stage('WHEN EXPRESSION with AND') {
when {
expression {
VALUE_ONE == '1' && VALUE_THREE == '3'
}
}
steps {
echo 'WHEN with AND expression works!'
}
}
// Expression based when example
stage('WHEN EXPRESSION with OR') {
when {
expression {
VALUE_ONE == '1' || VALUE_THREE == '2'
}
}
steps {
echo 'WHEN with OR expression works!'
}
}
// When - AllOf Example
stage("AllOf") {
when {
allOf {
environment name:'VALUE_ONE', value: '1'
environment name:'VALUE_TWO', value: '2'
}
}
steps {
echo "AllOf Works!!"
}
}
// When - Not AnyOf Example
stage("Not AnyOf") {
when {
not {
anyOf {
branch "development"
environment name:'VALUE_TWO', value: '4'
}
}
}
steps {
echo "Not AnyOf - Works!"
}
}
}
}

Jinja docx 樣板：在巢狀 for 中避免換行

Tue, 29 Oct 2019 10:17:35 +0800

Jinja docx 樣板：在巢狀 for 中避免換行

What the f*ck Python! 🐍 中文版

Fri, 11 Oct 2019 14:32:20 +0800

What the f*ck Python! 🐍

再戰營運商快取：使用 iptables 對付快取劫持

Mon, 07 Oct 2019 10:41:08 +0800

再戰營運商快取：使用 iptables 對付快取劫持

起因

與移動的快取問題進行鬥爭要追溯到兩年前，那時因為移動竟然連 cnpm 的資料都進行快取。更離譜的是：移動的快取伺服器不但速度慢到堪比萬年王八跑馬拉松，還經常當機，導致我只想安安靜靜寫程式卻不得不面對一片鮮紅的報錯。

解決

iptables -I FORWARD -p tcp -m tcp -m ttl --ttl-gt 20 -m ttl --ttl-lt 30 -j DROP

考慮到可能還真的有其他伺服器送來的正常封包 TTL 也在 20-30 的區間，應該再加一層判斷。對比移動的 302 劫持封包和正常的 302 跳轉封包後，發現移動的劫持封包狀態位包含 FIN、PSH、ACK，而正常的 302 跳轉封包通常不會這三個都有。

因此在 iptables 規則中加入是否包含 FIN、PSH、ACK 的判斷：

iptables -I FORWARD -p tcp -m tcp -m ttl --ttl-gt 20 -m ttl --ttl-lt 30 --tcp-flags ALL FIN,PSH,ACK -j DROP

這樣應能在丟棄劫持封包的同時，盡可能降低誤傷正常封包的可能性。

使用 Nginx 和 mod_pagespeed 自動將圖片轉換為 WebP 並輸出

Mon, 07 Oct 2019 10:35:22 +0800

使用 Nginx 和 mod_pagespeed 自動將圖片轉換為 WebP 並輸出

編譯 ngx_pagespeed

首先確保 Nginx 有 --with-compat 編譯參數，這樣就不需要按照一些奇怪的教學讓大家從頭開始編譯 Nginx

incubator: https://github.com/apache/incubator-pagespeed-ngx.git

# 切換到 nginx 原始碼目錄下開始設定編譯環境
./configure --with-compat --add-dynamic-module=../incubator-pagespeed-ngx

# 編譯 modules
make modules

# 將編譯好的 module 放到 nginx 目錄下
sudo cp objs/ngx_pagespeed.so /etc/nginx/modules/

# 建立快取資料夾以存放自動轉換的圖片
sudo mkdir -p /var/ngx_pagespeed_cache
sudo chown -R www-data:www-data /var/ngx_pagespeed_cache

load_module modules/ngx_pagespeed.so;


# enable pagespeed module on this server block
pagespeed on;

# Needs to exist and be writable by nginx. Use tmpfs for best performance.
pagespeed FileCachePath /var/ngx_pagespeed_cache;

# Ensure requests for pagespeed optimized resources go to the pagespeed handler
# and no extraneous headers get set.
location ~ "\.pagespeed\.([a-z]\.)?[a-z]{2}\.[^.]{10}\.[^.]+" {
 add_header "" "";
}
location ~ "^/pagespeed_static/" { }
location ~ "^/ngx_pagespeed_beacon$" { }

pagespeed RewriteLevel CoreFilters;

其中最後一段（pagespeed RewriteLevel CoreFilters;）表示啟用的最佳化方式，包含一些基礎的最佳化，例如：

是否有正規表示式可以檢測有效的正規表示式？

Fri, 04 Oct 2019 14:44:38 +0800

是否有正規表示式可以檢測有效的正規表示式？

這是一個遞迴正則，許多正則引擎不支援。基於 PCRE 的引擎應該支援。

/
^ # start of string
( # first group start
(?:
(?:[^?+*{}()[\]\\|]+ # literals and ^, $
| \\. # escaped characters
| \[ (?: \^?\\. | \^[^\\] | [^\\^] ) # character classes
(?: [^\]\\]+ | \\. )* \]
| \( (?:\?[:=!]|\?<[=!]|\?>)? (?1)?? \) # parenthesis, with recursive content
| \(\? (?:R|[+-]?\d+) \) # recursive matching
)
(?: (?:[?+*]|\{\d+(?:,\d*)?\}) [?+]? )? # quantifiers
| \| # alternative
)* # repeat content
) # end first group
$ # end of string
/

移除空白與註解後

用 Nginx 強制檔案下載

Mon, 19 Aug 2019 12:12:32 +0800

用 Nginx 強制檔案下載

add_header Content-Disposition 'attachment;';

server {
 listen 80;
 server_name my.domain.com;
 location ~ ^.*/(?P<request_basename>[^/]+\.(mp3))$ {
 root /path/to/mp3/
 add_header Content-Disposition 'attachment; filename="$request_basename"';
 }
}

{
 listen 80;
 server_name backup.baifu-tech.net;
 root /data/backup/rechargecent-mago;
 location / {
 auth_basic "baifu backup center";
 auth_basic_user_file /etc/nginx/ssl/htpasswd;
 autoindex on;
 autoindex_exact_size off;
 autoindex_localtime on;
 }
}

Shell 腳本學習筆記

Wed, 07 Aug 2019 15:14:08 +0800

Shell 腳本學習筆記

執行算術運算

val=`expr $a + $b`

運算符

符號	說明	示例
!	非運算	[ ! false ]
-o	或運算	[ $a -lt 20 -o $b -gt 20 ]
-a	與運算	[ $a -lt 20 -a $b -gt 20 ]
=	相等檢測	[ $a = $b ]
!=	不相等檢測	[ $a != $b ]
-z	字串長度是否為 0，為 0 則回傳 true	[ -z $a ]
-n	字串長度不為 0，不為 0 回傳 true	[ -n $a ]
str	檢測字串是否為空，不為空回傳 true	[ $a ]
-b	檢測檔案是否是區塊裝置檔	[ -b $file ]
-c	檢測檔案是否是字元裝置	..
-d	檢測檔案是否為目錄	[ -d $file ]
-f	檢測檔案是否為一般檔案	[ -f $file ]
-r	檢測檔案是否可讀	..
-w	檢測檔案是否可寫	..
-x	檢測檔案是否可執行	..
-s	檢測檔案是否為空	..
-e	檢測檔案是否存在	..

特殊變數

變數	含義
$0	目前腳本的檔名
$n	傳遞給腳本或函式的參數，n 表示第幾個參數
$#	傳遞給腳本或函式的參數個數
$*	傳遞給腳本或函式的所有參數，所有參數視為一個詞，例如 “1 2 3”
$@	傳遞給腳本或函式的所有參數，每個參數視為一個詞，用雙引號包含，例如 “1” “2” “3”
$?	上個命令的退出狀態，或函式的回傳值
$$	目前 Shell 行程 ID；對 Shell 腳本而言，就是該腳本所在的行程 ID

POSIX 程式退出狀態

狀態碼	含義
0	命令成功退出
> 0	在重導向或單詞展開期間（~、變數、命令、算術展開以及單詞切割）失敗
1 - 125	命令不成功退出，各命令自行定義特定退出值含義
126	命令找到但檔案無法執行
127	命令未找到
> 128	命令因收到信號而終止

輸入輸出重導向

命令	說明
command > file	將輸出重導向到 file
command > file	將輸出以追加的方式重導向到 file
n > file	將檔案描述符為 n 的檔案重導向到 file
n » file	將檔案描述符為 n 的檔案以追加的方式重導向到 file
n >& m	將輸出檔案 m 和 n 合併
n <& m	將輸入檔案 m 和 n 合併
« tag	將開始標記 tag 和結束標記 tag 之間的內容作為輸入

檔案包含

使用 . 或 source 包含檔案

`sentry.lang.javascript.processor: SoftTimeLimitExceeded()` 大量錯誤

Thu, 25 Jul 2019 14:25:56 +0800

`sentry.lang.javascript.processor: SoftTimeLimitExceeded()` 大量錯誤

mattrobenolt:

我正打算提出這個。:) 很不幸，這個功能就是如此運作。如果它沒有用且只是浪費資源，可以很容易地全域關閉：在 sentry.conf.py 設定 SENTRY_SCRAPE_JAVASCRIPT_CONTEXT = False，或在 UI 內針對專案關閉。

除此之外，沒有太多能做的，因為這個功能本質上是按設計運作。

Counters-0 佇列持續上升

matt:

你需要更多 worker 來處理這個佇列的負載。

你也可以讓 worker 專門處理特定佇列，例如使用 sentry run worker -Q counters-0。

Python Telegram Bot

Thu, 11 Jul 2019 14:03:25 +0800

Linux 磁碟空間未釋放的解決方法

Wed, 10 Jul 2019 09:57:33 +0800

Linux 磁碟空間未釋放的解決方法

使用 `df -ah` 命令 `du -h --max-depth=1`

du 的總和遠小於 df 得到的總量。

程式使用的檔案資源被刪除後，程式仍在執行，導致檔案未真正刪除，無法釋放磁碟空間，也無法被統計到。

lsof |grep delete

Sentry 原始碼開發筆記

Wed, 03 Jul 2019 11:53:15 +0800

openresty+redis 攔截高頻訪問 IP

Thu, 27 Jun 2019 11:18:46 +0800

openresty+redis 攔截高頻訪問 IP

init_by_lua_block {
 redis = require "redis"
 client = redis.connect('127.0.0.1', 6379)
}
server {
 listen 8080;
 location / {
 access_by_lua_file /usr/local/nginx/conf/lua/block.lua;
 proxy_pass http://192.168.1.102:8000;
 }
}

-- Redis-based IP rate limiting / blocking for OpenResty (ngx_lua)

-- NOTE:
-- This script assumes a global `client` variable is used/stored.
-- Make sure `redis` module is available and `client` is initialized somewhere.

local function isConnected()
 return client:ping()
end

local function createRedisConnection()
 return redis.connect("127.0.0.1", 6379)
end

-- 如果發生 redis 連線失敗，將停止攔截（直接放行）
if pcall(isConnected) then
 -- already connected (or ping succeeded)
else
 -- not connected; try reconnect
 if pcall(createRedisConnection) then
 -- 斷開重連：會導致每次訪問都需要重連 redis
 -- 訪問量大時建議：關閉重連邏輯（pcall 不執行），直接 ngx.exit 放行/終止
 client = createRedisConnection()
 else
 ngx.exit(ngx.OK)
 end
end

local ttl = 60 -- 監測週期（秒）
local bktimes = 30 -- 在監測週期內達到觸發攔截的訪問量
local block_ttl = 600 -- 觸發攔截後攔截時間（秒）

local ip = ngx.var.remote_addr
local ipvtimes = client:get(ip)

if ipvtimes then
 if ipvtimes == "-1" then
 -- blocked
 return ngx.exit(403)
 else
 local last_ttl = client:ttl(ip)
 -- ngx.say("key exist.ttl is ", last_ttl)

 if last_ttl == -1 then
 client:set(ip, 0)
 client:expire(ip, ttl)
 -- ngx.say("ttl & vtimes recount")
 return ngx.exit(ngx.OK)
 end

 local vtimes = tonumber(client:get(ip)) + 1

 if vtimes < bktimes then
 client:set(ip, vtimes)
 client:expire(ip, last_ttl)
 -- ngx.say(ip, " view ", vtimes, " times")
 return ngx.exit(ngx.OK)
 else
 -- ngx.say(ip, " will be block next time.")
 client:set(ip, -1)
 client:expire(ip, block_ttl)
 return ngx.exit(ngx.OK)
 end
 end
else
 -- key does not exist
 client:set(ip, 1)
 -- ngx.say(ip, " view 1 times")
 client:expire(ip, ttl)
 return ngx.exit(ngx.OK)
end

[Terraform] 入門學習筆記

Wed, 26 Jun 2019 17:22:52 +0800

[Terraform] 入門學習筆記

設定 Haproxy 以防止 DDOS 攻擊

Mon, 17 Jun 2019 11:07:13 +0800

設定 Haproxy 以防止 DDOS 攻擊

TCP syn flood attacks

vi /etc/sysctl.conf

# Protection from SYN flood
net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.tcp_max_syn_backlog = 1024

Slowloris like attacks

defaults
option http-server-close
timeout http-request 5s
timeout connect 5s
timeout client 30s
timeout server 10s
timeout tunnel 1h

限制每一個 user 的連線數量

普通用戶瀏覽網站的網頁，或是從網站下載東西時，瀏覽器一般會建立 5-7 個 TCP 鏈接。當一個惡意 client 打開了大量 TCP 連線時，耗費大量資源，因此我們必須要限制同一個用戶的連線數量。

但如果有很多使用者，是從某一個私有網段，透過 NAT 的方式連線到 Server 時，且實際上我們也不知道，到底哪一個會是 NAT 的轉址後的 IP，不知道該將哪個 IP 設定為白名單，這樣的限制就會造成問題，因此我們認為實際的環境，這樣的設定應該要保留不處理。

以下是一個設定的範例，最重要的地方是在 frontend ft_web 區塊的設定。

global
stats socket ./haproxy.stats level admin
defaults
option http-server-close
mode http
timeout http-request 5s
timeout connect 5s
timeout server 10s
timeout client 30s
listen stats
bind 0.0.0.0:8880
stats enable
stats hide-version
stats uri /
stats realm HAProxy Statistics
stats auth admin:admin
frontend ft_web
bind 0.0.0.0:8080
# Table definition
stick-table type ip size 100k expire 30s store conn_cur
# Allow clean known IPs to bypass the filter
tcp-request connection accept if { src -f /etc/haproxy/whitelist.lst }
# Shut the new connection as long as the client has already 10 opened
tcp-request connection reject if { src_conn_cur ge 10 }
tcp-request connection track-sc1 src
# Split static and dynamic traffic since these requests have different impacts on the servers
use_backend bk_web_static if { path_end .jpg .png .gif .css .js }
default_backend bk_web
# Dynamic part of the application
backend bk_web
balance roundrobin
cookie MYSRV insert indirect nocache
server srv1 192.168.1.2:80 check cookie srv1 maxconn 100
server srv2 192.168.1.3:80 check cookie srv2 maxconn 100
# Static objects
backend bk_web_static
balance roundrobin
server srv1 192.168.1.2:80 check maxconn 1000
server srv2 192.168.1.3:80 check maxconn 1000

限制每個 user 產生新連線的速率 Limiting the connection rate per user

惡意的使用者會在短時間內建立很多連線，但如果產生新連線的速度太高，就會消耗掉過多的資源服務一個使用者。

白話 Kubernetes Runtime

Thu, 13 Jun 2019 11:28:26 +0800

白話 Kubernetes Runtime

Nginx 請求處理流程你了解嗎？

Thu, 07 Mar 2019 14:05:55 +0800

Nginx 請求處理流程你了解嗎？

11 個處理階段

1）NGX_HTTP_POST_READ_PHASE：

接收到完整的 HTTP 標頭後處理的階段，位於 URI 重寫之前。實際上很少有模組會註冊在該階段，預設情況下會被跳過。

2）NGX_HTTP_SERVER_REWRITE_PHASE：

在 URI 與 location 匹配前修改 URI 的階段，用於重新導向。該階段執行 server 區塊內、location 區塊外的重寫指令。在讀取請求標頭的過程中，nginx 會根據 host 及埠號找到對應的虛擬主機設定。

3）NGX_HTTP_FIND_CONFIG_PHASE：

根據 URI 尋找匹配的 location 設定項階段，使用重寫後的 URI 來查找對應的 location。需要注意的是該階段可能會被執行多次，因為也可能有 location 級別的重寫指令。

4）NGX_HTTP_REWRITE_PHASE：

上一階段找到 location 後再次修改 URI，屬於 location 級別的 URI 重寫階段，也可能會被執行多次。

5）NGX_HTTP_POST_REWRITE_PHASE：

防止重寫 URL 後導致的死循環，屬於 location 重寫的下一階段，用來檢查上階段是否有 URI 重寫，並根據結果跳轉到合適的階段。

6）NGX_HTTP_PREACCESS_PHASE：

下一階段之前的準備，屬於存取權限控制的前一階段。一般也用於存取控制，例如限制存取頻率、連線數等。

7）NGX_HTTP_ACCESS_PHASE：

讓 HTTP 模組判斷是否允許請求進入 Nginx 伺服器的存取控制階段，例如基於 IP 白名單/黑名單、使用者名稱密碼等的權限控制。

8）NGX_HTTP_POST_ACCESS_PHASE：

存取控制的後一階段，根據上一階段的執行結果進行處理，向使用者送出拒絕服務的錯誤碼，用來回應上一階段的拒絕。

9）NGX_HTTP_TRY_FILES_PHASE：

為存取靜態檔案資源而設置，try_files 指令的處理階段。如果沒有設定 try_files 指令，該階段會被跳過。

10）NGX_HTTP_CONTENT_PHASE：

2019 on Ricky

Bash 腳本如何建立臨時檔案：mktemp 與 trap 教學

mktemp 命令

mktemp 參數

trap 命令的用法

GitHub Actions 入門教學

Nginx 如何防禦 DDoS 攻擊？

ngx_http_limit_req_module

Golang 服務的檔案句柄超出系統限制（too many open files）

Trellis Ansible 錯誤的解譯器

Bad Interpreter Error

安裝 Python 2

Python 嚴重崩潰

Invalid DyLib

用 iptables 和 ip rule 做負載均衡

操作

htop 說明

Jenkinsfile 範例

並行

When

Jinja docx 樣板：在巢狀 for 中避免換行

What the f*ck Python! 🐍 中文版

再戰營運商快取：使用 iptables 對付快取劫持

起因

解決

使用 Nginx 和 mod_pagespeed 自動將圖片轉換為 WebP 並輸出

編譯 ngx_pagespeed

是否有正規表示式可以檢測有效的正規表示式？

用 Nginx 強制檔案下載

Shell 腳本學習筆記

執行算術運算

運算符

特殊變數

POSIX 程式退出狀態

輸入輸出重導向

檔案包含

`sentry.lang.javascript.processor: SoftTimeLimitExceeded()` 大量錯誤

sentry.lang.javascript.processor: SoftTimeLimitExceeded() 大量錯誤

Counters-0 佇列持續上升

Python Telegram Bot

Linux 磁碟空間未釋放的解決方法

使用 df -ah 命令 du -h --max-depth=1

Sentry 原始碼開發筆記

openresty+redis 攔截高頻訪問 IP

[Terraform] 入門學習筆記

設定 Haproxy 以防止 DDOS 攻擊

TCP syn flood attacks

Slowloris like attacks

限制每一個 user 的連線數量

限制每個 user 產生新連線的速率 Limiting the connection rate per user

白話 Kubernetes Runtime

Nginx 請求處理流程你了解嗎？

11 個處理階段

`mktemp` 命令

`trap` 命令的用法

`sentry.lang.javascript.processor: SoftTimeLimitExceeded()` 大量錯誤

使用 `df -ah` 命令 `du -h --max-depth=1`