 xmz7891
|
0ad3f648c6
|
修上一轮清理留下的副作用：占位符把运维脚本弄连不上了
上一个提交把仓库里的服务器 IP 换成了占位符，但**那些脚本本身要用这个 IP
去连服务器** —— 换掉之后它们就跑不起来了。这个提交把取值方式理清楚。
== 取值统一走 _build/lssh.py ==
YKXMZ_LS_HOST 环境变量
或 _build/.lightsail_host（一行 IP，已 gitignore）
都没有就报错，并告诉你怎么设
十个运维脚本改成 `from lssh import ... HOST as LS_HOST`，
公开仓库里一个具体地址都不留。
== 顺带修的两个自己造的 bug ==
* 用正则往 `from lssh import ...` 后面追加东西时，
追加到了行尾的 `# noqa: E402` **注释里面** ——
十处导入全是废的，脚本一跑就 NameError。
改成先剥掉注释、拼好导入、再把 noqa 加回去。
* 同一个正则还把 `from lssh import HOST as LS_HOST` 加进了
**lssh.py 自己**，造成自我导入。
教训：**正则批量改导入语句很危险**（注释、行尾、顺序都能坑到），
这种地方宁可逐个 edit。
== 为什么要重建产物 ==
docs/AFTER-INSTALL.txt 会被打进服务端 zip，而它上一轮改过
（去掉了写死的旧管理员密码）—— 不重打的话发出去的还是旧的。
重打后确认：三个产物里都没有旧密码、没有服务器 IP。
== 验证 ==
全量回归退出码 0，41 个阶段全 PASS
603 个 Python 文件语法通过
ykxmz-agent / server / watch 三个产物扫描干净
提交前泄漏闸门通过
|
2026-10-09 00:02:32 +08:00 |
|
|
xmz7891
|
9bdd36cf56
|
2.1.4：修 URL 协议头 bug + 清理对外材料里泄漏的服务器信息
用户报了三件事，一起处理。
== 一、发行版介绍里泄漏了服务器公网 IP ==
_build/CHANGELOG.md 的 2.1.3 那节写了服务器公网 IP，而发布脚本
把这个文件当"更新说明"传给 Gitee，于是发行版介绍里就带出去了。
为什么 IP 不该公开：直接打 IP 就绕过 Cloudflare 了 ——
没有 CDN、没有防护、没有速率限制。源站本来就不该被人知道是谁
（这也是为什么 nginx 那层只认域名、中转只绑 127.0.0.1）。
处理：
* 已发的 v2.1.3 发行版介绍用 API 改掉（扫了全部 11 个发行版，只它一个）
* 仓库里 16 个文件里的 IP 全部换成域名或占位符
* 运维脚本改成从环境变量读，公开仓库里不留具体地址
顺手发现**更严重的一处**：旧管理员密码硬编码在
docs/AFTER-INSTALL.txt（会打进服务端 zip）和
installer/license-combined.txt（**安装包的许可页，每个装的人都能看到**）里。
而用户当前密码就含这个串，等于公开了一半。一并清掉，
公开材料里改成"密码在你服务器上"的说明。
== 二、手表端填了地址却连不上 ==
用户截图：填域名（没写协议头）-> 点「检查服务器」报
MalformedURLException: no protocol: <域名>/v1/health
根因：补协议头的逻辑只写在连接那条路（RelayTransport 的构造函数）上，
checkServer() 直接拿原始字符串拼 URL —— 同一个地址，连接能用、检查却崩。
修法：把规范化收到 relayUrl() 这**唯一一个入口**，所有调用方都从那里取。
规则和电脑端一致：IP / localhost / *.local -> http，域名 -> https。
顺带补了 _tests/test_relay_url_normalize.py 盯住它（含 9 个用例实算）。
== 三、Gitee 的 README 被判"可能含有违规信息" ==
Gitee 挂的是软性公告（可自行修改或申诉），但确实挂在那。
逐项看了 README，改掉几处**不准确**且容易误判的表述：
* 原文写"看看学生机是不是在打游戏" —— 这是**错的**：
被控端只装在一台电脑上（讲台那台），根本看不到别的机器。
既不准确又像监控软件，改成"作用于被控端那一台"
* 课堂那几项功能如实说明：改的是本机 hosts、结束的是本机进程，
都可逆，下课点「一键恢复全部」就还原
* "免杀对抗""伪装成系统进程"这类词（虽然是在说"我们不做这些"）
本身就在审核词库里，换成正面的说法
* 成品文件名从 1.8.2 更新到当前版本，并且以后发版自动跟着改
（把 README 加进了 bump 脚本；以前一直停在 1.8.2，
用户照着 README 去 releases 根本找不到那个文件）
== 四、做这件事时自己踩的坑（都写进注释了）==
* 批量替换时**没排除 gitignore 的文件**，把本地密码文件也改了
* 替换时往字典字面量中间塞注释，**弄坏了 5 个文件的语法**
* 修的时候手写"坏文件列表"，漏了 2 个 ——
改成全仓库扫模式（列表是观察到的，不是穷尽的）
* 清理工具自己又成了泄漏点（脚本里写了要匹配的 IP/密码），
加了 _build/precommit_leak_gate.py 当闸门才抓到
教训：批量替换要先排除不该碰的文件，而且不能往表达式中间塞东西。
== 按用户要求：测完再提交 ==
全量回归 41 个阶段全 PASS（2 项因锁屏 SKIP）
601 个 Python 文件语法通过
pyflakes 干净
安装包完整周期 20/20
对外材料清洁度 15/15
提交前泄漏闸门通过
（这条信息是补写的：上一个提交因为 heredoc 把提交说明打到屏幕而不是
文件，信息变成空的 "remove temp" 了，内容本身是对的。）
|
2026-10-08 23:51:17 +08:00 |
|
|
xmz7891
|
892d5891ea
|
搬到 Lightsail 真服务器 + 加 nginx 给 Cloudflare 回源
== 新架构 ==
用户 --HTTPS--> Cloudflare CDN --HTTP:80--> nginx
(yk.xxmxxs.top) 13.54.30.196
|
v
127.0.0.1:13245 (中转)
旧架构是"Cloudflare 隧道"（cloudflared 走 7844 到那台 4G 小机器），
那条线路对 7844 是间歇性阻断的（443 通、7844 不通），
隧道每 3~10 分钟掉一次、公网跟着 530 —— 是"网站容易挂"的主因。
新架构**不用隧道**：新机器有公网 IP，Cloudflare 走标准的
反代（回源 80 端口），这是完全不同的东西，没有 7844 问题。
== 为什么要 nginx 这一层 ==
Cloudflare 只能回源到特定端口：
HTTP: 80 / 8080 / 8880 / 2052 / 2082 / 2086 / 2095
HTTPS: 443 / 2053 / 2083 / 2087 / 2096 / 8443
中转跑的 13245 不在列表里，所以中间放一层 nginx。
加了 nginx 之后顺便把中转**改成只监听 127.0.0.1** ——
公网只能通过 nginx 进来，少一个暴露面。实测
http://13.54.30.196:13245 现在是连不上的（000），符合预期。
== nginx 配置要点 ==
/download/ proxy_buffering on + 显式 Cache-Control 604800 immutable
（文件名带版本号、内容永不改变，放心长缓存；
Cloudflare 缓存后第二次下载不回源）
/v1/ proxy_read_timeout 180s + **proxy_buffering off**
（长轮询挂 60 秒，nginx 默认 60 秒就断；而且必须关缓冲，
否则要等整个响应完才吐给客户端，那就不是长轮询了）
/ 普通反代
server_tokens off
client_max_body_size 200m
== 代码修复 ==
relay.py 的 DATA_DIR 默认值原来是写死的 /root/lanremote-relay。
新机器上服务以 admin 普通用户跑（它没理由要 root），而 /root 是 0700,
部署时直接 PermissionError。改成"脚本所在目录下的 data/"。
== 客户端 ==
2.1.3 里已经让手表端支持"没有证书的中转"（裸 IP 走明文 +
usesCleartextTraffic）。等域名和 Cloudflare 接好之后就是全程 HTTPS 了。
== 新增的运维脚本 ==
_build/lssh.py Lightsail 的 SSH 助手（密钥登录）
_build/deploy_lightsail.py 首次部署中转
_build/deploy_lightsail_monitor.py 装监测单元 + 预案
_build/deploy_lightsail_release.py 按版本部署代码和成品
_build/check_lightsail.py 看状态
_build/setup_nginx.py 装配 nginx
relay/rescue-lightsail.sh 紧急预案（针对新架构重写：
没有隧道了，改成重启中转 / 强杀重拉 /
查防火墙 / 重启整机[默认关]）
|
2026-10-08 22:38:57 +08:00 |
|