主要内容是，当自己折腾什么东西，遇到了困难或出了问题，而中文网络没有相关资料时，我就把它写下来，方便后人搜索。
不求高深，不求先进，但求准确。
]]>主要内容是，当自己折腾什么东西，遇到了困难或出了问题，而中文网络没有相关资料时，我就把它写下来，方便后人搜索。
不求高深，不求先进，但求准确。
]]>https://notes.bleatingsheep.org/s/iaas-user
https://notes.bleatingsheep.org/s/iaas-user
https://notes.bleatingsheep.org/s/homelab
https://notes.bleatingsheep.org/s/proxmox-ve
https://notes.bleatingsheep.org/s/livestreaming
https://notes.bleatingsheep.org/s/daily
包括通过 BIOS 设置把 TDP 提升至 54W 并加强散热、BIOS 更新等内容。
https://notes.bleatingsheep.org/s/um773
简化后的程序如下所示：
int a = 2;
int func()
{
for (int i = 0; i < a; i++)
{
printf("i = %d, a = %d, i<a: %d\n", i, a, i < a);
}
}当我们调用这个函数，并使用 g++ -O3 编译运行时发现，这个函数无限循环了下去，并且输出了 i = 231904, a = 2, i<a: 1 这样的内容，宣称 231904 < 2。
简化后的程序如下所示：
int a = 2;
int func()
{
for (int i = 0; i < a; i++)
{
printf("i = %d, a = %d, i<a: %d\n", i, a, i < a);
}
}当我们调用这个函数，并使用 g++ -O3 编译运行时发现，这个函数无限循环了下去，并且输出了 i = 231904, a = 2, i<a: 1 这样的内容，宣称 231904 < 2。
为了描述问题，我们先放上完整的复现代码，保存为“test.cpp”文件：
#include <iostream>
int a = 2;
int func()
{
for (int i = 0; i < a; i++)
{
printf("i = %d, a = %d, i<a: %d\n", i, a, i < a);
// 其他程序逻辑
}
}
int main()
{
func();
return 0;
}可以看到，本程序的意图应该是运行两次后，就结束循环。
然后使用 g++ 编译并运行：
g++ -O3 -o test.o test.cpp
./test.o看到如下输出
i = 0, a = 2, i<a: 1
i = 1, a = 2, i<a: 1
i = 2, a = 2, i<a: 1
i = 3, a = 2, i<a: 1
i = 4, a = 2, i<a: 1
...循环没有结束，而是无限进行了下去，甚至在 printf 中，明明 i 的值一直在增长并超过了 a，程序却算出了 i < a，非常奇怪。
然而，当我在循环后面再加上一些语句时，却又不会无限循环了
int func()
{
for (int i = 0; i < a; i++)
{
printf("i = %d, a = %d, i<a: %d\n", i, a, i < a);
}
printf("End of func!\n");
}输出
i = 0, a = 2, i<a: 1
i = 1, a = 2, i<a: 1
End of func!
Segmentation fault这时程序不会再死循环，但是也报了段错误。因此我开始判断它和带返回值的函数没有 return 一个值有关。
从个人经验判断，出现这种奇怪的问题，往往是因为编译器在优化时做了某些奇怪的假设，当我关闭 -O3 优化后，问题也确实消失了。于是我尝试查看编译出来的汇编代码来确定编译器究竟做了什么样的优化。
从 https://godbolt.org/ 上选择最新的“x86-64 gcc 13.2”，设置 -O3 选项，生成的汇编代码如下：
左右两边相同颜色的行为 C++ 代码所生成的对应汇编代码。从汇编的第 7 - 15 行可以看到，此循环被编译成了无条件跳转（第 15 行跳转到 L2），也就是死循环。
究其原因，我认为是，在一个返回值类型不是 void 的函数中不 return 是未定义的行为（UB），GCC 在优化时，是在假定你的程序不会出现 UB 的基础上进行的。如此一来，如果一个函数的最后一个语句是循环，那么编译器就可以推定你一定会在这个循环中 return（实际上，他原来的代码有比较复杂的判断逻辑，在有些分支是会返回的），也就是循环条件应该是一直满足的，于是就可以大胆地把循环优化成死循环。而 printf 比较大小的结果错误，我想，是因为输出内容的计算公式和循环的判断条件相同（i < a），而既然循环条件推定满足了，输出内容就不需要再浪费 CPU 周期进行计算了。实际上，在汇编第 9 行可以看到，编译出的代码直接把 1 传给了 printf。
为了确认在有返回值的函数中不 return 是 UB，我查阅了相关的规范，但遗憾的是，并没有找到完全解释现象的描述。C++ 规范 ISO/IEC 9899:201x 中是这样描述的（6.9.1 节，12）
If the
}that terminates a function is reached, and the value of the function call is used by the caller, the behavior is undefined.
根据 C++ 规范，只有在该返回值被使用时，才是 UB。这样的话，由于测试代码中并没有使用 func 的返回值，死循环似乎不符合规范？
在编写 C++ 程序时，应该格外注意避免出现 UB。本身编译器把 UB 编译成任何东西都是合法的，经过编译器的优化，就更加可能出现预料之外的行为。而当以 DEBUG 模式编译，或者增加调试用的输出时，有时也会破坏优化前提，导致无法再复现。如果编译本例的代码，编译器会给出警告，告诉你缺失 return 语句。所以编写 C++ 代码时应该更加重视编译器的警告。
test.cpp: In function ‘int func()’:
test.cpp:12:1: warning: no return statement in function returning non-void [-Wreturn-type]
12 | }
| ^当然，原本的程序是更复杂的，而且涉及多线程，在排查时也都考虑过多种可能的情况，比如尝试在某些地方添加 mfence 等。最终才确认是 UB 与编译器优化组合出了意料之外的结果，与多线程无关。
请看下面这段代码：
var s = "s";
var d = new Dictionary<string, string>();
var disposable1 = (IDisposable)s;
var disposable2 = (IDisposable)d;我们知道，不管是 String，还是 Dictionary<TKey, TValue>，都没实现 IDisposable，所以这两个地方都是没法转换的。可是奇怪的是，编译时，disposable1 那一行会报 Error，而第二个转换则是运行时才会抛出异常。
我一开始以为是编译器特殊处理了一些内置类型，准备过会儿查查文档。
然后我又去翻了 EF Core 和 System.Linq.Async 一起使用出现冲突的问题，找到了在 EF Core 6.0 中修复这个问题的 Pull Request。其中的讨论提醒了我。
上面说，虽然 DbSet<TEntity> 不再实现 IAsyncEnumerable<TEntity>，但是它的具体类一定会实现，这就是可以转换的原因。
我猛地想起刚才那个现象，像 String、Int32 这样的类型，要么是 sealed class，要么是 struct，都不可能有派生类了。这样，编译器完全可以在编译期就发现，这个转换没法进行，因为没有派生类可以再去实现接口了。
要验证也非常简单，手写下面代码。
public class MyClass { }
var myClass = new MyClass();
var disposable = (IDisposable)myClass;这段代码可以通过编译。然后把类加上 sealed。
public sealed class MyClass { }此时就无法通过编译了。
在我查找的范围内，文档中对此现象的描述比较模糊，仅说显示转换可能失败，并在运行时抛出异常。
]]>当用户访问 CDN 需要回源时，CDN 节点会去访问服务器。尽管可以通过配置让服务器只接受 CDN IP 访问，但配置可能较为繁琐且容易出错，导致服务器仍然受到各种威胁。
Cloudflare Tunnel 可以让服务器主动访问 Cloudflare (CF) 的 CDN 节点。这样服务器完全不需要接受任何外来连接，增强安全性。此外，Cloudflare Tunnel 也可以让服务器处于 NAT 后面，无需公网 IP 也可以提供 Web 等服务。
要使用 Cloudflare Tunnel，相应域名必须在 CF 解析，且服务器必须能够访问最近的 CF 节点。
本文以 Docker 为例讲解 CF Tunnel 的使用方法，但 Docker 不是必须的。
本文以在 backend 网络中启动 RSSHub 容器为例，使用的命令如下：
docker pull diygod/rsshub
docker run -d --name rsshub --restart=always \
--net backend --net-alias rsshub \
diygod/rsshub这里设置 RSSHub 连接到 Docker 的 backend 网络（需要自行创建），设置容器的网络别名为 rsshub，以便访问。注意 RSSHub 默认监听 1200 端口，这里无需对外开放此端口。
登录 CF，在 dash 左侧找到“Zero Trust”并进入。
进入后在左侧点击“Access、Tunnels”，然后再点“Create a tunnel”。
给 Tunnel 设置一个名字，然后继续，进入到上图的界面，选择相应的运行环境（这里选择 Docker），然后执行下面的代码。
注意，可以根据自己的需要，在命令中加入 -d --net backend --restart always 等参数。
运行后，如果一切正常，可以在网页上看到已经连接的 Connector。继续前往下一个页面。
在这个页面中，选择要使用的域名和子域，“Service”设置为 http://rsshub:1200。
之后点击保存，访问相应域名即可。
]]>除此之外，最近由于要在实验室的服务器上跑一些东西，就让人给我开了个用户。我发现，原来这个服务器是所有人一起跑在一台机器上，各自都没有 root 权限。这对我使用造成了不便，因为我是用 Tailscale 把我各台机器连接起来的，没有 root 权限就没法安装 Tailscale，把运行结果储存到另一台服务器上就很困难。如果是用的虚拟机，那我就可以安装 Tailscale。但是，虚拟机比较耗资源，那台机器内存不是很大，同时每台虚拟机需要一直占用它峰值所需的内存，利用率低。我想到了 LXD 这样的系统容器技术。不过，我并不是那台服务器的管理员，所以只能所以玩儿玩儿。
我也是头一次实践这个 LXD，如果有什么写得不对的地方，恳请各位斧正。
LXD 是一个系统容器管理器，关于它的详细介绍可以在 What is LXD? 中查看。
如果你用的是 Ubuntu，安装过程可以参考 https://linuxcontainers.org/lxd/getting-started-cli/。尽管该页面也有 Fedora 的安装步骤，但是并不完整。关于 Fedora 完整的安装步骤请前往 Installation Guide 查看。
本文就以 Fedora 37 为例。要安装 LXD，请执行下面的命令：
sudo dnf copr enable ganto/lxc4
sudo dnf install lxd当询问是否继续时，输入 y，回车继续。
安装完成后，需要添加必要的信息并启动服务，执行以下命令：
sudo usermod -a -G lxd ${USER}
echo "root:1000000:65536" | sudo tee -a /etc/subuid > /dev/null
echo "root:1000000:65536" | sudo tee -a /etc/subgid > /dev/null
sudo systemctl enable lxd && sudo systemctl start lxd
source /etc/profile执行完毕后，可能需要退出登陆并重新登录。
接下来我们初始化配置。执行以下命令：
lxd init接下来会交互式地询问你一些问题，大部分问题回车使用默认选项即可，少部分可根据需要自行配置。在此过程中，我修改了存储池的大小、开启 API 端口，并要求在初始化完成后打印配置。
[fedora@vultr ~]$ lxd init
Would you like to use LXD clustering? (yes/no) [default=no]:
Do you want to configure a new storage pool? (yes/no) [default=yes]:
Name of the new storage pool [default=default]:
Name of the storage backend to use (btrfs, dir, lvm) [default=btrfs]:
Create a new BTRFS pool? (yes/no) [default=yes]:
Would you like to use an existing empty block device (e.g. a disk or partition)? (yes/no) [default=no]:
Size in GiB of the new loop device (1GiB minimum) [default=11GiB]: 25GiB
Would you like to connect to a MAAS server? (yes/no) [default=no]:
Would you like to create a new local network bridge? (yes/no) [default=yes]:
What should the new bridge be called? [default=lxdbr0]:
What IPv4 address should be used? (CIDR subnet notation, “auto” or “none”) [default=auto]:
What IPv6 address should be used? (CIDR subnet notation, “auto” or “none”) [default=auto]:
Would you like the LXD server to be available over the network? (yes/no) [default=no]: yes
Address to bind LXD to (not including port) [default=all]:
Port to bind LXD to [default=8443]:
Would you like stale cached images to be updated automatically? (yes/no) [default=yes]:
Would you like a YAML "lxd init" preseed to be printed? (yes/no) [default=no]: yes初始化只是自动帮你创建一些配置、存储、网络等，这个过程完全可以手动完成。熟悉本文提到的内容后，你可以自行查阅文档，在需要的时候手动更改相关配置。
可以使用以下命令创建一个容器实例：
lxc launch ubuntu:22.04 ubuntu-2204然后使用以下命令查看所有实例：
lxc list你会看到如下输出：
+最近写 RCNB 的时候遇到了奇怪的测试未运行的问题。Visual Studio 可以列出测试，但是所有测试都显示未运行。
]]>最近写 RCNB 的时候遇到了奇怪的测试未运行的问题。Visual Studio 可以列出测试，但是所有测试都显示未运行。
我一开始以为是被测项目 TargetFrameworks 的问题，就把别的删了，只留 netcoreapp2.1，结果还是不行。
于是我想试试命令行能不能运行测试，执行 dotnet test 以后产生如下输出：
这里显示所有的测试都 pass 了，遗憾的是，一开始我眼花了，看成“skipped: 2”，走了很多弯路。
我又给 GitHub 仓库加上 CI，结果却运行失败了，原因是没有安装对应版本的框架及 SDK。
起初我想把 CI 的 dotnet 版本改为 2.1，但 .NET Core 2.1 无法编译 .NET Standard 2.1 的程序，于是就把测试项目和 CI 都设置到 3.1。通过 CI 以后，我发现 VS 也可以运行测试了。
很明显，如果没有安装对应环境，那么测试是无法运行的。在我的机器上运行 dotnet --list-sdks 会输出以下内容。
3.1.407 [C:\Program Files\dotnet\sdk]
5.0.104 [C:\Program Files\dotnet\sdk]
5.0.201 [C:\Program Files\dotnet\sdk]没有安装 2.1 可能是 VS 里测试没有运行的原因。那么为什么使用命令行却可以测试呢？运行 dotnet --list-runtimes 看一下。
... 省略 ASP .NET Core runtimes
Microsoft.NETCore.App 2.1.13 [C:\Program Files\dotnet\shared\Microsoft.NETCore.App]
Microsoft.NETCore.App 2.1.26 [C:\Program Files\dotnet\shared\Microsoft.NETCore.App]
Microsoft.NETCore.App 3.1.13 [C:\Program Files\dotnet\shared\Microsoft.NETCore.App]
Microsoft.NETCore.App 5.0.4 [C:\Program Files\dotnet\shared\Microsoft.NETCore.App]
... 省略 Windows Desktop runtimes可以看到我的机器上装了 2.1 的 runtime，这可能是通过命令行可以顺利运行测试的原因。
3.1 的 SDK/Runtime 跑不了 2.1 的程序，这是由 .NET 的 roll forward 策略决定的。微软在 Select the .NET version to use 中介绍了这个策略。
实际上，我们也可以通过配置使用较高 Major 版本的 runtime 运行较低版本的程序，例如通过创建 global.json 文件。global.json overview 中介绍了所有的可选项。我们还可以通过 Runtime options 或者 环境变量 来修改此行为。
我们可以得到这么几点结论：
openapi.json 文件及对应文档。
]]>openapi.json 文件及对应文档。
首先新建一个 C# 项目，右键点击项目，点“添加”、“已连接的服务”，然后按步骤添加 OpenAPI 服务即可。
传入新建的 HttpClient 及 baseUrl 即可使用。
var httpClient = new HttpClient();
var api = new MyApi("https://example.com/", httpClient);
var result = await api.GetBindingAsync(parameters);Visual Studio 实际调用了 Microsoft.dotnet-openapi 来生成客户端代码。文档中也提了一部分使用方法，但是十分含糊。
首先确保已安装 .NET SDK。然后执行命令安装工具。
dotnet tool install --global Microsoft.dotnet-openapi若要升级工具，执行下列代码。
dotnet tool update --global Microsoft.dotnet-openapidotnet openapi --help执行此命令会显示帮助
OpenApi reference management tool 5.0.5+b7a2ec8c7ed6b48857af0a69688a73e8c14fe6cb
Usage: openapi [options] [command]
Options:
-?|-h|--help Show help information
Commands:
add
refresh
remove
Use "openapi [command] --help" for more information about a command.可以看到总共有三条命令，先看看 add。
dotnet openapi add --helpUsage: openapi add [options] [command]
Options:
-p|--updateProject The project file update.
-?|-h|--help Show help information
Commands:
file
url显示出了用法，注意这时 file 和 url 都是命令，不是参数。继续想看帮助
dotnet openapi add url --helpUsage: openapi add url [arguments] [options]
Arguments:
source-URL The OpenAPI file to add. This must be a URL to a remote OpenAPI file.
Options:
-p|--updateProject The project file update.
-c|--code-generator The code generator to use. Defaults to 'NSwagCSharp'.
--output-file The destination to download the remote OpenAPI file to.
-?|-h|--help Show help information这就是完整用法了。
按照上面的命令，在项目目录执行以下代码。
dotnet openapi add url "https://api.bleatingsheep.org/swagger/v1/swagger.json" --output-file "HydrantApi.json"然后项目目录中就会出现 HydrantApi.json 文件。运行 dotnet build，然后就可以使用 API 了，默认的类名是文件名+Client，在这个例子里，也就是 HydrantApiClient，使用方法同上。
可以用 dotnet openapi refresh 命令更新 json，然后用 dotnet build 更新生成的代码。
日日提供的错误信息如下：
Error response from daemon: failed to create task for container: failed to create shim task: OCI runtime create failed: runc create failed: unable to start container process: error during container init: open sysctl net.ipv4.ip_unprivileged_port_start file: reopen fd 8: permission denied: unknown经过检索，发现是 AppArmor profiles 的问题，可以通过 Workaround 缓解。
首先在 PVE host 编辑容器配置：打开 /etc/pve/lxc/<容器ID>.conf，并添加以下内容：
lxc.mount.entry: /dev/net/tun dev/net/tun none bind,create=file
lxc.apparmor.profile: unconfined完成后（可能需要重启 CT 容器来应用配置），在容器中执行以下命令：
mount --bind /dev/null /sys/module/apparmor/parameters/enabled
systemctl restart docker注意，CT 容器重启后，需要重新执行此命令，应该可以通过编写 systemd unit，并将 docker 服务设置为“WantedBy”来自动挂载，但我未测试。
有报告称 Proxmox VE 9.1 已解决此问题，我当前使用的是 Proxmox VE 8，无法验证。
https://github.com/opencontainers/runc/issues/4968#issuecomment-3500775431
]]>String.Create 介绍
.NET Core 2.1 和 .NET Standard 2.1 新增了 Span<T>、Memory<T> 等非常方便的操作内存的方式，同时增加了如 String.Create() 这种高效的创建字符串的方法。最近在写 RCNB 终于得以一试，结果发现了这个方法的许多局限之处。
String.Create 介绍
.NET Core 2.1 和 .NET Standard 2.1 新增了 Span<T>、Memory<T> 等非常方便的操作内存的方式，同时增加了如 String.Create() 这种高效的创建字符串的方法。最近在写 RCNB 终于得以一试，结果发现了这个方法的许多局限之处。
我们先看一个这个方法的定义。
public static String Create<TState>(int length, TState state, SpanAction<char, TState> action);首先这是一个泛型方法，接受一个 TState 实例并直接传给 action。我们看一下 SpanAction<char, TState> 的定义。
public delegate void SpanAction<T, in TArg>(Span<T> span, TArg arg);为什么不直接用 Action<in T1, in T2> 呢？因为 Span<T> 是 readonly ref struct，不能用于泛型参数。问题就出在这一点，由于它不能用在泛型参数上，给 String.Create 也带来了一些局限，只能用很麻烦的方式绕过。
String.Create 的局限性我给 RCNB 编码设计了这么一个 API 方法：
public static string ToRcnbString(ReadOnlySpan<byte> inArray);这个方法接收一个 ReadOnlySpan<byte>，将基用 RCNB 编码，并返回结果字符串。在底层，我已经实现了编码方法：
private static void EncodeRcnb(Span<char> resultArray, ReadOnlySpan<byte> inArray)
{
// implementation
}我底层的方法从 ReadOnlySpan<byte> inArray 中读取数据，并把编码好的字符串存入 Span<char> resultArray 中。我本以为，.NET Core 2.1 新增的 Span<T> 等结构足够强大，可以让我把任何传入参数转换成这两个东西，并进行 RCNB 编码。于是我就先这么写：
public static string ToRcnbString(ReadOnlySpan<byte> inArray)
{
int length = CalculateLength(inArray);
return string.Create(length, inArray, (span, a) => EncodeRcnb(span, a.Span));
}思路是，先计算出结果字符串的长度，再把 inArray 传给 String.Create 方法，调用 EncodeRcnb 方法进行编码。
但我得到一个错误。
意思是 ReadOnlySpan<byte> 不能被用作类型参数。还记得 String.Create 的定义吗？传入参数的类型是用泛型参数 TState 确定的，自然会受到这个限制。
如果你用 .NET 编码或解码过 base64，你应该会发现 System.Convert 类有这样一个方法：
public static string ToBase64String(ReadOnlySpan<byte> bytes, Base64FormattingOptions options = Base64FormattingOptions.None);这个方法也接收 ReadOnlySpan<byte>，返回 String，它是怎么实现的呢？我们来看一看 .NET 实现源码。
public static string ToBase64String(ReadOnlySpan<byte> bytes, Base64FormattingOptions options = Base64FormattingOptions.None)
{
if (options < Base64FormattingOptions.None || options > Base64FormattingOptions.InsertLineBreaks)
{
throw new ArgumentException(SR.Format(SR.Arg_EnumIllegalVal, (int)options), nameof(options));
}
if (bytes.Length == 0)
{
return string.Empty;
}
bool insertLineBreaks = (options == Base64FormattingOptions.InsertLineBreaks);
string result = string.FastAllocateString(ToBase64_CalculateAndValidateOutputLength(bytes.Length, insertLineBreaks));
unsafe
{
fixed (byte* bytesPtr = &MemoryMarshal.GetReference(bytes))
fixed (char* charsPtr = result)
{
int charsWritten = ConvertToBase64Array(charsPtr, bytesPtr, 0, bytes.Length, insertLineBreaks);
Debug.Assert(result.Length == charsWritten, $"Expected {result.Length} == {charsWritten}");
}
}
return result;
}我们看到，.NET 实现上首先用了 string.FastAllocateString 快速分配字符串所需的内存，然后用 fixed (byte* bytesPtr = &MemoryMarshal.GetReference(bytes)) 获取 bytes 的指针。最早实现 ConvertToBase64Array 时还没有 Span<T>，我认为转换成指针是为了复用以前的代码。问题是 string.FastAllocateString 是个内部方法，我无法调用。尽管有人问了 如何调用这个方法，但是是用反射强行调用的，无法保证所有版本 .NET 都是这么实现的，不太好。
ReadOnlyMemory<T>我首先想到的是转换成 ReadOnlyMemory<T>。我知道 Memory<T> 及 ReadOnlyMemory<T> 可以转换成 Span<T> 和 ReadOnlySpan<T>，也知道反过来会出现问题。
ReadOnlyMemory<T>、Memory<T>、ReadOnlySpan<T>、Span<T> 的关系首先，ReadOnlySpan<T>、Span<T> 是用 readonly 修饰的 ref struct。ref struct 有诸多限制，而这些限制可以提升性能和代码安全性。例如，我们可以安全地编写下面的代码：
Span<byte> bytes = stackalloc byte[2000];这段代码从栈上分配 2000 字节，存储在 bytes 中。在 C 或 C++ 中，你可能不小心把栈上指针赋值到别处，或者当成返回值返回，导致稍后可能非法访问。而在 C# 中，如果你用了 Span<T>，由于本身的限制，你无法轻易把它传到别处，这样就可以在不牺牲安全性的前提下提升性能。
再看 ReadOnlyMemory<T> 和 Memory<T>。它们只是普通的结构体，只是用了 readonly 修饰。你完全可以把它随便赋值或者返回到别处。
如果 Span<T> 可以随随便便转换成 Memory<T>，你再把它传到别处，万一那个 Span<T> 是栈上分配的，不就带来不安全访问了吗？所以 Span<T> 是不能随随便便转换成 Memory<T> 的，只读版本亦然。
与上面四个 struct 一起到来的，还有操作这些结构体的方法，比如 System.Runtime.InteropServices.MemoryMarshal 类。MemoryMarshal 类包含一些操作内存的方法，而这些方法看上去并不是那么安全。
例如 AsBytes 方法，可以把任意类型 T 的 Span<T> 转换成 Span<byte>。例如要生成随机 uint 时，就可以把 Span<uint> 转换成 Span<bytes> 放置生成的随机字节。
此外还有 AsMemory 可以把只读的 ReadOnlyMemory<T> 变成可写的 Memory<T>，同样可能带来潜在的安全问题。
除了 MemoryMarshal，System.Runtime.CompilerServices.Unsafe 类也包含一些操作内存的方法。
遗憾的是，这两个类都没有把 ReadOnlySpan<T> 转换成 ReadOnlyMemory<T> 的方法。
但问题还是要解决的，我不希望无意义地复制内存。
我首先想到的是把指针传入 String.Create 方法。我先开启了 unsafe 编译，再把方法定义前面加上 unsafe。
上面的 base64 编码的源码解释了如何从 ReadOnlySpan<T> 中提取 T 的指针 T*。此外还有别的方法提取，只要保证正确地 fixed 了就行。由于我们需要指针和长度两个参数，我们把它形成一个元组，传入匿名方法，并在匿名方法里构造出 ReadOnlySpan<byte>。
public static unsafe string ToRcnbString(ReadOnlySpan<byte> inArray)
{
int length = CalculateLength(inArray);
fixed (byte* data = inArray)
{
return string.Create(length,
(data, inArray.Length),
(span, a) => EncodeRcnb(span, new ReadOnlySpan<byte>(a.data, a.Length)));
}
}结果我们在 (data, inArray.Length), 这一行的 data 处遇到一个错误，说：
也就是说，除了 ref struct，指针类型也不能用作泛型参数。
然后我想到，指针也不行，那 ReadOnlyMemory<T> 可以传入吗，它就是普通的 struct。遗憾的是，尽管可以用指定的指针和长度创建 Span<T>，Memory<T> 及只读版本却没有用指针创建的构造方法。
然后我想，ReadOnlyMemory<T> 没有合适的构造方法，那我自己定义一个 struct 总可以了吧。于是就写成了这样：
public static unsafe string ToRcnbString(ReadOnlySpan<byte> inArray)
{
int length = CalculateLength(inArray);
fixed (byte* data = inArray)
{
return string.Create(length,
new ByteMemoryMedium(data, inArray.Length),
(span, a) => EncodeRcnb(span, new ReadOnlySpan<byte>(a.Pointer, a.Length)));
}
}
private unsafe readonly struct ByteMemoryMedium
{
public ByteMemoryMedium(byte* pointer, int length)
{
Pointer = pointer;
Length = length;
}
public byte* Pointer { get; }
public int Length { get; }
}我自己定义了一个 unsafe struct，接受指针和长度，并把这个结构的实例传入 String.Create，终于达成目标。
.NET Core 2.1 引入的 ref struct 和 Span<T> 等类型为操作内存提供了相当程度的便利。上面没细说的 EncodeRcnb 方法就充分利用了这些类型。同时引入的 String.Create 方法可以减少创建字符串时的内存分配，尽管它用起来有很多局限。我希望 C# 未来的版本可以放宽 ref struct 的条件，以便 Span<T> 可以传入 String.Create 方法。希望 .NET 基金会不要不识抬举。
我们先讨论一下，如何用 0~(n-1) 的随机数生成器，生成 0~(m-1) 范围的随机数。
先考虑 n>m 的情形，最简单的做法是，先产生一个 0~(n-1) 的随机数，如果小于 m，就使用这个结果；如果大于等于 m，就重来。如果 n>2m，可以目标范围的一个数对应原生成器的两个或以上的数。
至于 n<m 的情况，可以多次生成来获得一个更大范围的生成器，比如生成两次就是 0~(n^2-1) 的随机数生成器。
由于上面的那种想法没有完全利用产生的随机数，我希望能够产生尽量少的随机数达到目的。我首先考虑的是，把 [0,1) 分成更小的区间，比如 [0,1/m), [1/m, 2/m), ...。这些区间作为目标，同时划分出 [0,1/n), [1/n, 2/n), ... 这些区间。每生成一个随机数，就从后者当中选取一个区间。如果选中的区间是前面区间的子集，就取该区间对应的数字；如果不是，就继续划分为 n 个区间并且随机取一个。
这种想法在产生无限个随机数时，效率是最高的，因为所有信息都被用到了。但是只生成一个随机数时，却不如上面的。或者说，需要使用 0~(n-1) 的生成器的次数的期望更高。
举个例子，用 n=8 的生成器，生成 m=7 的随机数。按朴素的想法，每次有 1/8 的概率需要再生成一次。但是按第二种想法，只有第一次产生 0 或 7 时，才只需要生成一次。从第二次开始，依旧每次有 1/8 的概率需要再次生成。
System.Random 类现在我们来看 .NET 中的随机数。
.NET 内置了两个与产生随机数有关的类。一个是 System.Random，通过算法产生伪随机数；另一个实际上有至少两个相关类，用来产生无法预测的，可以用作加密用途的生成器。
先看 System.Random。这个类是这么定义的：
public class Random
{
public Random();
public Random(int Seed);
public virtual int Next();
public virtual int Next(int maxValue);
public virtual int Next(int minValue, int maxValue);
public virtual void NextBytes(byte[] buffer);
public virtual void NextBytes(Span<byte> buffer);
public virtual double NextDouble();
protected virtual double Sample();
}其中 Next(int maxValue) 和 Next(int minValue, int maxValue) 包含 minValue，但均不包含 maxValue，前者默认 minValue 为 0。而 Next() 默认 minValue 为 0，maxValue 为 int.MaxValue（是的，范围比 Int32 可表示的范围的一半少 1）。
先看有趣的 NextDouble() 方法。这个方法产生一个大于等于 0 但小于 1 的随机浮点数。有些地方用这种方式产生一定范围内的整数
int Next(int maxValue)
{
return (int)Math.Floor(maxValue * NextDouble());
}很明显，这种方法只能近似等概率。这是因为，由于精度限制，能产生的不同的随机浮点数的个数是有限的，而每一个浮点数都会固定对应一个结果，这样就不能保证每个结果都对应同样个数的浮点数，因而概率不等。
如果现在我告诉你，随机数生成器的底层是产生一堆随机比特，或者说，是第一位都等概率随机的 System.UInt32，让你去写产生指定范围随机数，即 int Next(int minValue, int maxValue)，你会怎么写？
最简单的办法，如果还是不考虑概率的微小差别，可以简单这么写
int Next(int minValue, int maxValue)
{
Debug.Assert(minValue < maxValue);
uint range = maxValue - minValue;
if (range == 1) return minValue;
uint rand = NextUInt32();
return minValue + (int)(rand % range);
}为了保证完全等概率，可以这么改写
int Next(int minValue, int maxValue)
{
Debug.Assert(minValue < maxValue);
uint range = (uint)(maxValue - minValue);
uint max = (uint)(((ulong)uint.MaxValue + 1) / range * range - 1);
while (true)
{
uint rand = NextUInt32();
if (rand <= max)
return minValue + (int)(rand % range);
}
}好了，我们看一下.NET 中是如何实现的
public override int Next(int minValue, int maxValue)
{
ulong exclusiveRange = (ulong)(maxValue - minValue);
if (exclusiveRange > 1)
{
// Narrow down to the smallest range [0, 2^bits] that contains maxValue.
// Then repeatedly generate a value in that outer range until we get one within the inner range.
int bits = BitOperations.Log2Ceiling(exclusiveRange);
while (true)
{
ulong result = NextUInt64() >> (sizeof(ulong) * 8 - bits);
if (result < exclusiveRange)
{
return (int)result + minValue;
}
}
}
Debug.Assert(minValue == maxValue || minValue + 1 == maxValue);
return minValue;
}.NET 并没有使用乘、除算出范围，再用模确定数字，而是计算出需要的比特，并直接抛弃掉多余的。这么做可能是考虑到性能。
在 .NET 中，还有一个类是与生成随机数有关的（确切地说，有多个类）。最主要的就是 System.Security.Cryptography.RandomNumberGenerator。从命名空间就可以看出来，这是用来产生可用于加密的随机数的。有趣的是，它用来生成给定范围随机数的方法是通过位运算得到一个 mask，然后用按位与去取需要的比特，而 System.Random 是计算出需要的比特数，用位移取得需要的比特。
校色仪。可以说是最重要的部分。本文重点使用 Spyder5 和 Spyder X。其他校色仪按说是大同小异，只是驱动安装方式可能会不同。
显示器。把显示器的设置恢复为出厂默认，并且需要保证在校色正式开始前亮屏 30 分钟。
操作系统。本文使用 Windows。MacOS 由于系统安全规则，会难以执行外挂的校色程序。博主没有在 Linux 上校色的经验。
软件。需要准备下列软件：
解压后内容应如图所示。
首先下载安装 DisplayCAL。
由于本文以 Spyder 系列校色仪为例，所以需要安装驱动。打开 DisplayCAL，在弹出的窗口点击“浏览”，然后选择“Argyll_V2.1.1”文件夹。
选择 Tools -> Instrument -> Install ArgyllCMS instrument drivers，然后在弹出的窗口中选择“Download and install”，按提示操作。
如果你还下载了最新版本的 Argyll，那么选择 File -> Locate ArgyllCMS executables 来配置 DisplayCAL 使用最新版本。
选择“Argyll_V2.3.1”或者最新版本所在的文件夹。
Options -> Show advanced options
在进行校色前，需要打开显示器预热三十分钟以上。或者当前已连续使用显示器超过三十分钟即可。
在主界面选择要校正的显示器。请注意如果你的多台显示器缩放比例不同，副显示器的分辨率可能显示不正确。选择显示器对应型号即可。
连接校色仪并打开 DisplayCAL。把 Settings 选为“Office & Web”，在“Profiling”标签下把“Profile type”选为“Single Curve + matrix”。然后点击“Calibrate & Profile”。
然后把弹出的窗口拖到要校色的显示器，用“+、-”调整大小，尽量把窗口放在屏幕中心，并把校色仪贴紧到窗口中心。调整好后点击“Start measurement”。
注意：校色仪必须贴紧屏幕。放置校色仪前可以把屏幕向后倾斜，把盖子卡在屏幕顶部后方使其不要下滑，依靠重力使校色仪贴紧。
稍后会出现一个新窗口，点击“Start measurement”后，仪器就会开始测量色温。使用显示器的设置调整红、绿、蓝的颜色数值，直到三色平衡。同时，把亮度调整到合适的水平（不用管亮度条是否在中间）。
注意：如果你的显示器红、绿、蓝的数值默认都是 100，那调低偏高的数值即可。但是，如果默认是 50 或者其他的值，则需要尽量先调低偏高的那项数值，并且尽量让三色不要大于默认值。
调整完毕后，点击“Stop measurement”，然后点“Continue on to calibration”。
提示：如果 Spyder X 出现和“self-calibration offsets”有关的错误，如下图所示，可能是因为室温偏低。解决方法是用手把校色仪捂热，捂热后再校准即可。
如果你校准的是笔记本显示器等不能调节三色平衡的设备，可以跳过这一步，直接点击“Continue on to calibration”。
然后等待校色完成。Spyder5 这步需要大约一小时。完成后会出现如下窗口，显示了显示器的色域等信息，点击“Install profile”即可。
如果要查看校色的效果，可以点击“Show profile information”，弹出的窗口包含彩色配置文件的详细信息。
本文主要参考简明屏幕校色及色彩管理，根据当前实际情况，及指导药药校色时出现的状况有所补充。
关于捂热校色仪的资料来自视频 https://youtu.be/0KYiU1apa8M。
]]>在拨号盘输入“*#*#86583#*#*”，系统设置中出现 VoLTE 开关，开启即可通话。
在东京通话时开启了 VoLTE，所以我判断是我住的地方没有 K40 VoLTE 所需的频段，导致无法使用 VoLTE。同时非 VoLTE 的通话可能本来也不能用，结果就完全不能打电话了。
一段时间后我开始意识到不对，因为无论我去福冈什么地方，我都没法打电话。只有东京有那个频段，福冈所有地方都没有，这也太奇怪了点。而且，我不但没法使用 VoLTE，系统里也完全没有 VoLTE 开关。今天突然意识到，我最近升级了 MIUI 13，会不会是 MIUI 13 的问题呢？
遗憾的是，我没找到无痛回退 MIUI 版本的资料。我想，之前没用过非 VoLTE 通话，但是 VoLTE 的确是可以用的。同时考虑到数据没问题，从 VoLTE 入手，想办法开启 VoLTE 应该就是解决的办法。
于是我搜索“MIUI13 无法 volte”，很快找到一篇帖子，提到了上面的解决方法。
当我输入后，浮窗提示“VoLTE carrier check was disabled.”，更加重了我对 MIUI 13 的怀疑。
我感觉，在国外还是别用国行手机了。我的 K40 除了没法打电话，还有杀 Google 服务造成通知延迟等问题。
]]>要使用此方法重装系统，VPS 需要满足以下几个条件：
如果 VPS 使用的是 OpenVZ 技术，或者不提供 VNC 功能，则无法进行安装；不满足其他两项的，理论上也可以实现，但不在本文讨论范围之内。
此外，由于各种 VPS 小厂商千奇百怪，不保证你安装过程中不会遇到奇奇怪怪的问题。安装前请备份数据。
默认情况下引导菜单可能太快消失，或者根本不出现。这一步的目的是使稍后选择 iPXE 引导选项更容易。
编辑 grub 配置文件 /etc/default/grub。
sudo nano /etc/default/grub修改前的配置文件：
GRUB_DEFAULT=0
GRUB_TIMEOUT_STYLE=hidden
GRUB_TIMEOUT=0
GRUB_DISTRIBUTOR=`lsb_release -i -s 2> /dev/null || echo Debian`
GRUB_CMDLINE_LINUX_DEFAULT="maybe-ubiquity"
GRUB_CMDLINE_LINUX=""修改后的配置文件：
GRUB_DEFAULT=0
#GRUB_TIMEOUT_STYLE=hidden
GRUB_TIMEOUT=300
GRUB_DISTRIBUTOR=`lsb_release -i -s 2> /dev/null || echo Debian`
#GRUB_CMDLINE_LINUX_DEFAULT="maybe-ubiquity"
GRUB_CMDLINE_LINUX=""这一步的要点是，让引导菜单显示足够长的时间以便选择引导选项。
修改完成后，运行更新命令：
sudo update-grub如果你的 VPS 是用 DHCP 获取地址的，那就不需要进行这一步操作；否则需要记录下接口名、IP 地址、掩码、网关等信息。
运行命令:
> ifconfig
ens3: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 104.*.*.* netmask 255.255.255.0 broadcast 104.*.*.255
inet6 fe80::* prefixlen 64 scopeid 0x20<link>
ether 00:* txqueuelen 1000 (Ethernet)
RX packets 9779 bytes 707184 (707.1 KB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 109 bytes 14479 (14.4 KB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0此处接口名是 ens3，IP 地址是 104.*.*.*，掩码是 255.255.255.0。
网关：
> ip route
default via 104.*.*.1 dev ens3 proto static
104.*.*.0/24 dev ens3 proto kernel scope link src 104.*.*.*
172.17.0.0/16 dev docker0 proto kernel scope link src 172.17.0.1这里显示网关是 104.*.*.1。
Ubuntu 或 Debian 可以用以下命令安装 iPXE：
sudo apt install ipxe
sudo reboot如果你用的是 CentOS，可以参考《CentOS7配置GRUB2+iPXE进行网络重装》。
完成之后重启并进入 VNC。你将看到以下画面：
选择“Network boot (iPXE)”选项，进入 iPXE。
进入 iPXE 时，你将看到以下画面：
当你看到“Press Ctrl-B for the iPXE command line...”时，请立即按下 Ctrl + B 快捷键，进入 iPXE 命令行。此消息转瞬即逝，可以在进入之前就保持狂按，以免错过。
接下来，我们需要配置网络。根据 VPS 是否有 DHCP，配置方式有所不同。
dhcp1.1.1.1 或其他可用的 DNS 服务器set net0/ip <ip>
set net0/netmask <netmask>
set net0/gateway <gateway>
set dns <nameserver>
ifopen net0配置好网络后，就可以用以下命令引导进入 netboot.xyz 了：
chain --autofree https://boot.netboot.xyz如果你的 VPS 没有 DHCP，那么 netboot.xyz 还会再问你一遍网络信息。此处默认已填好，直接回车即可。
进入 netboot.xyz 后，你将看到以下画面：
选择“Linux Network Installs (64-bit)”，进入以下界面，我们选择“Ubuntu”：
之后我们选择 Ubuntu 20.04，一般选“Subiquity”即可，因为这个引导的是 Ubuntu Server 的镜像，而“Legacy”引导的安装程序不是专门供服务器用的。
当然，你也可以在此选择你想用的其他系统。
如果你的 VPS 没有 DHCP，你将看到以下画面。
不过，不必担心，稍后将提示你配置网络。出现提示时，请按提示填写网络信息，注意请手动输入 static，而不要回车使用默认的“dhcp”：
需要注意的是，当你填写 url 时，请勿直接回车默认，因为默认映像是原始版本，已被删除。请前往发布页面查找最新的映像地址。当然，你也可以自己托管安装镜像，或者使用其他的镜像源。
以上操作完成后，你将看到镜像下载进度，下载好之后将会自动引导安装镜像。
当你看到此界面时，就成功引导了安装程序。下面就按照提示一步步安装吧！
]]>
Hardware Enablement (HWE) 帮助在 Ubuntu LTS 上安装更新的内核。下面两个链接介绍了 HWE。
我按照上面第二个链接的说法，执行 sudo apt install --install-recommends linux-generic-hwe-20.04，却以错误告终。
dpkg: error processing package linux-image-5.11.0-41-generic (--configure):
installed linux-image-5.11.0-41-generic package post-installation script subprocess returned error exit status 1
Errors were encountered while processing:
linux-image-5.11.0-41-generic
E: Sub-process /usr/bin/dpkg returned an error code (1)我在网上搜索，发现有人讨论过这个问题。要在树莓派上的 Ubuntu 20.04 系统安装 HWE 需要一点手段。然而，这个手段现在会导致无法启动，只能作罢。
How to install the HWE kernel on Ubuntu Server 20.04 on a Raspberry Pi
执行以下命令来检查：
apt list linux-raspi-hwe-*你会看到如下输出：
linux-raspi-hwe-18.04-edge/focal-updates,focal-security 5.4.0.1047.82 arm64
linux-raspi-hwe-18.04/focal-updates,focal-security 5.4.0.1047.82 arm64可以看到，目前只有 18.04 可以安装 HWE，版本为 5.4，和 Ubuntu 20.04 的内核版本一致。根据此处的输出，20.04 目前不能安装 HWE。
直接放结论好了，执行以下命令清理安装失败的残留。
sudo apt remove linux-*generic-hwe-20.04 linux-*-5.11.0-41*其中 5.11.0-41 是安装失败的内核版本，需要根据安装日志替换成实际尝试安装的版本。
经过研究，发现是自从 Fedora 41 以来，需要把隧道的 ipv6.addr-gen-mode 设置为 stable-privacy。参考命令如下：
sudo nmcli connection add type ip-tunnel con-name sit1 ifname sit1 mode sit remote ${REMOTE} -- ipv4.method disabled ipv6.method manual ipv6.address ${ADDR} ipv6.gateway ${GATEWAY} ipv6.addr-gen-mode stable-privacy ip-tunnel.ttl 64这样设置后，就可以正常地通过此隧道访问 IPv6 网络。
]]>需要注意的是，操作时要在系统盘和数据盘上创建 RAID，然后安装 Ubuntu Server。此操作会毁掉所有已有数据。如有重要数据，请提前备份。
]]>需要注意的是，操作时要在系统盘和数据盘上创建 RAID，然后安装 Ubuntu Server。此操作会毁掉所有已有数据。如有重要数据，请提前备份。
首先需要引导 Ubuntu Server 20.04 的安装映像。如果你的 VPS 不支持挂载此 ISO，请参见{% post_link 使用iPXE和netboot-xyz重装VPS系统 "《使用 iPXE 和 netboot.xyz 重装 VPS 系统》" %}。
前几步就略过了，在存储配置的页面，请选择自定义。
然后进入到此界面。
可以看到，此 VPS 上有两块虚拟硬盘，大小均为 20GB，其中“/dev/vda”已经设置了几个分区，而“/dev/vdb”还未使用。
选中“/dev/vda”并按回车，然后进入“Reformat”选项。此时会提示你，此操作会清除所有数据，确认即可。如果你的数据盘也有数据，也按此方式清除掉所有分区。
清除完成后，你会看到此界面。
此时不要急着创建 RAID。再次选中“/dev/vda”，选择“Use As Boot Device”并确认。此操作是为了在系统盘上创建引导分区。
创建完成后，剩余空间是没法直接使用的，需要创建分区。选择可用空间，然后进入“Add GPT Partition”创建分区，空间留空（默认使用全部剩余空间），“Format”选择“Leave unformatted”。
然后，在数据盘上也创建一个分区，空间留空，“Format”同样选择“Leave unformatted”。
在两个硬盘上创建好分区以后，回到分区界面，选择“Create software RAID (md)”，然后在弹出的界面中选中刚才在两块硬盘上创建的分区，类型选择 RAID 0，名称默认是“md0”，并确认。
此时你会在“AVAILABLE DEVICES”中看到刚才创建的 RAID 磁盘。选中并进入“Add GPT Partition”创建分区，“Format”选择“ext4”，“Mount”设置为“/”，即根目录。
完成后，可以看到如下界面。
选择“Done”，按回车就完成啦！此后系统会安装在由两块硬盘组成的 RAID 磁盘上。
Linux 中的 RAID 磁盘可以创建在硬盘或者分区上。当硬盘上已有分区，但未占用全部空间时，必须先用剩余空间创建分区，然后使用该分区组成 RAID，而不能直接使用该分区的一部分。
Linux 的软 RAID 和 LVM 可以套娃，也就是说拿 RAID 或者 LVM 创建出来的磁盘（或者在上面创建的分区）继续创建 RAID 或者 LVM。
对于本文中的“/dev/vdb”，不分区直接用整块硬盘和“/dev/vda”中的分区组成 RAID 也是可行的。考虑到避免扩展硬盘大小时可能出现的错误，本文选择在该硬盘上也创建分区。
Linux 并不强制要求给硬盘（无论是否是 RAID 创建的磁盘）分区。直接把 RAID 出来的磁盘格式化成“ext4”并挂载也是可行的。也是为了避免扩展时出问题，本文在 RAID 磁盘上也创建了分区。
一般来讲，RAID0 比较危险，因为任何一块硬盘挂掉都会导致所有数据丢失。但是，由于我们用的是 IDC 的虚拟硬盘，安全性比直接用物理硬盘高，所以，因为 RAID0 而丢失数据的概率会小一些。当然，按时备份是非常重要的。
]]>本文中使用的环境是 Ubuntu Server 22.04 LTS，已用 ISO 镜像安装到 Btrfs 分区，未安装其他软件。
启动系统并按住左 Shift 键，直到出现 GRUB 选择菜单，选择“Advanced options for Ubuntu”然后选择“Recovery mode”。
进入恢复模式后，如果界面被日志打碎，请用键盘上下键移动光标，直到可以看清选项，然后选择“root”，按两次回车进入。
Ubuntu 的恢复模式会默认挂载根目录。如果你用的是其他系统的恢复模式，可能需要手动挂载。手动挂载时推荐挂载到 /mnt 目录，同时修改下面相关命令的路径。此后不再赘述。
进入恢复模式后，执行 vi /etc/fstab 编辑文件。打开后，将光标移动到根目录那一行，按两次“y”键复制，并按“p”键粘贴。
然后将第二行的挂载点改为“/home”，并在两行的挂载选项中分别添加“,subvol=@”和“,subvol=@home”。“@”和“@home”是 Ubuntu 风格的 subvolume 名。
同时可以添加“compress=zstd:1”选项来启用压缩。
Btrfs 分区上的 swap 文件具有 nodatacow 属性，与 snapshot 等功能冲突。如果你的根目录中有 swap 文件，需要在 fstab 中注释掉，然后删掉文件。
修改完 /etc/fstab 后，执行以下命令：
cd /
btrfs subvolume snapshot . @执行以下命令为 /home 创建 subvolume：
btrfs subvolume create @home
cp -a --reflink home/. @home/.执行 reboot 重启，启动时按住左 Shift 键，出现 GRUB 选择菜单后，按“e”进入编辑模式，在“linux”开头的一行末尾添加“rootflags=subvol=@”，然后按 Ctrl+X 启动系统。
系统启动后执行 cat /proc/mounts，检查是否挂载了正确的 subvolume。
执行以下命令更新 GRUB：
sudo update-grub
sudo grub-install --no-nvram /dev/sda其中 /dev/sda 是 GRUB 所在磁盘，一般就是根分区所在的磁盘。若有不同，请用实际的磁盘替代。
完成后，用 sudo reboot 重启，不要按住 Shift，直接进入系统，并再次检查是否挂载了正确的 subvolume。
原来的文件还残留在根目录，要想清理，可以先用 sudo mount /dev/sda2 /mnt 挂载——其中 /dev/sda2 为根分区——然后转到 /mnt 目录并删除除了“@”和“@home”以外的所有文件。
要清理 /home 中的残留，执行：
cd /mnt/@
rm -r home/*请参考 https://askubuntu.com/questions/1206157/can-i-have-a-swapfile-on-btrfs/1206161#1206161。
首先我来说一下为什么我认为博客无法很好地实现这个目标。一个很明显的表现是，近来我的博客完全断更了，虽然有我博士科研比较繁忙的原因，但是，在这段时间我也并不是完全没有在学习新的东西，最终却没把这些东西分享出来。我认为原因有几点，最关键的是，每篇博客都要至少把一件事情本身讲明白，而不是简单地贴一些配置上去。同时，我不想重复地写网上很容易搜到的信息，也希望保证信息的完整性和正确性。这就导致了写博客成为了一种相对较重的负担，因为每篇都需要进行相当的整理和验证，比如在全新的环境中验证是否可行等。结果就是，本来有些有分享价值的东西，我也有分享的意愿，但最终就是没能分享出来。
一直以来，我都低估了我没分享出来的这些内容的价值。我认为这些知识很大比例都是已经普遍知道的，但是最近在一些 QQ 群里交流，发现很多我认为比较基础，或者比较容易搜到的知识，依然有很多人不了解。
比如，最近我在家里搭建了 PVE 环境，并给几个人免费分享了虚拟机，于是我给他们写了一篇 PVE 客户机使用手册供参考。当我发出去后，立刻有其他 PVE 用户表示自己并不了解我这篇文章中提到的一些 PVE 的细节。实际上，相关内容是可以很容易地在官方文档中找到的。
还有一次，一位群友问我自己托管 PostgreSQL 时应考虑哪些事情，以及有没有数据备份的脚本。而我确实有一系列管理 PostgreSQL 的脚本。这也让我萌生了把我积攒的各种脚本分享出来的想法。
虽然这类内容大多都可以在网上找到类似的，也不是很深，但是回想我初次接触时，理解它们并转化成适合自己场景的脚本也是费了一番工夫的。比如，PostgreSQL 中，使用 pgdump 导出备份是备份到文件还是走 stdout，这类取舍都是经过我的性能测试的。这些内容虽然不太好写成博客（因为几句话就能讲清楚），但是依然有分享的价值。
我本来想的是把积累的脚本、配置文件等分享出来，但是又一想，干脆建立一个个人 wiki，来分享我所学的各种方面的知识。相比通过博客分享，wiki 有以下几个好处：
作为建立 wiki 的预告，我计划在 wiki 中包含以下几方面的内容。
OneBot 标准是从原酷 Q 平台的 CQHTTP 插件接口修改而来的通用聊天机器人应用接口标准。
]]>OneBot 标准是从原酷 Q 平台的 CQHTTP 插件接口修改而来的通用聊天机器人应用接口标准。
OneBot 规定了消息类型的格式。
简而言之，例如我想发送一个图文混合消息，有字符串和数组两种方式。
看看我刚拍的照片[CQ:image,file=123.jpg][
{
"type": "text",
"data": {
"text": "[第一部分]"
}
},
{
"type": "image",
"data": {
"file": "123.jpg"
}
},
{
"type": "text",
"data": {
"text": "图片之后的部分，表情："
}
},
{
"type": "face",
"data": {
"id": "123"
}
}
]毫无疑问，如果直接接收字符串并按原样传送，开发者（SDK 的用户）就必须自己处理转义等复杂问题。
public async Task<MessageResponse> SendMessage(Endpoint sendTo, string message);可是，如果直接接收一个数组，会给开发者构建消息带来麻烦。
一个好方法是把消息封装成一个类，这就牵扯出如何拼接或组装消息的问题。
+ 运算符最直接的想法就是，消息应该像字符串那样可以直接用 + 连接。C# 中的运算符重载可以做到这一点，效果类似下面这样。
var message = Message.FromText("看看我刚拍的照片") + Message.FromImage("123.jpg");效果还不错，但是屏幕上充斥着大量类名和方法名，容易眼花。
还有一种设计方式是，类似 StringBuilder，用连续的方法调用拼接消息。
var message = new MessageBuilder().AppendText("看看我刚拍的照片").AppendImage("123.jpg").ToMessage();这种方式依旧有同样的缺点。此外，直接构造消息的方法依然是必要的，这样会加重 SDK 开发者的负担。
可以利用 C# 的内插字符串实现消息组装。
using static MessageSegmentBuilder;
var message = Message.FromInterpolated($"看看我刚拍的照片{Image("123.jpg")}");这种方式把一条消息中文字和图片的部分紧密地结合在一起，没有 SDK 的方法隔开，视觉上更紧密。对排版较复杂的消息效果更明显。
有人可能会问，这样不还是要用户自己处理转义吗。利用 C# 中内插字符串的特性，可以实现自动转义。
内插字符串最常见的用法是直接当字符串用，例如当你用 var 接收时，默认的类型就是 System.String。
var s = $"hello{123}"; // s is System.String但是，当它作为参数传入时，却可以被接收者特殊处理。例如 EF Core 查询就有 FromSqlInterpolated 方法，利用插值字符串传入参数，由 EF Core 进行处理，可以避免 SQL 注入的问题。
查看文档，FromSqlInterpolated 接收的是 FormattableString 类型的参数。那么这个 FormattableString 怎么用呢？
我们先看一下 FormattableString 的定义。
可以看到，这个方法有两个属性，还有一些方法，看起来是与参数有关的。我们写个代码测试一下。
static void FormatInterpolated(FormattableString message)
{
Console.WriteLine(message.ArgumentCount);
Console.WriteLine(message.Format);
Console.WriteLine(message.GetArguments().Length);
Console.WriteLine(message.GetArgument(0).GetType());
Console.WriteLine(message);
}
static void Main(string[] args)
{
var a = 123.45;
FormatInterpolated($"hell{{o{a:#.#}w}}{a}ow");
}输出结果
2
hell{{o{0:#.#}w}}{1}ow
2
System.Double
hell{o123.5w}123.45ow从这个结果可以得出这样的结论：
Format 属性返回的字符串是类似于在 String.Format 方法中传入的格式字符串。{ 和 } 本身在插值字符串中需要双写转义，这种双写也会出现在 Format 属性中。ArgumentCount 属性指示此插值字符串包含几个参数。GetArguments 方法可以获取包含参数的数组，其长度与 ArgumentCount 属性的值相同。这样，在 Message.FromInterpolated 方法中，就可以通过接收 FormattableString 实例，并利用相关的属性和方法获取哪里是文本，哪里是 CQ 码。此外，还可以对其切割，以获取数组格式的消息。
内插字符串的 Format 属性会转义 { 和 }，当读到这两个字符时，并不一定就是属性所在的位置。例如 {{0}} 实际就没有用到任何属性，而是 "{0}" 这个字符串。
如果内部用数组格式实现消息，那只需注意上面的转义问题。如果用字符串格式实现消息，则还需要注意消息和 CQ 码中的转义。文本部分应该转义 [、] 和 &，CQ 码部分应该转义 [、]、, 和 &。
传入的参数类型不一定是 CQ 码，例如下面的例子。
var message = Message.FromIntropolated($"{At(10000)} Hello, 现在时间是 {DateTime.Now:HH:mm}");其中第一个参数是 At 方法返回的值。这个 At 方法是 SDK 开发者定义的，应返回表示 CQ 码的一个实例。第二个参数是 .NET 自带的，用户只希望按照字符串处理。这样，在 Message.FromIntropolated 方法内部就应该判断每个参数是否是 CQ 码，然后分别进行不同的处理。
一直以来，我都用 Caddy 1 的 git 插件，配合 GitHub 上的 Webhook 部署静态网站。简单说就是，把 Hexo 或者 VuePress 生成的网页推到另一个分支上，用 Webhook 通知插件，然后插件拉取变更。由于 Caddy 1 已经停止维护，我想升级到 Caddy 2，但是 Caddy 2 没有官方 git 插件，第三方那个还要自己编译，我还想用 Docker 跑，也挺麻烦的。
]]>一直以来，我都用 Caddy 1 的 git 插件，配合 GitHub 上的 Webhook 部署静态网站。简单说就是，把 Hexo 或者 VuePress 生成的网页推到另一个分支上，用 Webhook 通知插件，然后插件拉取变更。由于 Caddy 1 已经停止维护，我想升级到 Caddy 2，但是 Caddy 2 没有官方 git 插件，第三方那个还要自己编译，我还想用 Docker 跑，也挺麻烦的。
本文的重点是，在你已经用 GitHub Actions 生成静态网站的情况下，如何用 SSH 部署到你的服务器上，并避免不必要的数据传输。
现在有很多免费托管静态网站的服务，但它们都或多或少都存在一些我不满意的地方。当然也有我就是想 self-host 的因素在。
不支持 IPv6，网络经常受到干扰，而且只能用于公开仓库，私有的要钱。
东亚地区的机房在香港，速度很快。除了不支持 IPv6 都挺好的。如果你能接受不支持 IPv6 访问，那推荐使用。
Cloudflare 外号 Slowflare，曾经非常 slow，现在稍好了点，也支持 IPv6。我不用的原因是，挂上 CDN 可能会影响后面的托管的服务申请 SSL 证书。另一个原因是，中国大陆会连到 Cloudflare 美国节点（至少我家的电信是），如果用 Azure 香港托管网站，相当于绕路了。
Netlify 支持 IPv6，而且自己有全球 CDN，各方面都非常好，除了两点。
第一，Netlify 在中国大陆会解析到新加坡节点。据我观察，解析结果包含 Amazon 和 DigitalOcean 双栈共 4 个 IP 地址。Amazon 的机房延迟不错，但 DigitalOcean 会绕美国。也就是说，速度很大程度上取决于浏览器有没有“刚好”选对地址。
第二，Netlify 的 TTFB (Time to first byte) 很长，不管什么时候都高达三百毫秒，我怀疑是故意加上去的。
一开始我是用 Hexo 内置的 Deploy 指令把生成的网站推送到 git 上，后来就用 GitHub Actions 自动生成了。推送操作也从 Hexo 命令换成了 peaceiris/actions-gh-pages。
为了解决 Caddy 2 没有支持度较好的 git 插件的问题，我一开始想自己写一个服务器处理 Webhook，但是这样太麻烦了，配置、维护都麻烦。
我也考虑过用像 easingthemes/ssh-deploy 这样的 Action 部署，但是由于要部署的内容都是实时生成的，哪怕没有变更，修改日期也会变，这类 Action 常用的 SFTP 和 rsync 很难很好地处理这种情况。虽然每次都完整地重传一遍问题也不大，但我还是希望每次只传输要更新的部分。
有一天我突然想到，为什么不直接让 CI 用 SSH 连到我服务器上运行 git 呢？这样不就什么都解决了吗？于是我找到了 appleboy/ssh-action，简单浏览后意识到，这就是我心目中的完美方案。不如说，以前一直没想到这一点，真的很奇怪。
在真正开始编写 CI 流程之前，先写一个能在服务器上跑的脚本，用来拉取更改。我希望这个脚本不会传输不必要的文件，能正确处理远程分支被强制覆盖的情况，并且尽可能地节约本地空间。
假定要把网站放在服务器的 DEPLOY_DIR 变量所代表的目录，远程仓库是 REPO_URL，分支是 BRANCH。
mkdir -p $DEPLOY_DIR
cd $DEPLOY_DIR
git init之所以不用 git clone，是因为在仓库已经建立的情况下不能再次 git clone，但是可以再次 git init。
if git remote | grep -q -P '^b11p-git-pages$'; then
echo "Cleaning old remote"
git remote remove b11p-git-pages
fi
git remote add -t $BRANCH b11p-git-pages $REPO_URL其中 b11p-git-pages 是要设置的 remote 名，可以任意设置。由于这个值不必随仓库而变化，就不用环境变量了。
这一步是为了 remote 能有正确的分支和地址。由于 git remote add 没法覆盖之前的，我只能先检测是否已经存在这个 remote，如果存在就删掉。之后就可以保证顺利添加了。
git fetch -v --set-upstream b11p-git-pages --depth 1 --auto-gc
git reset --hard remotes/b11p-git-pages/$BRANCH --这一步算是我调试了最长时间的，因为它涉及了我三个目标中的两个：“不会传输不必要的文件，能正确处理远程分支被强制覆盖的情况。”
我一开始用的是 git pull --depth 1，但是我特意做了个测试，本地往远程 push 很多提交然后服务器拉取，本地 reset 到很早的一个版本，再交很多提交然后本地 push，服务器 pull，结果就出错了：
> git pull --depth 1
remote: Enumerating objects: 7, done.
remote: Counting objects: 100% (7/7), done.
remote: Compressing objects: 100% (3/3), done.
remote: Total 4 (delta 2), reused 0 (delta 0), pack-reused 0
Unpacking objects: 100% (4/4), 742 bytes | 371.00 KiB/s, done.
From https://github.com/b11p/*Hidden Repository Name*
+ *hash1*...*hash2* *Branch* -> origin/*Branch* (forced update)
fatal: refusing to merge unrelated historiesgit reflog expire --expire-unreachable=all --all --verbose
git gc --prune=all
git remote remove b11p-git-pages拉取完成后，进行清理。清理主要有两部分：第一是，fetch 以后原来的提交还在本地保留着，而这些都不必要了。第二是，如果仓库是私有的，那 URL 里可能会包含 Token，清理掉更安全。
本来清理旧内容的语句只有 git gc --prune=all，但我发现这个命令并不能真正地把已经不需要的文件从服务器上删除，加上前一句才可以：
> git gc --prune=all
Enumerating objects: 10, done.
Counting objects: 100% (10/10), done.
Compressing objects: 100% (10/10), done.
Writing objects: 100% (10/10), done.
Total 10 (delta 2), reused 0 (delta 0)
> git count-objects -H -v
count: 0
size: 0 bytes
in-pack: 10
packs: 1
size-pack: 26.81 MiB
prune-packable: 0
garbage: 0
size-garbage: 0 bytes这个例子说明，尽管几十 MB 的大文件在最新的提交上已经不存在了，却依然占了服务器的空间。
由于 SSH 连上之后可以任意执行命令，为了安全，需要创建一个低权限的账户，为其设置不同的 SSH 密钥。可使用 adduser 命令创建用户，此处不再赘述。
首先在 repo 设置里添加相关的 Secrets。我添加了“SSH_HOST、SSH_PORT、SSH_USERNAME、SSH_PRIVATE_KEY”四个。
- name: Deploy using SSH
uses: appleboy/ssh-action@master
env:
DEPLOY_DIR: /home/${{ secrets.SSH_USERNAME }}/www/*Folder*
BRANCH: *Branch*
TOKEN: ${{ secrets.GITHUB_TOKEN }}
# REPO_URL: https://x-access-token:${{ secrets.GITHUB_TOKEN }}@github.com/${GITHUB_REPOSITORY}.git
with:
host: ${{ secrets.SSH_HOST }}
username: ${{ secrets.SSH_USERNAME }}
port: ${{ secrets.SSH_PORT }}
key: ${{ secrets.SSH_PRIVATE_KEY }}
envs: DEPLOY_DIR,BRANCH,GITHUB_REPOSITORY,TOKEN
script_stop: true
script: |
REPO_URL=https://x-access-token:${TOKEN}@github.com/${GITHUB_REPOSITORY}.git
mkdir -p $DEPLOY_DIR
cd $DEPLOY_DIR
git init
if git remote | grep -q -P '^b11p-git-pages$'; then
echo "Cleaning old remote"
git remote remove b11p-git-pages
fi
git remote add -t $BRANCH b11p-git-pages $REPO_URL
git fetch -v --set-upstream b11p-git-pages --depth 1 --auto-gc
git reset --hard remotes/b11p-git-pages/$BRANCH --
git reflog expire --expire-unreachable=all --all --verbose
git gc --prune=all
git remote remove b11p-git-pages上面是有关部署的部分，假定生成的网站已经被推送到了另一个分支。
被注释掉的一句是我踩的一个坑。在这种情况下，${GITHUB_REPOSITORY} 会被原样传入，也就是说会克隆 https://github.com/${GITHUB_REPOSITORY}.git，这样当然会失败。关于这个坑，可以参考 GitHub 文档中的环境变量和上下文。
相比用 SFTP 或者 rsync 传输，SSH 执行 git 命令的主要好处就是没有改变的文件不会被传输。同时，git 仓库中可能会出现覆盖掉提交历史的情况，这时 Caddy 1 的 git 插件会工作不正常，因为它只是简单地 pull。为了这两点，我进行了反复测试。同时我也反复测试了文件更新或删除的情况，确保服务器不会保留旧文件。
由于 SSH 可以执行任意命令，这就使得此方式可以不局限于静态网站，更好地发挥 CI/CD 的威力。对我来说主要是省钱，毕竟我想要的效果，Azure 或者 AWS 都有相应的服务能做到，就是太贵了，用不起罢了。
最终，我选择了用 GitHub Actions 构建并推送到另一分支，然后触发 Webhook，由自己的服务器拉取构建好的新版本并重启应用更新。
]]>最终，我选择了用 GitHub Actions 构建并推送到另一分支，然后触发 Webhook，由自己的服务器拉取构建好的新版本并重启应用更新。
这种东西当然不要自己写，我选了 adnanh/webhook。在服务器上下载好，编写一个简单的配置文件并运行，用浏览器或 curl 访问一下，观察日志及脚本副作用确定 Webhook 是否正常工作。
- id: redeploy-webhook
execute-command: "/var/scripts/redeploy.sh"
command-working-directory: "/var/webhook"/path/to/webhook -hooks hooks.yaml -verbose只需要用 Actions 构建并推送到其他分支即可，可以参考此文件，本文不再赘述。
在仓库设置中添加 Webhook，“Payload URL”填写 http://your-server:9000/hooks/redeploy-webhook，其中把“your-server”替换成你服务器的 IP 或域名，最后一部分改为你设置的 Webhook ID。“Content type”选择“application/json”，“Secret”填写一个秘密字符串，在下面选择“Just the push event.”。
添加后，GitHub 会自动触发一次，配置正确的情况下会出现绿勾，如果出现错误，请排查配置问题。
确认配置无误后，随便往存储库 push 点什么东西，触发 CI。回到管理 Webhook 页面，应该会看到又触发了两次 Webhook，一次是 push 代码，一次是 push 构建结果。Webhook 推送数据会用作 Webhook Server 配置的参考。
参考推送内容和 adnanh/webhook 的文档，更新 Webhook Server 配置，确保只在构建结果分支 push 时触发脚本，同时对传入数据进行验证，防止脚本被恶意触发。
下面是我的配置：
- id: deploy-danmaku
execute-command: "/home/user/danmaku.sh"
command-working-directory: "/home/user"
pass-arguments-to-command:
- source: payload
name: repository.clone_url
- source: payload
name: head_commit.id
trigger-rule:
and:
- match:
type: payload-hmac-sha1
secret: < here is my secret >
parameter:
source: header
name: X-Hub-Signature
- match:
type: value
value: push
parameter:
source: header
name: X-GitHub-Event
- match:
type: value
value: refs/heads/build
parameter:
source: payload
name: ref此配置的的意图是，当“build”分支有“push”事件，并且通过 HMAC SHA1 验证时，才触发脚本，同时从 Webhook 推送中提取存储库链接和 commit ID 信息传入脚本。
下面是我的脚本：
#!/bin/bash
# omitting stopping old server
DEPLOY_DIR=$(realpath ~/danmaku)
if [ "$1" != "" ] && [ "$2" != "" ]; then
echo "Webhook mode."
REPO_URL=$1
COMMIT_ID=$2
mkdir -p $DEPLOY_DIR
cd $DEPLOY_DIR
git init
if git remote | grep -q -P '^b11p-git-pages$'; then
echo "Cleaning old remote"
git remote remove b11p-git-pages
fi
git remote add b11p-git-pages "$REPO_URL"
git fetch -v --set-upstream b11p-git-pages --depth 1 "$COMMIT_ID"
git reset --hard "$COMMIT_ID"
git reflog expire --expire-unreachable=all --all --verbose
git gc --prune=all
git remote remove b11p-git-pages
else
echo "Not webhook mode."
fi
# omitting start new server此脚本会自动拉取对应 commit，并重新启动服务，应用新版本。
下面，用你喜欢的编辑器创建并编辑“~/.config/systemd/user/webhook.service”，编写 systemd 服务，以便开机自动启动 Webhook Server。
[Unit]
Description=Webhooks
[Service]
Restart=on-failure
RestartSec=5s
WorkingDirectory=/home/user/webhooks
ExecStart=/home/user/webhooks/webhook -hooks /home/user/webhooks/hooks.yaml -hotreload
[Install]
WantedBy=default.target运行下面的命令，启动服务，并设置开机自动启动：
systemctl --user enable webhook.service
systemctl --user start webhook.service
loginctl enable-linger如果你不想明文 HTTP 通信，可以开启 HTTPS。既可以在 Webhook Server 配置中配置 HTTPS，也可以在反向代理中配置。此处不再赘述。
cloud-init 是一个初始化云镜像的工具，同时也是一个自动化的配置工具。
Ubuntu Cloud Images 是由 Ubuntu 官方提供的用于在公有云上运行的系统镜像。它在首次启动时会运行 cloud-init 初始化系统。
要制作自己的云镜像，需要准备相应的环境。本文假设你使用最新的 Ubuntu 20.04 LTS 系统，已包含“kpartx”和“losetup”工具。
此外，你还需要“qemu-img”，可以通过 sudo apt install qemu-utils 安装需要的软件包。
为了将镜像传输到要安装的云服务器，你还需要配置 web 服务器。配置方法不再赘述。
要安装的机器需要可以启动救援模式，并且救援模式需要可以联网（至少需要可以连接到镜像所在机器）。
打开 https://cloud-images.ubuntu.com/，选择要安装的 Ubuntu 版本（如“focal”），点击“current”选择最新构建，然后根据架构选择要下载的文件。例如，最常见的 amd64 架构请下载“focal-server-cloudimg-amd64.img”。
下载到的镜像是 qcow2 格式的，需要转换为 raw 格式，才能被挂载、修改和使用。运行下面的命令转换为 raw 格式。
qemu-img convert -f qcow2 -O raw focal-server-cloudimg-amd64.img focal-server-cloudimg-amd64.raw需要把 raw 文件映射为 loop 设备，然后挂载到系统上。
请参阅《如何挂载.img格式的镜像》，完成挂载。
需要注意的是，文中的“.img格式的镜像”，是指我们转换出来的 raw 文件，而不是下载到的后缀为“.img”的 qcow2 文件。
另外，Ubuntu Cloud Images 的系统分区是分区 1，其他系统可能略有不同。
举例来说，如果 sudo losetup -f 查到的空闲 loop 设备为 /dev/loop9，那么就执行以下命令：
sudo losetup /dev/loop9 focal-server-cloudimg-amd64.raw
sudo kpartx -av /dev/loop9
sudo mount /dev/mapper/loop9p1 /mnt如果你想安装其他系统镜像，可以用 sudo fdisk -l /dev/loop9 查看分区信息。
用 cd /mnt/etc/cloud/cloud.cfg.d 切换到 cloud.cfg.d 目录，sudo nano 99-fake_cloud.cfg 创建文件 99-fake_cloud.cfg，内容如下：
# CLOUD_IMG: This file was created/modified by the Cloud Image build process
system_info:
package_mirrors:
- arches: [i386, amd64]
failsafe:
primary: http://archive.ubuntu.com/ubuntu
security: http://security.ubuntu.com/ubuntu
search:
primary:
- http://azure.archive.ubuntu.com/ubuntu # 修改为你想使用的软件包源
security: []
- arches: [armhf, armel, default]
failsafe:
primary: http://ports.ubuntu.com/ubuntu-ports
security: http://ports.ubuntu.com/ubuntu-ports
# configure cloud-init for NoCloud
hostname: myhost # 修改为你的主机名
users:
- name: foobar # 修改为你的用户名
gecos: Foo B. Bar # 修改为你的全名
groups: [adm, audio, cdrom, dialout, dip, floppy, lxd, netdev, plugdev, sudo, video]
ssh_authorized_keys:
- '<paste your public key here>' # 修改为你的 SSH 公钥
sudo: ["ALL=(ALL) NOPASSWD:ALL"]
shell: /bin/bash
chpasswd:
expire: true
list:
- foobar:foobar # 修改为你的用户名和密码
datasource_list: [ NoCloud, None ]修改完成后保存，用以下命令取消挂载：
sudo umount /mnt
sudo kpartx -dv /dev/loop9
sudo losetup -d /dev/loop9其中把“/mnt”修改为你的实际挂载目录，把“/dev/loop9”修改为你的实际 loop 设备。
首先假定你已经把修改过的系统镜像放到 web 服务器上，镜像 url 为“http://web/image.raw”。在要安装的机器上进入救援模式，找到系统启动盘（如 /dev/sda，也可能为 /dev/vda、/dev/nvme0n1 等），然后执行以下命令：
wget http://web/image.raw | sudo dd of=/dev/sda请注意硬盘需要有足够空间。Ubuntu Cloud Images 所需空间大约是 2.2G。完成后重启机器，等待初始化完成即可。
示例配置默认禁用密码登录，需要使用 ssh 密钥。首次登录会要求修改密码。
完成后，你就可以享受未经云厂商加料的原汁原味的系统了。
如果你想定制镜像（如安装某些软件、配置网络等），可以参考 cloud-init 的文档，包括配置示例、模块等，修改配置文件。这样，系统初始化时会进行对应配置，减少重复配置环境的工作量。
]]>首先说明一下我开启 UPnP 和 NAT-PMP 的步骤。
opkg update
opkg install miniupnpd luci-app-upnp/etc/config/upnpd 文件，修改下面几行 option enabled 1
option enable_natpmp 1
option enable_upnp 1/etc/init.d/miniupnpd enable
/etc/init.d/miniupnpd start
/etc/init.d/firewall restart然而，完成配置，打开软件后，在 Web 控制台却找不到映射记录。查看日志却发现了错误信息。
root@OpenWrt:/etc/init.d# logread | grep -i "\-pmp"
Wed Oct 13 08:49:37 2021 daemon.notice miniupnpd[1942]: Listening for NAT-PMP/PCP traffic on port 5351
Wed Oct 13 08:49:45 2021 daemon.notice miniupnpd[2717]: Listening for NAT-PMP/PCP traffic on port 5351
Wed Oct 13 08:58:23 2021 daemon.err miniupnpd[2717]: Failed to add NAT-PMP 58942 tcp->192.168.1.115:58942 'NAT-PMP 58942 tcp'
Wed Oct 13 08:58:23 2021 daemon.err miniupnpd[2717]: Failed to add NAT-PMP 58942 udp->192.168.1.115:58942 'NAT-PMP 58942 udp'经过查找，我发现了曾经有人针对此问题在 GitHub 上提了个 Issue，尽管他是针对某个二次开发的固件提的。在 Issue 中提到了两条可能的原因：1. IPv6 的问题；2. WAN 口 IP 是内网 IP 的问题。很不幸，两条我都中了。
我验证发现，我的问题与 IPv6 没有关系。于是尝试了第二种方法，在 /etc/config/upnpd 配置文件中添加这么几行：
option use_stun '1'
option stun_host 'stun.qq.com'添加后，却继续遇到错误：
Wed Oct 13 12:37:15 2021 daemon.err miniupnpd[1942]: resolve_stun_host: getaddrinfo(stun.qq.com, 3478, ...) failed : Try again
Wed Oct 13 12:37:15 2021 daemon.err miniupnpd[1942]: STUN: Performing STUN failed: Host is unreachable
Wed Oct 13 12:37:15 2021 daemon.err miniupnpd[1942]: Performing STUN failed. EXITING看起来是 STUN 过程中出现了什么错误。我尝试了很久，都无法使 STUN 成功。好在，开启了此选项后，NAT-PMP 正常工作了。同时官方文档也表明 UPnP 可能有安全风险，示例只开启了 NAT-PMP。我就先只启用 NAT-PMP，慢慢查找是哪里出了问题吧。
]]>我装的是 Ubuntu 20.04 系统，ssh 连进去，随便敲敲就发现很多不好使的地方。
]]>我装的是 Ubuntu 20.04 系统，ssh 连进去，随便敲敲就发现很多不好使的地方。
首先是颜色，bash 默认会使用彩色输出，这样可以很清晰地辨认出当前登录的用户名，以及是从哪里开始执行一个命令的，但是腾讯云的系统却只显示默认颜色，如图。
此外，正常安装的 Ubuntu 系统 ssh 上去，标题栏上会显示当前目录，或者正在执行的命令，而腾讯云的系统并不会显示。
此外，当我尝试执行 ll 时，腾讯云的系统会提示 ll: command not found。这可能是缺少 .bashrc 导致的。
此后，我也安装了 acme.sh。用官方脚本安装完以后，按说应该自动创建 acme.sh 的别名，但却没有，不知道哪里出了问题。
这个系统还有别的问题，比如第一次 apt update apt upgrade 时的巨量冲突、默认 motd 不包含可以升级的软件包数量等。这些问题我暂时还没有解决，但影响也不如上面两个严重。
诚然，我可以搜索我遇到的这些问题，然后一个个解决，但是这样太麻烦了，而且谁知道有没有别的暗坑，所以我决定重装系统。
由于腾讯云轻量不支持自己上传安装映像，我决定用以前看到的一个脚本重装。这个脚本本来只支持到 Ubuntu 18.04，我进行了改造，现在可以安装 Ubuntu 20.04 了。
结果我没有装成功。虽然腾讯云好像是基于 KVM 的，但如果服务商改了虚拟机的不知道什么地方，这个脚本还是很容易失败的。
虽然没法完全解决，但我想，不用腾讯云已经建好的用户，而是自己建一个，会不会就没这问题了。
sudo 权限首先，添加用户，并按照提示设定密码，其余选项可以保持默认（留空）。以用户名为 txuser 为例，把下面命令中的 txuser 换成你想设置的用户名。
sudo adduser txuser然后赋予 sudo 权限
sudo usermod -aG sudo txuser这时候，该用户已经被赋予了 sudo 权限，但是每次执行命令时还是需要输入密码。为了免掉这一步，编辑（或创建）/etc/sudoers.d/90-cloud-init-users 文件，在里面加上这么一行。
txuser ALL=(ALL) NOPASSWD:ALL现在尝试切换到刚刚创建的用户
su - txuser如果出现下面的提示，则说明配置正确。
To run a command as administrator (user "root"), use "sudo <command>".
See "man sudo_root" for details.我们试一下能否正常使用 sudo。
sudo apt update下面便可以尝试登录了，如果你想配置成密钥登陆，可以在这时配置。
用你最喜欢的 ssh 客户端连上服务器，就可以用了。但是，为了安全起见，最好把之前的账户禁用或删除掉。
经过测试，如果自带账户你用的是密钥登录，那么无论用 sudo usermod -L ubuntu，还是 sudo passwd -l ubuntu 命令，都无法阻止登录。一个可行的办法是用 sudo usermod ubuntu -s /sbin/nologin 命令。
但是，你也可以用下面的命令直接删掉 ubuntu 用户。
sudo userdel -r ubuntu众所周知，云服务商经常对系统镜像进行修改和定制，比如把软件源换成自己的镜像等等。如果你用的是某些不知名服务商的系统，那可能会遇到各种奇奇怪怪的问题，甚至可能有安全隐患。相比之下，Azure 等大厂的系统用着就舒服得多。
我本以为，腾讯云好歹也是正经商家，系统怎么也不会烂到哪去，结果没想到，它好的不改，怎么坏怎么来。
我有给服务配置双栈支持的习惯。如果服务器没有 IPv6 地址，我一般用 HE 隧道 或者 6to4 隧道支持 IPv6。记得以前用阿里云，配完了隧道却发现不通，原因是阿里云服务器默认关闭了 IPv6 协议栈。IPv6 协议栈本来是默认开启的，即使没有 IPv6 网络，也不应该关闭，因为某些应用可能需要这个协议。关闭本来不该关闭的功能，只会造成兼容性问题，给用户带来困扰。
希望某些云服务商把精力放在对的地方，不要把系统瞎改一通，没有任何好处，只能让用户难受。
]]>最近开始和别的实验室合作研究，由对方提供数据。对方说传输数据最简单的方法就是，我建一个 MongoDB 实例，然后他用 db.copyDatabase() 把数据复制过来。
部署服务器的任务当然是交给我做了。
嗯，建立过程很简单，在 AWS 上建 EC2 实例。助理教授让我不要选东京，而是选美国东部，我刚想问是不是因为离对方近，结果他说，因为东京太贵了。
然后是选实例类型，我们商量了半天，最后选了个 ARM 类型的机器，配置很高。助教还想用 200G 系统盘，真是奢侈，我觉得 20G 都够了。最后改成了 50G。其实我觉得配置都不用那么高，刚省的钱就又扔进去了！
由于数据比较大，用 HDD 比较合适，就也挂载了一个 2TB 的 HDD，估计都挺贵的。助教说他比较熟悉 CentOS，但我比较熟悉 Ubuntu，最后选了 Ubuntu，他说如果出了问题，那他帮不了我。
装好系统以后先 apt upgrade，然后给 HDD 分区，格式化，挂载。本想一起配一下 swapfile，但是一看物理内存的量，得，拿来当内存盘还差不多，做锤子 swapfile。
安装过程也没什么难的，按照文档一步一步装就是了。由于我们选的是 ARM 实例，我还特意确认了一下支不支持 ARM64，是支持的。
装完了应该是最新的 4.4 版。
Mac 也有文档。由于我已经有开发者工具和 Homebrew 了，就主要是运行了这两个命令：
brew tap mongodb/brew
brew install mongodb-community@4.4由于我不在 Mac 上跑这个服务，只用来连接，所以无需启动服务。安装完成后，运行 mongo，提示：
zsh: command not found: mongo嗯……只能自己找找安装在哪儿了。
问了群友，然后在 /usr/local/Cellar/mongodb-community@4.4/4.4.5/bin 找到了可执行文件，就在这里执行 ./mongo 好了。
我也考虑过手动添加到 PATH，但是看到这个带着版本号的路径，想到一升级就得重新添加，就以后再说吧。
后来我直接又执行了一遍 brew install mongodb-community@4.4，就可以直接用 mongo 了，Mac 真怪，还是 Windows 好用。
在服务器上执行 mongo，然后就可以操作了。但是如何直接连到数据库上呢？毕竟直接给别人 SSH 密钥可能不太好，而且他要执行的那个命令也不一定可以通过 SSH。
然后我找到了这篇文章。它是好用的，但是第一个指令两行粘在一起了，这导致我一开始进错了数据库，老是连接失败。都是他的错。
远程连接数据库似乎有两种命令，一种是用参数的，还有一种是用连接字符串。以前面那篇文章建立的数据库和用户为例，两种命令分别是
./mongo -u hardeep -p yourSecretPassword hostname/animals
./mongo "mongodb://hardeep@hostname:27017/animals"现在可以连接数据库了，但是只能连接一个低权限的账号。为了方便我自己管理，似乎最好有办法远程连入管理账号。
按经验，在 Ubuntu 上执行 mongo 命令之后应该是用的类似 admin 用户之类的东西，但我不知道默认用户名是什么，于是搜索，找到 MongoDB what are the default user and password?。
按照最高票回答的说法，默认是没有访问控制的，也没有什么默认用户名和密码。但那篇回答给出了创建管理员的步骤。
由于在前面，为了远程访问，我开启了访问控制，所以创建管理员之前需要先临时关闭一下。
接下来应该就是给合作者提供一个可以访问数据库的账号了。
我想参考前面的这篇文章，改一改用户名和数据库名就好，但是我不确定 readWrite 角色的权限是否足够。由于不了解 MongoDB 的具体实现，我不知道什么角色的权限高，就继续搜索。
我搜索了“mongodb grant all permissions to user”，然后在第四五个结果中找到了 Built-In Roles，但是这一堆乱七八糟的谁看得懂啊！我灵机一动，干脆直接搜索“userAdminAnyDatabase”，又找到了同一个页面的一个警告。
大意是，如果给用户授予“admin”表的 userAdmin 角色，实际上是间接提供了超级用户的访问权限，因为用户可以给自己授予 userAdminAnyDatabase。
看到这，我就想到，诶？是不是可以在我想提供的数据库上创建一个有 userAdmin 角色的用户？点开看看 userAdmin 好了。
随便上下滚动两下，我又看到了 dbOwner，相当于 readWrite、dbAdmin 和 userAdmin 的结合。这不就是我要的权限吗！
然后我就创建了一个数据库，并且在那个数据库上创建了一个 dbOwner 的用户。
刚想把创建好的用户和数据库发给对方，突然想起来数据还存在默认位置，在那个 50G 的 SSD 上，大概空间不够用。
于是我查了“mongodb where to store data”，发现配置文件写了，默认是 /usr/local/var/mongodb。我停止服务，把数据移到 HDD，修改配置文件，再启动。
启动之后，我突然想到，我应该只移数据，然后用个软链接链过去，免得改错了配置。不过既然已经改了，就那样吧，简单连了一下，似乎没有问题。
然后就把地址端口账号密码数据库发过去了。
唔……感觉没什么好总结的。硬要说的话，就是 MongoDB 的用户和权限系统吧。默认是不需要，也没有什么用户名和密码的，连上去就是完全的权限。这时候可以建好需要的用户，授予对应权限，然后就可以用配置文件或者其他什么方式开启认证，这时候就可以给别人访问啦！比起 MySQL 等关系型数据库可以针对不同用户允许不同的 IP，MongoDB 的方式似乎更简单一点。
另外我在部署的时候也没遇到什么创建数据库的操作，不知道 use 的时候会不会自动创建，还是 MongoDB 是否有其他的机制。不过给他的用户应该授予过必要的权限，让他导入数据吧w。
然后就是加密，不知道 MongoDB 默认会不会给连接加密。简单搜了一下好像有相应的配置，但还是以后再说吧，这种东西细究起来要做的太多啦，先让对方把数据传过来要紧。
再然后，对方提到他要用 db.copyDatabase() 这个命令，可是官方文档说 4.0 开始已经不推荐使用这个命令了，而是要参考mongodump。不知道他用的什么版本，算了，他复制不了再说吧。
这些只是我目前的理解，不一定对。
resotre 权限发给对方后，对方说没有 restore 权限，要求授予。emmmm，我觉得 dbOwner 应该就包含所有权限了啊，为什么会恢复不了呢？不过先在他的数据库上授予一下这个权限吧。用高权限的用户登录，执行了下面的命令：
use database_name
db.grantRolesToUser("user_name", ["restore"])结果提示“No role named restore@database_name”。
emmmm，难不成 restore 要授予在“admin”上？我在“admin”上执行相同命令，却又提示没有这个用户。
按经验判断，我在“admin”上创建同名用户的话，那应该会和之前的是两个用户，甚至密码也可以设置成不一样的。这样应该解决不了问题。那么怎么办呢？
我搜索“mongodb grant restore”，没有找到有用的结果，想了想，直接搜错误提示，“No role named restore@”，第一条 mongodb no role named restore 就是有用的结果。
于是我执行了 db.grantRolesToUser("user_name",[{role: "restore", db: "admin"}])，问题解决。
似乎用户必须是创建在某个数据库上，然后也可以授予关于别的数据库的权限。在“admin”上创建的用户似乎一般有一定的管理权限。某些角色，比如 restore，是只有“admin”才有的，其他数据库没有，也没法授予。
我怀疑这个授予在“admin”数据库的角色会有其他的权限，官方文档我也没看懂（好吧，我没仔细看，现阶段又无所谓w）。
另外，即使开启了认证，也可以直接连，然后用 db.auth() 进行认证，而不是必须在连接时指定数据库、用户名和密码。
P.S: 传输数据的时候我 SSH 上去看了一下，内存竟然吃了一半，CPU 也吃了一小半。助教真是英明，选的配置刚刚好x。
想了想，其实是我自己的服务器太丐了，内存只有 1GB 到 2GB，毕竟我没钱嘛。
上文没提到，但我查到的并且可能有用的参考资料。
]]>How To Configure Remote Access for MongoDB on Ubuntu 20.04