最近把荒废多年的博客捡起来修缮了一番，在这篇文章里记录一下。使用 Waline 评论系统很多年前，我用自己写的博客系统换掉了 WordPress，在那之后短暂用过多说，其余时间都在用 Disqus 作为博客的评论系统。Disqus 作为第三方社会化评论的鼻祖，早些年体验和口碑都都非常不错，但前几年它被营销科技公司 Zeta 收购，多了不少乱七八糟的广告，付费去广告的费用也不便宜。另外最近几年 Disqus 在国内基本不可用，我之前通过解析接口和自己写界面搞了一个评论基础模式，凑合着用。几个月前我发现，Disqus 评论框在我手机默认浏览器默认输入法下完全无法使用，开始以为是 CSP 拦了一些 JS 导致的问题，后来发现并不是。在我的认知里，核心功能主流环境无法使用就算不是 P0 也不至于几个月都没修复，所以尽管很感谢 Disqus 让我免费用了这么多年，还是下定决心换掉。为什么换成Waline，主要原因是跟作者很熟，遇到问题直接问。其次 Waline 项目用到的技术比较现代，代码结构很清晰，万一后续有什么需求要改代码，上手成本也不会太高。迁移过程非常顺利，参考 Waline 官方文档都能搞定，以下是一些小提示：官方「快速上手」文档中描述的是 Vercel 部署服务端 + LeanCloud 数据库的方式，我采用的是本地部署 + MySQL 数据库，这部分文档在「部署」和「多数据库 ...继续阅读 (47)

前年，我开始用 Airtable 表格记录我所有的数码产品、软件和订阅的服务，包括购买 / 续费时间、状态（在用 / 吃灰 / 转售）、价格等信息，便于随时查阅和总结。今天翻了翻过去半年的记录，发现相较往年有不少变化，上半年我的购买清单可以用「理性」和「精简」来概括，例如 Steam Deck、ROG Ally 这类冲动消费完全消失，使用频次不高的产品会在彻底吃灰前卖掉，各类订阅服务也做了一轮精简。简而言之，与当前不景气的经济形势和降本增效的主旋律基本吻合。今天这篇文章，主要介绍我上半年购买并且至今每天都在用的几件数码产品，也会穿插介绍一些技巧和思路，供大家参考。MacBook Pro在最重要的生产力设备上，我希望能有最好的体验。笔记本电脑这个品类里，苹果始终是我的第一选择。目前在售最新的 MacBook 机型分别是今年 3 月初发布的 13 / 15 英寸 MacBook Air，去年 12 月底发布的 14 / 16 英寸 MacBook Pro。二者都装有 M3 芯片，Pro 系列还可以选配 M3 Pro 和 M3 Max。首先被我划掉的是 16 英寸 MacBook Pro，2.16 千克的净重让它又沉又滑，之前单手没拿稳把一个角摔变形的惨案还历历在目。其次划掉的是 13 英寸 MacBook Air，理由是屏幕分辨率偏小，显示内容偏少。我在 15 英寸 MacBook A ...继续阅读 (48)

今天看到亚马逊中国的公告，提醒用户 Kindle 中国电子书店将于 2024 年 6 月 30 日停止云端下载服务。Kindle 在 2022 年宣布退出中国市场，一年后的 2023 年 6 月 30 日正式停止中国电子书店的运营，再在今年彻底关闭下载服务。相比国内某些说关就关的服务，这个时间表真的非常良心了。我一直是墨水屏爱好者，这篇文章聊一聊这些年我用过的墨水屏阅读器、我个人关于墨水屏阅读器的选购建议，以及我在获取数字内容上的一点心得。我用过的墨水屏阅读器2013 年，Kindle Paperwhite 国行发布时，我入手了一台，这是我首次接触墨水屏产品。在这之后的十年里，我先后用过亚马逊的 Kindle Voyage、Kindle Oasis、Kindle Oasis 2，以及最新的 Kindle Scribe ── 一台采用 10.2 英寸 300 ppi 的 Carta 1200 墨水屏、支持触控笔的设备。Kindle 第一代于 2007 年推出，至今共推出十一代产品。目前最新机型有三款，Kindle Paperwhite 5 发布于 2021 年 9 月，Kindle 11 发布于 2022 年 10 月，Kindle Scribe 则发布于 2022 年 11 月。不同于国内厂商恨不得每个月都发新品，亚马逊在设备更新上非常克制，这也使得 Kindle 的功能始终保持单 ...继续阅读 (66)

今天来跟大家聊一聊我从飞书毕业的事情。先简单介绍下个人情况：二个孩子的奶爸（儿子五岁，女儿今天出生❤️），37 岁+，工作 16 年，坐标北京，一直在互联网大厂工作，字节司龄即将满三年，学历一本 + 非全硕士。不怎么太平的三月关于飞书精简团队规模的传言似乎从没断过，网上非常多的分析文章都指向同一个观点“飞书产品真的好用但飞书团队人效实在太低，商业上不可持续”。平心而论，我也觉得飞书产品体验超级棒，也确实存在业务不聚焦、组织过于臃肿等问题，只是没想到这次变化来得这么突然。我带了一个三十来人的团队，3 月初大团队还在大量招人，每位 Leader 都需要在字节圈、朋友圈、BOSS 和脉脉发招聘和活水的宣传贴。然而到了 3 月中旬，沟通年度绩效的日子突然被推迟了三天，这时大家心里都明白，这次终于要动真格了。果然很快，首先是 3/25 晚间 LatePost 发布了意味深长的文章《复盘飞书七年：最不抖音的产品，获得了最多时间》，几个小时后的 3/26 早上，飞书内部全员信如约而至。与此同时 HR 也已飞赴各地办公区，根据手里事先敲定的名单和方案，启动协商解除劳动合同沟通。在这件事上，我见到了久违的高效和专业。我们都在名单里团队里有几个非常靠谱的小伙伴需要离开。其中一个小伙伴在内网发了篇帖子“为了上班刚买了辆车，结果告诉我这班不用上了”，引发不少同事讨论他新买的车。有小伙伴问我为什么他在名单里 ...继续阅读 (49)

本文首发于掘金，为了后续统一管理，现搬回我的博客，内容有部分更新。几个月前，收到掘友反馈无法查看自己的头像图片（p*-passport.byteacctimg.com），站内其他图片（p*-juejin.byteimg.com）正常。掘金用户头像直接使用公司公共的 Passport CDN 地址，按说不应该有问题，本地无法复现，反馈量也不大，一周几条，但一直持续。排查过程考虑到掘金用户大部分都是程序员，让掘友协助排查最高效。在反馈后评论留言，很快就联系到两名掘友。可以 Ping 通域名图片无法访问首先要怀疑 DNS 和网络连通性。让掘友 Ping 头像域名，一切正常，返回的 ip 没有被劫持，DNS 和网络连通没有问题。浏览器提示连接被重置再让掘友用 Chrome 浏览器直接访问图片 URL，报错信息为ERR_CONNECTION_RESET。网络环境阻断了连接两名掘友都表示，只有在公司访问掘金才出现问题，结合浏览器给出的“连接被重置”信息，怀疑所在网络对该域名进行了拦截。一个小知识点：拦截 HTTPS 请求经常会用到SNI信息。为了在同 IP 部署多个 HTTPS 服务，TLS 提供名为 SNI（Server Name Indication）的扩展，现代浏览器都支持 SNI。浏览器发送 Client Hello 握手时，会把请求 URL 中的 Host 明文放在 SNI 扩展中传 ...继续阅读 (37)

真的有很多年没更新博客了，写博客这件事真的不能停，一停下来就完全不知道该怎么开始了。北京的初春雪景格外美 ── 可惜我只能透过酒店的窗户看到一小部分 ── 因为去过新冠确诊病例所在楼层而被集中隔离。酒店条件、餐食都不错，我本人也很健康，只是 21 天不能出房间实在有点久，久到居然想到在博客上写点东西。博客上次更新还在 2017 年，这五年来发生的事情太多太多，就连疫情都迎来了第三个年头。想写的东西有点多，今天先从自己近期工作和生活上的一些变化聊起。提示：本文纯属闲聊，没有任何干货。聊聊工作有些热心的读者已经发现，前些时我修改了“关于”页面上的工作经历部分。是的，21年5月，在 360 工龄还差三个月满十年之际，我选择了离开。因为一些原因，当时我没有在任何场合提及这件事，但离开一家工作十年的公司远没想象中的那么容易。我的第一份工作是在百度电商部门。三年时间，极具挑战的项目和业内顶尖的同事，让我具备了一名合格工程师所需技能，也让我见识到一个优秀团队需要具备的所有条件。感谢百度！而我人生中更多的重要时刻，则是与我工作过的第二家公司奇虎 360 交织在一起。感恩 360 能让我在北京站稳脚跟；感恩我的历任领导一直赋予我更大的 Scope，给予充足的成长空间，帮助我快速成长；更要感恩一起并肩作战过的伙伴们，让我有了永远珍藏的回忆和不虚此行的十年。祝愿 360 公司能再次突破，走上新的高度，也 ...继续阅读 (47)

今年早些时候，奇舞团开源的 Node.js 框架 ──ThinkJS迎来了她的 3.0 版本。尽管今年我很少更新博客，但「每次 ThinkJS 发布大版本，我都要更新博客程序」的老传统还是不能丢。所以，你现在看到的这个博客，已经是基于 ThinkJS 3 全面重构后的新版。ThinkJS 3 基于Koa2.x 开发，内核实现得非常小巧，框架通过 Middleware（兼容 Koa）、Adapter、Extend 等机制来扩展出强大而丰富的功能。按照惯例，ThinkJS 大版本之间无法平滑进行，但这次升级带来的工作量不算太大，本站的升级工作花了一下午全部完成。基于 ThinkJS 开发的网站普遍都很快，这篇文章我打算聊聊如何为 ThinkJS 3 网站优化 TTFB 时间，使之变得更快。Time to first byte（简称 TTFB）时间，又称首字节时间，是 WEB 性能优化中非常重要的指标。它代表着从浏览器发起 HTTP 请求到收到 HTTP 响应第一个字节的这段时间，包含了 DNS 解析、建立 TCP 连接、建立 SSL 连接、发送 HTTP 请求、网络传输、服务端处理、30X 重定向等阶段。在影响 TTFB 所有因素中，服务端程序何时输出响应决定了服务端处理时间的长短，也是本文关注的优化目标。优化 WEB 页面的 TTFB 时间除了要尽可能优化业务逻辑之外，还有两个常用技 ...继续阅读 (45)

更新：在做出「暂停更新」的决定后，本站一些实验性配置已经去除，包括本文提到的 TLS 1.3。我将以最低维护成本保证本站可用。@ 2020/04/22几个月前，我在升级本博客所用 Nginx 时，顺手加上了对 TLS 1.3 的支持，本文贴出详细的步骤和注意事项。有关 TLS 1.3 的介绍可以看 CloudFlare 的这篇文章：An overview of TLS 1.3 and Q&A;。需要注意目前 Chrome 和 Firefox 支持的是 TLS 1.3 draft 18，暂时不要用在生产环境。更新：目前 Chrome 70 已经支持 TLS 1.3 final，本文已更新。@ 2018/10/19安装依赖我的 VPS 系统是 Ubuntu 16.04.3 LTS，如果你使用其它发行版，与包管理有关的命令请自行调整。首先安装依赖库和编译要用到的工具：sudo apt-get install build-essential libpcre3 libpcre3-dev zlib1g-dev unzip git获取必要组件nginx-ct和ngx-brotli与本文主题无关，不过都是常用的 Nginx 组件，一并记录在这里。nginx-ctnginx-ct模块用于启用Certificate Transparency功能。直接从 github 上获取源码：wget -O ngi ...继续阅读 (43)

在最近几年里，我写了很多有关 HTTPS 和 HTTP/2 的文章，涵盖了证书申请、Nginx 编译及配置、性能优化等方方面面。在这些文章的评论中，不少读者提出了各种各样的问题，我的邮箱也经常收到类似的邮件。本文用来罗列其中有代表性、且我知道解决方案的问题。为了控制篇幅，本文尽量只给出结论和引用链接，不展开讨论，如有疑问或不同意见，欢迎留言讨论。本文会持续更新，欢迎大家贡献自己遇到的问题和解决方案。实际上，遇到任何有关部署 HTTPS 或 HTTP/2 的问题，都推荐先用Qualys SSL Labs's SSL Server Test跑个测试，大部分问题都能被诊断出来。申请 Let's Encrypt 证书时，一直无法验证通过这类问题一般是因为 Let's Encrypt 无法访问你的服务器，推荐尝试acme.sh的DNS 验证模式，一般都能解决。网站无法访问，提示 ERR_CERTIFICATE_TRANSPARENCY_REQUIRED使用 Chrome 53 访问使用 Symantec 证书的网站，很可能会出现这个错误提示。这个问题由 Chrome 的某个 Bug 引起，目前最好的解决方案是升级到 Chrome 最新版。相关链接：Out of date Chrome results in ERR_CERTIFICATE_TRANSPARENCY_REQUIRED for S ...继续阅读 (706)

在最近几年里，我写了很多有关 HTTPS 和 HTTP/2 的文章，涵盖了证书申请、Nginx 编译及配置、性能优化等方方面面。在这些文章的评论中，不少读者提出了各种各样的问题，我的邮箱也经常收到类似的邮件。本文用来罗列其中有代表性、且我知道解决方案的问题。为了控制篇幅，本文尽量只给出结论和引用链接，不展开讨论，如有疑问或不同意见，欢迎留言讨论。本文会持续更新，欢迎大家贡献自己遇到的问题和解决方案。实际上，遇到任何有关部署 HTTPS 或 HTTP/2 的问题，都推荐先用Qualys SSL Labs's SSL Server Test跑个测试，大部分问题都能被诊断出来。申请 Let's Encrypt 证书时，一直无法验证通过这类问题一般是因为 Let's Encrypt 无法访问你的服务器，推荐尝试acme.sh的DNS 验证模式，一般都能解决。网站无法访问，提示 ERR_CERTIFICATE_TRANSPARENCY_REQUIRED使用 Chrome 53 访问使用 Symantec 证书的网站，很可能会出现这个错误提示。这个问题由 Chrome 的某个 Bug 引起，目前最好的解决方案是升级到 Chrome 54+。相关链接：Out of date Chrome results in ERR_CERTIFICATE_TRANSPARENCY_REQUIRED for S ...继续阅读 (33)

在最近几年里，我写了很多有关 HTTPS 和 HTTP/2 的文章，涵盖了证书申请、Nginx 编译及配置、性能优化等方方面面。在这些文章的评论中，不少读者提出了各种各样的问题，我的邮箱也经常收到类似的邮件。本文用来罗列其中有代表性、且我知道解决方案的问题。为了控制篇幅，本文尽量只给出结论和引用链接，不展开讨论，如有疑问或不同意见，欢迎留言讨论。本文会持续更新，欢迎大家贡献自己遇到的问题和解决方案。实际上，遇到任何有关部署 HTTPS 或 HTTP/2 的问题，都推荐先用Qualys SSL Labs's SSL Server Test跑个测试，大部分问题都能被诊断出来。申请 Let's Encrypt 证书时，一直无法验证通过这类问题一般是因为 Let's Encrypt 无法访问你的服务器，推荐尝试acme.sh的DNS 验证模式，一般都能解决。网站无法访问，提示 ERR_CERTIFICATE_TRANSPARENCY_REQUIRED使用 Chrome 53 访问使用 Symantec 证书的网站，很可能会出现这个错误提示。这个问题由 Chrome 的某个 Bug 引起，目前最好的解决方案是升级到 Chrome 最新版。相关链接：Out of date Chrome results in ERR_CERTIFICATE_TRANSPARENCY_REQUIRED for S ...继续阅读 (41)

VeryNginx是一个功能强大而对人类友好的 Nginx 扩展程序，这是作者的原话。很久之前我就看到过这个项目，直到最近我才在本站试用了一把，确实好用，于是想通过本文把它介绍给更多人。VeryNginx 主要由两部分组成：基于 lua-nginx-module 开发的 Lua 脚本，以及基于 HTML/CSS/JS 开发的 Web 控制面板 —— 用于生成和管理 Lua 脚本所需配置。lua-nginx-module 能让 Lua 脚本直接跑在 Nginx 内部，比用 C 语言开发 Nginx 模块更容易上手，同时还能充分利用 Nginx 的非阻塞 I/O 模型，非常适合开发功能复杂、性能优异的 Web 应用。它也是大家熟知的 OpenResty 套件中一个最核心的模块。VeryNginx 通过在请求的不同阶段（如 init_by_lua*/rewrite_by_lua*/access_by_lua*/log_by_lua*）执行不同 Lua 脚本，实现给请求打标签及对拥有不同标签的请求进行不同的处理的功能。除此之外，它还支持常见的统计报表展示。安装 VeryNginxVeryNginx 依赖以下三个 Nginx 模块：lua-nginx-modulehttp_stub_status_modulehttp_ssl_module如果对 Nginx 没有定制化需求，建议直接使用 Ve ...继续阅读 (60)

VeryNginx是一个功能强大而对人类友好的 Nginx 扩展程序，这是作者的原话。很久之前我就看到过这个项目，直到最近我才在本站试用了一把，确实好用，于是想通过本文把它介绍给更多人。VeryNginx 主要由两部分组成：基于 lua-nginx-module 开发的 Lua 脚本，以及基于 HTML/CSS/JS 开发的 Web 控制面板 —— 用于生成和管理 Lua 脚本所需配置。lua-nginx-module 能让 Lua 脚本直接跑在 Nginx 内部，比用 C 语言开发 Nginx 模块更容易上手，同时还能充分利用 Nginx 的非阻塞 I/O 模型，非常适合开发功能复杂、性能优异的 Web 应用。它也是大家熟知的 OpenResty 套件中一个最核心的模块。VeryNginx 通过在请求的不同阶段（如 init_by_lua*/rewrite_by_lua*/access_by_lua*/log_by_lua*）执行不同 Lua 脚本，实现给请求打标签及对拥有不同标签的请求进行不同的处理的功能。除此之外，它还支持常见的统计报表展示。安装 VeryNginxVeryNginx 依赖以下三个 Nginx 模块：lua-nginx-modulehttp_stub_status_modulehttp_ssl_module如果对 Nginx 没有定制化需求，建议直接使用 Ve ...继续阅读 (40)

VeryNginx是一个功能强大而对人类友好的 Nginx 扩展程序，这是作者的原话。很久之前我就看到过这个项目，直到最近我才在本站试用了一把，确实好用，于是想通过本文把它介绍给更多人。VeryNginx 主要由两部分组成：基于 lua-nginx-module 开发的 Lua 脚本，以及基于 HTML/CSS/JS 开发的 Web 控制面板 —— 用于生成和管理 Lua 脚本所需配置。lua-nginx-module 能让 Lua 脚本直接跑在 Nginx 内部，比用 C 语言开发 Nginx 模块更容易上手，同时还能充分利用 Nginx 的非阻塞 I/O 模型，非常适合开发功能复杂、性能优异的 Web 应用。它也是大家熟知的 OpenResty 套件中一个最核心的模块。VeryNginx 通过在请求的不同阶段（如 init_by_lua*/rewrite_by_lua*/access_by_lua*/log_by_lua*）执行不同 Lua 脚本，实现给请求打标签及对拥有不同标签的请求进行不同的处理的功能。除此之外，它还支持常见的统计报表展示。安装 VeryNginxVeryNginx 依赖以下三个 Nginx 模块：lua-nginx-modulehttp_stub_status_modulehttp_ssl_module如果对 Nginx 没有定制化需求，建议直接使用 Ve ...继续阅读 (41)

随着 iOS 10 的正式发布，Safari 也迎来了大量更新，例如新增了对 ES6、CSP2.0、Shadow DOM 等功能和特性的支持。本文为大家介绍 iOS10 自带 Safari 浏览器在视频播放政策上的最新变化。首先划出重点：1）iOS 10 Safari 支持特定视频自动播放；2）iOS 10 Safari 支持视频内联播放。想了解更多细节的同学请接着往下看。之前的政策？在 iPhoneOS 3（没错，当时 iOS 还不叫 iOS）Safari 开始支持<video>标签时，苹果人为设置了很多限制，例如视频无法自动播放 —— 甚至连 Meta 信息预加载都被禁用。显然，这是为了避免给用户造成高额流量费用而作出的妥协，顺便还能节省用户手机电量。随着视频的普及，在 iOS 8 中，苹果放宽了对 Safari 视频播放的限制：允许使用preload="metadata"来预加载视频 Meta 信息。但仅此而已，Safari 中的<video>元素仍然无法自动播放，也无法内联播放 —— 这意味着视频只能在用户主动操作后才能播放，且播放时必须全屏。至于「用户主动操作」具体指的是哪些行为，苹果官方有详细的说明：点击视频播放按钮；触发touchend、click、doubleclick或keydown事件，且在事件处理函数中直接调用vid ...继续阅读 (42)

随着 iOS 10 的正式发布，Safari 也迎来了大量更新，例如新增了对 ES6、CSP2.0、Shadow DOM 等功能和特性的支持。本文为大家介绍 iOS10 自带 Safari 浏览器在视频播放政策上的最新变化。首先划出重点：1）iOS 10 Safari 有条件地支持视频自动播放；2）iOS 10 Safari 支持视频内联播放。想了解更多细节的同学请接着往下看。之前的政策？在 iPhoneOS 3（没错，当时 iOS 还不叫 iOS）Safari 开始支持<video>标签时，苹果人为设置了很多限制，例如视频无法自动播放 —— 甚至连 Meta 信息预加载都被禁用。显然，这是为了避免给用户造成高额流量费用为作出的妥协，同时也能节省用户手机电量。随着视频的普及，在 iOS 8 中，苹果放宽了对 Safari 视频播放的限制：允许使用preload="metadata"来预加载视频 Meta 信息。但仅此而已，Safari 中的<video>元素仍然无法自动播放，也无法内联播放 —— 这意味着视频只能在用户主动操作后才能播放，且播放时必须全屏。至于「用户主动操作」具体指的是哪些行为，苹果官方有详细的说明：点击视频播放按钮；触发touchend、click、doubleclick或keydown事件，且在事件处理函数中直接调用v ...继续阅读 (39)

随着 iOS 10 的正式发布，Safari 也迎来了大量更新，例如新增了对 ES6、CSP2.0、Shadow DOM 等功能和特性的支持。本文为大家介绍 iOS10 自带 Safari 浏览器在视频播放政策上的最新变化。首先划出重点：1）iOS 10 Safari 支持特定视频自动播放；2）iOS 10 Safari 支持视频内联播放。想了解更多细节的同学请接着往下看。之前的政策？在 iPhoneOS 3（没错，当时 iOS 还不叫 iOS）Safari 开始支持标签时，苹果人为设置了很多限制，例如视频无法自动播放 —— 甚至连 Meta 信息预加载都被禁用。显然，这是为了避免给用户造成高额流量费用而作出的妥协，顺便还能节省用户手机电量。随着视频的普及，在 iOS 8 中，苹果放宽了对 Safari 视频播放的限制：允许使用preload="metadata"来预加载视频 Meta 信息。但仅此而已，Safari 中的元素仍然无法自动播放，也无法内联播放 —— 这意味着视频只能在用户主动操作后才能播放，且播放时必须全屏。至于「用户主动操作」具体指的是哪些行为，苹果官方有详细的说明：点击视频播放按钮；触发touchend、click、doubleclick或keydown事件，且在事件处理函数中直接调用video.play()方法。显然，button.addEventListen ...继续阅读 (42)

我之前的文章多次提到 ECC 证书，但一直没有专门介绍 ECC 证书的文章，今天补上。本文包含三部分内容：1）简单介绍 ECC 证书是什么；2）介绍如何申请 ECC 证书；3）以 Nginx 为例介绍如何使用 ECC 证书。顺便说下，本站已经用上了 ECC 证书。要查看本站主要支持哪些技术特性，可以点这里。简单介绍HTTPS 通过 TLS 层和证书机制提供了内容加密、身份认证和数据完整性三大功能，可以有效防止数据被监听或篡改，还能抵御 MITM（中间人）攻击。TLS 在实施加密过程中，需要用到非对称密钥交换和对称内容加密两大算法。对称内容加密强度非常高，加解密速度也很快，只是无法安全地生成和保管密钥。在 TLS 协议中，应用数据都是经过对称加密后传输的，传输中所使用的对称密钥，则是在握手阶段通过非对称密钥交换而来。常见的 AES-GCM、ChaCha20-Poly1305，都是对称加密算法。非对称密钥交换能在不安全的数据通道中，产生只有通信双方才知道的对称加密密钥。目前最常用的密钥交换算法有 RSA 和 ECDHE：RSA 历史悠久，支持度好，但不支持 PFS（Perfect Forward Secrecy）；而 ECDHE 是使用了 ECC（椭圆曲线）的 DH（Diffie-Hellman）算法，计算速度快，支持 PFS。要了解更多 RSA 和 ECDHE 密钥交换的细节，可以阅 ...继续阅读 (53)

我之前的文章多次提到 ECC 证书，但一直没有专门介绍 ECC 证书的文章，今天补上。本文包含三部分内容：1）简单介绍 ECC 证书是什么；2）介绍如何申请 ECC 证书；3）以 Nginx 为例介绍如何使用 ECC 证书。顺便说下，本站已经用上了 ECC 证书。要查看本站主要支持哪些技术特性，可以点这里。简单介绍HTTPS 通过 TLS 层和证书机制提供了内容加密、身份认证和数据完整性三大功能，可以有效防止数据被监听或篡改，还能抵御 MITM（中间人）攻击。TLS 在实施加密过程中，需要用到非对称密钥交换和对称内容加密两大算法。对称内容加密强度非常高，加解密速度也很快，只是无法安全地生成和保管密钥。在 TLS 协议中，应用数据都是经过对称加密后传输的，传输中所使用的对称密钥，则是在握手阶段通过非对称密钥交换而来。常见的 AES-GCM、ChaCha20-Poly1305，都是对称加密算法。非对称密钥交换能在不安全的数据通道中，产生只有通信双方才知道的对称加密密钥。目前最常用的密钥交换算法有 RSA 和 ECDHE：RSA 历史悠久，支持度好，但不支持 PFS（Perfect Forward Secrecy）；而 ECDHE 是使用了 ECC（椭圆曲线）的 DH（Diffie-Hellman）算法，计算速度快，支持 PFS。要了解更多 RSA 和 ECDHE 密钥交换的细节，可以阅 ...继续阅读 (44)

我之前的文章多次提到 ECC 证书，但一直没有专门介绍 ECC 证书的文章，今天补上。本文包含三部分内容：1）简单介绍 ECC 证书是什么；2）介绍如何申请 ECC 证书；3）以 Nginx 为例介绍如何使用 ECC 证书。顺便说下，本站已经用上了 ECC 证书。本站主要用到的技术及主要支持的特性，请点击查看。简单介绍HTTPS 通过 TLS 层和证书机制提供了内容加密、身份认证和数据完整性三大功能，可以有效防止数据被监听或篡改，还能抵御 MITM（中间人）攻击。TLS 在实施加密过程中，需要用到非对称密钥交换和对称内容加密两大算法。对称内容加密强度非常高，加解密速度也很快，只是无法安全地生成和保管密钥。在 TLS 协议中，应用数据都是经过对称加密后传输的，传输中所使用的对称密钥，则是在握手阶段通过非对称密钥交换而来。常见的 AES-GCM、ChaCha20-Poly1305，都是对称加密算法。非对称密钥交换能在不安全的数据通道中，产生只有通信双方才知道的对称加密密钥。目前最常用的密钥交换算法有 RSA 和 ECDHE：RSA 历史悠久，支持度好，但不支持 PFS（Perfect Forward Secrecy）；而 ECDHE 是使用了 ECC（椭圆曲线）的 DH（Diffie-Hellman）算法，计算速度快，支持 PFS。要了解更多 RSA 和 ECDHE 密钥交换的细节，可 ...继续阅读 (60)

HTTP Alternative Services（HTTP 替代服务）是今年上半年由 IESG 通过的一项与 HTTP 有关的新协议。估计很少有人能从名字上猜出它是用来干嘛的，本文从解决什么问题、如何使用以及真实场景下的应用三方面来介绍这份协议。顺便说一下，HTTP 各种协议除了可以在tools.ietf.org找到，还可以前往httpwg.org查看。后者格式更丰富，阅读体验更好，例如本文介绍的 HTTP Alternative Services 协议也可以通过这个地址查看。解决什么问题在 Web 系统中，我们经常有把用户导向不同服务器的需求，例如让不同地域的用户访问离自己最近的服务器。记得我刚上网那会儿，很多网站都会提供电信 / 网通等不同二级域名，供不同运营商用户选择，这无疑增加了使用成本。当前，一般网站都使用 DNS 服务来解决这个问题：按地域、运营商等条件，将用户 DNS 请求解析到最合适的 IP。这种方案需要配置合理的 TTL（Time To Live）时间，太短会造成客户端频繁发起 DNS 查询，影响访问速度；太长则无法让 DNS 修改及时生效。大型 Web 系统经常会出现某个机房流量过大，需要尽快分流给其它机房这种场景。这时候依靠修改 DNS 解析有点力不从心：一方面由于 DNS 缓存的存在，新的解析不能马上生效；另一方面由于 HTTP 的 keep-alive ...继续阅读 (36)

HTTP Alternative Services（HTTP 替代服务）是今年上半年由 IESG 通过的一项与 HTTP 有关的新协议。估计很少有人能从名字上猜出它是用来干嘛的，本文从解决什么问题、如何使用以及真实场景下的应用三方面来介绍这份协议。顺便说一下，HTTP 各种协议除了可以在tools.ietf.org找到，还可以前往httpwg.org查看。后者格式更丰富，阅读体验更好，例如本文介绍的 HTTP Alternative Services 协议也可以通过这个地址查看。解决什么问题在 Web 系统中，我们经常有把用户导向不同服务器的需求，例如让不同地域的用户访问离自己最近的服务器。记得我刚上网那会儿，很多网站都会提供电信 / 网通等不同二级域名，供不同运营商用户选择，这无疑增加了使用成本。当前，一般网站都使用 DNS 服务来解决这个问题：按地域、运营商等条件，将用户 DNS 请求解析到最合适的 IP。这种方案需要配置合理的 TTL（Time To Live）时间，太短会造成客户端频繁发起 DNS 查询，影响访问速度；太长则无法让 DNS 修改及时生效。大型 Web 系统经常会出现某个机房流量过大，需要尽快分流给其它机房这种场景。这时候依靠修改 DNS 解析有点力不从心：一方面由于 DNS 缓存的存在，新的解析不能马上生效；另一方面由于 HTTP 的 keep-alive ...继续阅读 (41)

HTTP Alternative Services（HTTP 替代服务）是今年上半年由 IESG 通过的一项与 HTTP 有关的新协议。估计很少有人能从名字上猜出它是用来干嘛的，本文从解决了什么问题、如何使用以及真实场景下的应用三方面来介绍这份协议。顺便说一下，HTTP 各种协议除了可以在tools.ietf.org找到，还可以前往httpwg.org查看。后者格式更丰富，阅读体验更好，例如本文介绍的 HTTP Alternative Services 协议也可以通过这个地址查看。解决什么问题在 Web 系统中，我们经常有把用户导向不同服务器的需求，例如让不同地域的用户访问离自己最近的服务器。记得我刚上网那会儿，很多网站都会提供电信 / 网通等不同二级域名，供不同运营商用户选择，这无疑增加了使用成本。当前，一般网站都使用 DNS 服务来解决这个问题：按地域、运营商等条件，将用户 DNS 请求解析到最合适的 IP。这种方案需要配置合理的 TTL（Time To Live）时间，太短会造成客户端频繁发起 DNS 查询，影响访问速度；太长则无法让 DNS 修改及时生效。大型 Web 系统经常会出现某个机房流量过大，需要尽快分流给其它机房这种场景。这时候依靠修改 DNS 解析有点力不从心：一方面由于 DNS 缓存的存在，新的解析不能马上生效；另一方面由于 HTTP 的 keep-alive ...继续阅读 (43)

几个月前，我发现在某些情况下，使用 Safari 无法登录我的博客后台。当时研究了一下，发现这是 Nginx 处理 HTTP/2 POST 请求的一个 Bug。由于随后发布的 Nginx 1.11.0 修复了这个 Bug，我没有再持续关注。直到今天看到v2ex 这个帖子，我才发现 Nginx并没有将修复代码合并到当前稳定版中。所以，如果你在使用 Nginx 1.9.15~1.10.x 部署 HTTP/2 服务，请务必看完本文。Bug 复现复现这个 Bug 需要同时满足以下几个条件：使用 Nginx 特定版本（1.9.15~1.10.x）部署 HTTP/2 服务；使用特定的 HTTP/2 客户端，例如 OSX/iOS Safari、iOS 客户端、OkHttp 等（Chrome 没问题，MS IE/Edge 据说也有问题，但我没测试）；只有 POST 场景才有问题（也就是说必须存在 DATA 帧）；需要在建立 HTTP/2 连接后立即 POST（例如打开表单页面，再断网重连或重启 Nginx，不刷新页面直接提交）；我用 OSX 10.11.6 自带的 Safari 9.1.2 可以稳定复现这个 Bug。触发 Bug 后，Safari 会提示无法连接到服务器。如下图：如果事先开启了 Nginx 的 debug 日志，可以找到类似这样的记录：client sent stream with ...继续阅读 (42)

几个月前，我发现在某些情况下，使用 Safari 无法登录我的博客后台。当时研究了一下，发现这是 Nginx 处理 HTTP/2 POST 请求的一个 Bug。由于随后发布的 Nginx 1.11.0 修复了这个 Bug，我没有再持续关注。直到今天看到v2ex 这个帖子，我才发现 Nginx并没有将修复代码合并到当前稳定版中。所以，如果你在使用 Nginx 1.9.15~1.10.x 部署 HTTP/2 服务，请务必看完本文。Bug 复现复现这个 Bug 需要同时满足以下几个条件：使用 Nginx 特定版本（1.9.15~1.10.x）部署 HTTP/2 服务；使用特定的 HTTP/2 客户端，例如 OSX/iOS Safari、iOS 客户端、OkHttp 等（Chrome 没问题，MS IE/Edge 据说也有问题，但我没测试）；只有 POST 场景才有问题（也就是说必须存在 DATA 帧）；需要在建立 HTTP/2 连接后立即 POST（例如打开表单页面，再断网重连或重启 Nginx，不刷新页面直接提交）；我用 OSX 10.11.6 自带的 Safari 9.1.2 可以稳定复现这个 Bug。触发 Bug 后，Safari 会提示无法连接到服务器。如下图：如果事先开启了 Nginx 的 debug 日志，可以找到类似这样的记录：client sent stream with ...继续阅读 (46)

几个月前，我发现在某些情况下，使用 Safari 无法登录我的博客后台。当时研究了一下，发现是 Nginx 处理 HTTP/2 POST 请求的一个 Bug。随后发布的 Nginx 1.11.0 解决了这个 Bug，我就没有持续再关注。直到今天看到v2ex 这个帖子，我才发现 Nginx 并不打算把这部分代码合并到当前稳定版中。如果你在使用 Nginx 1.10.x 部署 HTTP/2 服务，请务必看完本文。Bug 复现复现这个 Bug 需要同时满足以下几个条件：使用 Nginx 最新稳定版（当前为 1.10.1）部署 HTTP/2 服务；使用特定的 HTTP/2 客户端，例如 OSX/iOS Safari、iOS 客户端、OkHttp 等（Chrome 没问题，MS IE/Edge 据说也有问题，但我没测试）；只有 POST 场景才有问题（也就是说必须存在 DATA 帧）；需要在建立 HTTP/2 连接后立即 POST（例如打开表单页面，再断网重连或重启 Nginx，不刷新页面直接提交）；我用 OSX 10.11.6 自带的 Safari 9.1.2 可以稳定复现这个 Bug。触发 Bug 后，Safari 会提示无法连接到服务器。如下图：如果事先开启了 Nginx 的 debug 日志，可以找到类似这样的记录：client sent stream with data befor ...继续阅读 (43)

一年前，我在《开始使用 Vagrant》一文中写到：使用虚拟化软件安装 Linux，有着「统一线下线上环境、不受升级宿主系统的影响、容易备份和恢复」等几大优点，非常适用于搭建 WEB 开发环境。但 Vagrant 这种依赖 VirtualBox/VMWare/Parallels Desktop 等软件虚拟完整操作系统的方案有几个硬伤，例如占用大量系统资源、新建或启动虚拟机不够迅速等。Docker 是操作系统级虚拟化，它虚拟出来的环境一般被称为 Docker 容器，而不是虚拟机。Docker 容器直接运行在宿主系统的操作系统内核之上，启动一个新的 Docker 容器能在秒级完成。由于 Docker 轻量、快速和高效，除了用于搭建开发环境，Docker 容器也非常适合用来部署线上服务。最近我将本博客程序改用 Docker 部署，你现在看到的页面正是由 Docker 容器提供服务。本文介绍这一过程。安装 DockerDocker 官方文档详尽地列出了各个系统下的 Docker 安装说明，请直接点过去看，本文不做搬运。对于 Windows/Mac 用户而言，推荐安装 Docker for Window/Mac，而不是 Docker Toolbox。前者可以直接利用宿主系统的虚拟化机制，拥有更好的性能；后者需要借助 VirtualBox 运行的 Linux 虚拟机。镜像和容器Docker 基 ...继续阅读 (51)

一年前，我在《开始使用 Vagrant》一文中写到：使用虚拟化软件安装 Linux，有着「统一线下线上环境、不受升级宿主系统的影响、容易备份和恢复」等几大优点，非常适用于搭建 WEB 开发环境。但 Vagrant 这种依赖 VirtualBox/VMWare/Parallels Desktop 等软件虚拟完整操作系统的方案有几个硬伤，例如占用大量系统资源、新建或启动虚拟机不够迅速等。Docker 是操作系统级虚拟化，它虚拟出来的环境一般被称为 Docker 容器，而不是虚拟机。Docker 容器直接运行在宿主系统的操作系统内核之上，启动一个新的 Docker 容器能在秒级完成。由于 Docker 轻量、快速和高效，除了用于搭建开发环境，Docker 容器也非常适合用来部署线上服务。最近我将本博客程序改用 Docker 部署，你现在看到的页面正是由 Docker 容器提供服务。本文介绍这一过程。安装 DockerDocker 官方文档详尽地列出了各个系统下的 Docker 安装说明，请直接点过去看，本文不做搬运。对于 Windows/Mac 用户而言，推荐安装 Docker for Window/Mac，而不是 Docker Toolbox。前者可以直接利用宿主系统的虚拟化机制，拥有更好的性能；后者需要借助 VirtualBox 运行的 Linux 虚拟机。镜像和容器Docker 基 ...继续阅读 (39)

一年前，我在《开始使用 Vagrant》一文中写到：使用虚拟化软件安装 Linux，有着「统一线下线上环境、不受升级宿主系统的影响、容易备份和恢复」等几大优点，非常适用于搭建 WEB 开发环境。但 Vagrant 这种依赖 VirtualBox/VMWare/Parallels Desktop/ 等软件虚拟完整操作系统的方案有几个硬伤，例如占用大量系统资源、新建或启动虚拟机不够迅速等。Docker 是操作系统级虚拟化，它虚拟出来的环境一般被称为 Docker 容器，而不是虚拟机。Docker 容器直接运行在宿主系统的操作系统内核之上，启动一个新的 Docker 容器能在一秒内完成。由于 Docker 的轻量、快速和高效，除了搭建开发环境，Docker 容器也非常适合用来部署线上服务。最近我将本博客程序 Docker 化，你现在看到的页面正是由 Docker 容器提供的服务。本文介绍这一过程。安装 DockerDocker 官方文档详尽地列出了各个系统下的 Docker 安装说明，这里略过。对于 Windows/Mac 用户而言，推荐安装 Docker for Window/Mac，而不是 Docker Toolbox。前者可以直接利用宿主系统的虚拟化机制，拥有更好的性能；后者需要借助 VirtualBox 运行的 Linux 虚拟机。镜像和容器Docker 基于 Docker 镜像 ...继续阅读 (73)

算起来已经足足两个半月没有更新文章，这段时间过得比较忙：夜间跑步计划、卖房买房以及工作上各种事情都凑到一块了。实际上，最近也并没有忙到完全抽不出时间写博客这种地步，根本原因可能还是变懒了，这样不好。几个月前，我决定开始写一系列有关「移动 WEB 通用优化」的文章，介绍「面向所有主流移动端浏览器（包括各种 APP 嵌入的通用 Webview）」的前端优化策略，本文是这个系列第二篇。先来回顾下上篇文章最后的结论：重要的 CSS、JS、JSON 数据直接内联在 HTML 中，头部禁止出现任何外链资源。同时，尽可能减少页面传输体积。采用了这个策略的页面，理应能让用户在很短时间内看到主体内容，因为头部 CSS 和 JS 都内联了，不会阻塞浏览器渲染页面。在我们的认识里，浏览器会异步加载页面用到的图片，加载图片不会阻塞页面渲染，更不会阻塞 JS 执行。实际情况是这样吗？本文主要讨论在移动 WEB 中，图片的加载给页面整体性能带来的影响以及优化策略。我们知道，浏览器的 DOMContentLoaded 事件会在主页面加载并解析完成之后触发，不会等页面样式、图片、iframe 等子资源加载完。以下是MDN对它的描述：The DOMContentLoaded event is fired when the initial HTML document has been completely loade ...继续阅读 (50)