运维相关技术文章（第7页）

php mysql shell go vue css api接口对接支付接口对接

MySQL 8.4/9.7 备份恢复：物理备份别指望跨大版本，工具版本要逐版本对齐

MySQL 8.4/9.7 备份恢复：物理备份别指望跨大版本，工具版本要逐版本对齐
2026-09-25 21:05:23
MySQL 8.4/9.7 备份恢复的兼容性坑：物理备份不能跨大版本恢复，mysqlbackup 与 XtraBackup 版本必须与实例大版本逐版本对齐，备份账号要用 caching_sha2_password 且需 BACKUP_ADMIN，apply-log 准备阶段不能跳。文末给出可复制的落地检查项与每月恢复演练步骤。
MySQL 备份恢复 XtraBackup 运维 PITR

nginx 因 1 秒 DNS 空窗拒绝启动：整机站点宕机 3 小时复盘

nginx 因 1 秒 DNS 空窗拒绝启动：整机站点宕机 3 小时复盘
2026-09-25 21:01:41
一次 unattended-upgrades 升级 systemd 触发 needrestart 批量重启，BIND 与 nginx 竞速差 1 秒：nginx 解析不到上游域名直接 emerg 拒绝启动，全站宕机 3 小时。文中给出 journalctl 定位时间线、After=nss-lookup.target 为何失效、systemd Restart= 自愈配置，以及 proxy_pass 变量化后前缀替换失效的坑与 rewrite break 正解。
nginx systemd 故障排查 DNS 运维反代

Certimate：自托管 ACME 证书工具，从签发到部署的自动化流程与 70+ DNS 服务商、160+ 部署目标

Certimate：自托管 ACME 证书工具，从签发到部署的自动化流程与 70+ DNS 服务商、160+ 部署目标
2026-09-25 20:03:15
Certimate 是 Go 写的开源自托管 SSL 证书 ACME 工具，把申请、部署、续期、监控做成可视化工作流。支持单/多/泛域名与 IP 证书、RSA/ECC、DNS-01 与 HTTP-01、PEM/PFX/JKS，覆盖 70+ DNS 注册商与 160+ 部署目标，可对接 Let's Encrypt 等多家 ACME CA。本文给出二进制与 Docker 两种部署命令、8090 端口、默认管理员凭据风险提醒与数据落盘路径。
SSL证书 ACME 自托管 Docker Go 运维飞书

systemd v262 升级前检查：Type=notify-reload 会启动失败，networkd 的 IPv6ProxyNDPAddress= 已改名

systemd v262 升级前检查：Type=notify-reload 会启动失败，networkd 的 IPv6ProxyNDPAddress= 已改名
2026-09-25 20:02:05
systemd v262（2026-09-22）按官方 release notes 整理升级前必查项：Type=notify-reload 未处理 ReloadSignal= 会启动失败、UnsetEnvironment= 应用顺序变了、StartLimitIntervalSec= 改用 CLOCK_BOOTTIME、IPv6ProxyNDPAddress= 改名 ProxyNeighbor=、udev 旧 socket 与 TPM 凭据 SRK 绑定等；同时给出内嵌 unit 回退、单二进制 PID1、RestartRandomizedDelaySec=、ActivatingConcurrencyMax= 等新选项与内核版本要求。
systemd Linux 运维 systemd-networkd 升级分区

Shadow Account 有两种含义：Entra B2B 里故意建的 AD 影子账号，和 IAM 管不到的孤儿凭据

Shadow Account 有两种含义：Entra B2B 里故意建的 AD 影子账号，和 IAM 管不到的孤儿凭据
2026-09-25 00:04:12
Shadow Account 有两层语义：一类是 Entra ID B2B 访客接入本地 AD 时按脚本故意创建的 AD 影子账号（附属性、参数与限制），另一类是落在 IAM 生命周期之外、没人认领的孤儿凭据与服务账号。本文讲清两者边界、典型来源、审计盲区，以及 secrets 扫描、OAuth 审计、吊销验证等实操做法。
Shadow Account 影子账户 IAM 非人类身份 AD 运维安全治理

Redis 8.2.10：集群总线默认无认证，未启用 tls-cluster 的节点启动时会告警

Redis 8.2.10：集群总线默认无认证，未启用 tls-cluster 的节点启动时会告警
2026-09-24 21:14:58
Redis 8.2.10 安全修复：集群总线协议自身无认证（除非启用 tls-cluster），任何能访问 bus 端口的机器都可能加入集群。节点启动时会对未认证的 bus 端口告警，新增 cluster-bus-port-protected-mode 选项（默认 no）。含如何自查暴露、tls-cluster/防火墙加固与同批其他安全修复。
Redis 安全集群运维

Nginx CVE-2026-42533：map 正则捕获变量触发 worker 堆溢出，修复版本 1.31.3+/1.30.4+

Nginx CVE-2026-42533：map 正则捕获变量触发 worker 堆溢出，修复版本 1.31.3+/1.30.4+
2026-09-24 21:14:17
Nginx CVE-2026-42533：map 指令正则匹配加捕获变量引用触发 worker 堆缓冲区溢出，可致 DoS、ASLR 关闭时可能代码执行。修复版本 1.31.3+/1.30.4+。含受影响版本自查、Ubuntu USN-8563 补丁回退经过与对应包版本、无法立即升级时的缓解方向。
Nginx 安全 CVE 运维

OpenSSH 10.x 变更清单：sshd 拆出 sshd-auth、默认关闭 modp DH，客户端换用 mlkem768x25519

OpenSSH 10.x 变更清单：sshd 拆出 sshd-auth、默认关闭 modp DH，客户端换用 mlkem768x25519
2026-09-24 21:14:17
OpenSSH 10.x 关键变更整理：认证阶段代码拆到独立的 sshd-auth 二进制（pre-auth 攻击面地址空间隔离）、sshd 默认禁用 modp DH、moduli 缺请求区间不再隐式回退、客户端默认改用混合后量子 KEX mlkem768x25519，以及 scp setuid 位、GSS-API 等相关 CVE 与升级前自查项。
OpenSSH 运维安全 SSH

ALTER TABLE 卡在 Waiting for table metadata lock：改表前的三处预查与执行参数

ALTER TABLE 卡在 Waiting for table metadata lock：改表前的三处预查与执行参数
2026-09-23 21:31:58
线上 ALTER TABLE 卡在 Waiting for table metadata lock，往往不是 DDL 本身慢，而是前面有长事务占着 MDL。本文给出改表前的三处预查（innodb_trx 长事务、performance_schema.metadata_locks 持锁线程、INNODB_TABLES.TOTAL_ROW_VERSIONS 判断 INSTANT 上限）、执行参数（短 lock_wait_timeout 与显式 ALGORITHM/LOCK），以及 MDL 与行锁两套超时参数的区别，和主从延迟观察要点。
MySQL InnoDB DDL 元数据锁运维报表

install.sh 报 env: 'bash\r' 不是权限问题：CRLF、dash/noexec 与 cron PATH 的排查笔记

install.sh 报 env: 'bash\r' 不是权限问题：CRLF、dash/noexec 与 cron PATH 的排查笔记
2026-09-23 21:02:58
脚本在终端能跑、部署就报 env: 'bash\r' 或 syntax error，先别急着 chmod +x。这篇按 CRLF 换行污染、/bin/sh 指向 dash、noexec 挂载、cron 精简 PATH 四类环境差异给出排查顺序，含 file/od 验证、sed 清洗、env -i 最小环境复现与 while read 读文件的安全写法。
Shell Linux 运维脚本

Nginx 502/504 排障：先按 error.log 关键字分流，别急着重启

Nginx 502/504 排障：先按 error.log 关键字分流，别急着重启
2026-09-23 21:02:57
502 和 504 是两种病。本文用 error.log 关键字（Connection refused、upstream timed out 在 connecting 还是 reading response header、no live upstreams、reset by peer）做分流，给出分层判断表、proxy_connect/send/read_timeout 的分工、upstream 健康检查与 HTTPS 两条链路的排查，并附三个真实案例。
Nginx 运维排障反向代理

Linux 6.18 内核要点：SLUB sheaves、UDP 接收提速约 50%、Bcachefs 移出主树

Linux 6.18 内核要点：SLUB sheaves、UDP 接收提速约 50%、Bcachefs 移出主树
2026-09-22 21:05:33
Linux 6.18 要点整理：SLUB 新增 sheaves 每 CPU 本地缓存、swap table 抽象层、UDP 接收路径重构后提速约 50%、TCP PSP 连接加密、socket 默认接收缓冲区升到 4MB，以及 Bcachefs 移出主树。
Linux 内核运维网络 XL

containerd 2.0/2.1 变更清单与升级前检查：NRI、CDI 默认启用，废弃 API 命中会中断升级

containerd 2.0/2.1 变更清单与升级前检查：NRI、CDI 默认启用，废弃 API 命中会中断升级
2026-09-22 21:04:43
containerd 2.0/2.1 把 NRI、CDI 默认打开，移除 CRI v1alpha2、AUFS snapshotter、io_uring 权限，Docker Schema 1 镜像默认禁用。本文给出 ctr deprecations list 等升级前检查命令，以及 shim-v3 不可回退的注意事项。
containerd Kubernetes 容器运行时运维

OpenTofu 1.11.0 发布：ephemeral 值与 enabled 元参数，机密不再落 state

OpenTofu 1.11.0 发布：ephemeral 值与 enabled 元参数，机密不再落 state
2026-09-22 21:04:43
OpenTofu 1.11.0 引入 ephemeral 值与 write-only 属性，让机密数据不落 state 与 plan；新增 enabled 元参数替代 count=条件?1:0。含 HCL 示例、azurerm 后端与 TLS/SSH 等兼容性变更清单。
OpenTofu 基础设施即代码 Terraform 运维 1.1

Kafka 4.0 落地笔记：默认 KRaft 去掉 ZooKeeper，消费者组协议换成 KIP-848

Kafka 4.0 落地笔记：默认 KRaft 去掉 ZooKeeper，消费者组协议换成 KIP-848
2026-09-22 21:03:33
Kafka 4.0 是首个完全不依赖 ZooKeeper 的大版本，默认 KRaft 运行，消费者组协议换成 KIP-848。本文梳理 KRaft 元数据路径、group.protocol 开启方式，以及 KIP-896 协议基线与 Java 11/17 两组升级约束。
Kafka 消息队列分布式运维 KIP

PostgreSQL 19 升级笔记：REPACK CONCURRENTLY、JIT 默认关，以及会让 pg_upgrade 拒绝的几处变更

PostgreSQL 19 升级笔记：REPACK CONCURRENTLY、JIT 默认关，以及会让 pg_upgrade 拒绝的几处变更
2026-09-22 20:02:45
PostgreSQL 19 临近 GA：新增 REPACK CONCURRENTLY 在线重建表、在线启停 data checksums、WAIT FOR 让备库读己写一致、autovacuum 并行与优先级评分。同时有几处默认值和兼容性变更会让 pg_upgrade 直接拒绝集群：standard_conforming_strings 强制 on、btree_gist inet/cidr 改 GiST、JIT 默认关、max_locks_per_transaction 64→128。附升级前检查清单。
PostgreSQL 数据库运维升级 G1

裸 distribution 太素、Harbor 太重：Dockery 把 registry 收进一个容器

裸 distribution 太素、Harbor 太重：Dockery 把 registry 收进一个容器
2026-09-22 20:01:26
Dockery 把 Docker Distribution、React 管理界面和账户权限塞进一个容器：单端口、无 Postgres/Redis 依赖、备份只需 /data。记录 docker run/compose 部署、glob 仓库权限、Tag 防覆盖、REGISTRY_AUTH_TOKEN_REALM 填错导致 push 401、JWKS 验签等实操与踩坑。
Docker Registry 自托管运维容器

UCP 上线前要算清：3 节点、2 个 /16 预留网段、最低 10 Gbps 集群互联

UCP 上线前要算清：3 节点、2 个 /16 预留网段、最低 10 Gbps 集群互联
2026-09-22 00:04:19
Extreme Networks Universal Compute Platform 是本地部署的 Kubernetes/Docker CaaS 平台。本文按官方文档梳理上线前必须算清的硬约束：3 节点、2 个 /16 预留网段、集群互联最低 10 Gbps、VRRP+NGINX 高可用，以及引擎安装、备份升级与管理 API 的实操要点。
Universal Compute 通用计算容器编排 Kubernetes 私有云 CaaS 运维

Asterisk 源码编译到 PJSIP 分机注册：依赖、menuselect 与 RTP 排障

Asterisk 源码编译到 PJSIP 分机注册：依赖、menuselect 与 RTP 排障
2026-09-22 00:03:20
Asterisk 开源 PBX 从源码编译到 PJSIP 分机注册的完整链路：依赖包取舍、configure 的 bundled 参数、menuselect 选模块、pjsip.conf 的 endpoint/auth/aor 分离、extensions.conf 拨号计划，以及 401/403 注册失败、RTP 单通、session-timers 拆线等排障方法。
asterisk PBX VoIP SIP pjsip 运维

自托管 Supabase 0.8.0：Envoy 顶掉 Kong 当默认网关，同一季度还有三个破坏性变更

自托管 Supabase 0.8.0：Envoy 顶掉 Kong 当默认网关，同一季度还有三个破坏性变更
2026-09-21 00:03:49
跟 master 的自托管 Supabase 在七周内撞上多个破坏性变更：0.8.0 起 Envoy 取代 Kong 成为默认网关，服务改名 api-gw、8443 不再默认暴露、自定义 kong.yml 会静默失效；同季度还有 Postgres 17 成为默认、analytics/vector 转 opt-in、API_EXTERNAL_URL 加 /auth/v1、logs.all 端点移除。附受影响判断、grep 排查动作、upgrades.json 与 update.sh 三方合并升级流程，以及 JWT 不匹配、RLS、端口与内存几个高频坑。
Supabase 自托管 Docker Envoy Kong PostgreSQL 破坏性变更运维 G1

哪吒监控 V2 自托管：8008 单端口下 gRPC 反代怎么配、Agent 为什么不上线

哪吒监控 V2 自托管：8008 单端口下 gRPC 反代怎么配、Agent 为什么不上线
2026-09-20 21:32:08
哪吒监控（Nezha）V2 自托管部署笔记：从 Docker 安装 Dashboard、改掉 admin/admin 弱密码，到单端口 8008 下 Caddy/Nginx 如何为 Agent 的 gRPC 与 Web 终端 WebSocket 单独配置反代。附 Agent 一键/群晖手动安装、NZ_UUID 继承记录、Oauth2 登录，以及 Agent 不上线的排查顺序与一键脚本重复执行导致 CPU 100% 的社区踩坑。
Nezha 监控自托管 Nginx 运维反代

Bash 脚本上生产前的六个坑：set -e 不生效、管道里变量丢了、文件名带空格

Bash 脚本上生产前的六个坑：set -e 不生效、管道里变量丢了、文件名带空格
2026-09-20 21:04:01
把 Bash 脚本上生产前最容易踩的六个坑讲清：for f in $(ls) 被文件名空格拆开、变量不加引号、set -euo pipefail 管不到的分支、管道右侧子 shell 丢变量、缺 trap 清理、缺调试手段。给出可复制的 NUL 分隔遍历与完整脚本骨架。
Shell Bash 运维 Linux 脚本

OpenSSH 10.0：sshd 默认禁用有限域 DH，DSA 移除并拆出 sshd-auth

OpenSSH 10.0：sshd 默认禁用有限域 DH，DSA 移除并拆出 sshd-auth
2026-09-20 21:02:41
OpenSSH 10.0 移除 DSA 签名、把 sshd 认证阶段拆到新的 sshd-auth 二进制，sshd 默认禁用有限域 DH（客户端不变），默认 KEX 换成混合后量子 mlkem768x25519-sha256。本文给出不兼容点、升级前自查清单与 KexAlgorithms/HostKeyAlgorithms 配置片段。
OpenSSH SSH 运维安全配置巡检

NGINX map 正则触发堆溢出：CVE-2026-42533 的触发条件与修复版本

NGINX map 正则触发堆溢出：CVE-2026-42533 的触发条件与修复版本
2026-09-20 21:01:27
NGINX 新增安全公告，CVE-2026-42533 由 map 指令的正则匹配与捕获变量求值顺序引发堆缓冲区溢出，0.9.6-1.31.2 受影响。本文给出触发三要素、影响版本、修复版本，以及用命名捕获组做临时缓解和 nginx -t/reload 流程。
NGINX 安全漏洞 CVE 运维配置

大家都在搜索什么？

devops 易支付一个官网+多少钱统一接受回调统一回调 python sub node 宝塔日志 mysql shell ElasticSearch css vue api接口对接 2025 支付接口对接 go php php回调