Redis 内存防崩溃优化方案 Redis 内存防崩溃优化方案目标：让 Redis 永远有硬上限，系统永远不进 Swap，事故提前告警而非事后重启。⚠️ 全文命令中的密码已替换为占位符 你的密码，执行时请换成真实密码；redis-cli 路径每台服务器不同，请先按【附一】查询替换。附一、先查询 redis-cli 路径（每台服务器不同，纯查询、不影响系统）下面都是只读查询命令，不会改动任何东西，放心执行：# 1. 看系统 PATH 里是否已能直接调用（最常用） which redis-cli # 2. 看正在运行的 redis-server 二进制在哪，redis-cli 通常在同目录的 bin 下 ps -ef | grep redis-server # 3. 常见安装目录直查（哪个有输出就用哪个） ls -l /usr/local/redis/bin/redis-cli 2>/dev/null ls -l /usr/bin/redis-cli 2>/dev/null ls -l /opt/redis/bin/redis-cli 2>/dev/null # 4. 全盘找（只读扫描，不影响系统；结果里取第一个存在的路径） find / -name redis-cli -type f 2>/dev/null | head查到后，把下文命令里的 /usr/local/redis/bin/redis-cli 整体换成你查到的实际路径即可。一、根因结论（一句话）Redis 没有有效的内存上限（或上限过大）→ 内存无限增长 → 物理内存耗尽 → Swap 打满（100%） → 页面置换风暴 → CPU 99% → 系统假死。典型崩溃时间线：Redis 吃满内存 → Swap 96% → Swap 100% → 触发事件，CPU 2%→42% → CPU 99% / 高负载 / 假死 → 人工重启。核心矛盾不是"Redis 用了多少"，而是"它能不能无限用"。 只要给它一个硬上限并留足系统余量，同样的负载绝不会再把机器拖死。二、设计三原则#原则作用1给 Redis 设硬上限 maxmemory满则"驱逐旧数据"，而非"撑爆系统内存"2系统永远留余量，绝不进 SwapSwap 一旦打满，Redis 延迟暴涨、CPU 被置换吞掉3合理监控水位，提前感知风险把事故消灭在苗头，而不是 100% 假死说明：原则 2 的"绝不进 Swap"是靠原则 1 把 Redis 框在合理上限内实现的（详见第三节），不需要去动系统内核参数。三、maxmemory 设置（最关键的一步）3.1 计算公式（务必满足）maxmemory ≤ (物理内存 × 0.85) − 其他进程常驻内存例：物理 31G，其他常驻进程（应用、数据库、Agent 等）合计约 6G。安全上限：31 × 0.85 − 6 ≈ 20G。即 Redis 最多给到 20G 也不会逼系统用 Swap。3.2 推荐值按"当前工作集 × 1.5"留余量防突增。若当前稳定 8G，则 maxmemory = 12G（12884901888 字节）。12G + 6G 其他 ≈ 18G，远小于 31G，系统永远有空闲 → 永不 Swap。3.3 设置命令（路径请先按【附一】查询替换）# 临时生效（立即止血） /usr/local/redis/bin/redis-cli -a '你的密码' CONFIG SET maxmemory 12884901888 # 验证 /usr/local/redis/bin/redis-cli -a '你的密码' CONFIG GET maxmemory3.4 ⚠️ 持久化（极易踩坑）若 redis 启动时没有带配置文件参数（如 redis-server 0.0.0.0:6379），它是用默认配置启动的，CONFIG REWRITE 可能新建文件但重启仍会丢配置。必须找到真正的启动入口并写进去（以下为只读查询，定位用）：# 看是不是 systemd 托管 systemctl cat redis 2>/dev/null systemctl cat redis-server 2>/dev/null # 或看 init 脚本 / 启动脚本里有没有 redis-server ls -l /etc/init.d/ | grep -i redis grep -r "redis-server" /etc/rc.local /root/*.sh /home/*/*.sh 2>/dev/null找到后，在启动配置里显式加一行 maxmemory 12884901888（或指向一个含该项的 redis.conf），再重启验证 CONFIG GET maxmemory 是否持久生效。不要只依赖 CONFIG REWRITE。四、淘汰策略（maxmemory-policy）选择4.1 策略对比策略淘汰范围适用场景风险noeviction不淘汰，写报错不允许丢数据写阻塞，不可用allkeys-lru全部 key，按最近最少用纯缓存永久 key 也会被删allkeys-lfu全部 key，按最不常用纯缓存（更优）永久 key 也会被删volatile-lru/lfu仅有 TTL 的 key缓存+持久混放无 TTL 的 key 永不淘汰，可能涨爆volatile-ttl仅即将过期的 key同 volatile同上选型建议：纯缓存实例用 allkeys-lfu（比 LRU 更懂"常用"，缓存命中更好）；若缓存与不可重建的持久数据混放，应改用 volatile-lfu 并给缓存 key 补 TTL，或干脆把持久数据拆到独立实例。五、OOM 防护（可选兜底，保护关键进程）本节为"最后兜底"，非必须；主防线仍是 maxmemory + 不进 Swap。以下只是调整 OOM 优先级（不改内核行为），风险低。万一再次发生内存争抢，确保关键业务进程（数据库 / 应用）不被 OOM killer 误杀，而让 Redis 优先被回收：# 降低关键进程的 OOM 被杀概率（数值越小越安全，-1000 几乎永不被杀） echo -500 > /proc/<关键进程_pid>/oom_score_adj # 提高 redis 被杀优先级（让它先被回收，而不是拖死整机） echo 500 > /proc/<redis_pid>/oom_score_adj # 换成实际 redis PID六、架构层面（长期根治，均为建议、非强制命令）缓存 / 持久数据分离：Redis 只放可重建的缓存；Session、锁、业务状态搬到其他存储或独立实例。服务器图形界面：生产服务器通常不需要图形界面，如确认无用，可禁用其自启动以省内存（不要盲目卸载，避免牵连依赖）。多实例隔离：若多种业务共用一台 Redis，按业务拆实例，单实例故障域更小、上限更好控。七、应急响应 Runbook（若再次假死）不要反复重启：重启会重新加载/重建数据，可能二次冲击。先确认 Swap 状态。快速查看（只读）：free -h; swapon --show # 看 Swap 是否打满若 Redis 已无响应且内存失控：可 redis-cli SHUTDOWN NOSAVE（避免写坏 RDB），再按本方案设好 maxmemory 后拉起。拉起后第一时间 CONFIG GET maxmemory + INFO memory 验证上限已生效。八、落地检查清单[ ] 先按【附一】查到本机 redis-cli 真实路径，替换全文命令[ ] 确认缓存实例是否纯缓存（决定 allkeys-lfu 还是 volatile-lfu）[ ] CONFIG SET maxmemory 12884901888（12G，立即生效）[ ] 找到 redis 真实启动入口，把 maxmemory 写进配置/启动参数（持久化）[ ] 切换/确认 maxmemory-policy（纯缓存→allkeys-lfu）[ ] 配置 OOM 优先级，保护关键进程（可选）[ ] 验证：重启 redis 后 CONFIG GET maxmemory 仍为 12G附：命令安全提示命令行用 -a 明文密码会触发告警且密码进 history。建议改用环境变量（把 你的密码 换成真实密码）：export REDISCLI_AUTH='你的密码' /usr/local/redis/bin/redis-cli CONFIG GET maxmemory附：检查脚本#!/bin/bash # redis_health_check.sh # 用途：巡检 Redis 内存水位 + 系统 Swap，超标即打印告警（可接邮件/钉钉） # 用法：crontab 每 5 分钟执行一次，输出追加入日志 # */5 * * * * /usr/local/redis/redis_health_check.sh >> /var/log/redis_health.log 2>&1 # ===== 配置区（按需修改）===== # 密码：执行前请换成真实密码（或改用 export REDISCLI_AUTH 方式，避免明文） PASS='你的密码' HOST=127.0.0.1 PORT=6379 # redis-cli 路径：每台服务器不一样，优先用 which 自动查找；找不到再手动改成实际路径 # 也可先手动查询： which redis-cli # ls -l /usr/local/redis/bin/redis-cli 2>/dev/null # ps -ef | grep redis-server # find / -name redis-cli -type f 2>/dev/null | head REDIS_CLI=$(command -v redis-cli 2>/dev/null) if [ -z "$REDIS_CLI" ]; then REDIS_CLI="/usr/local/redis/bin/redis-cli" # 自动找不到时，改成你查到的真实路径 fi TS=$(date '+%Y-%m-%d %H:%M:%S') echo "===== [$TS] Redis 健康巡检 =====" # ---- 1. Redis 内存使用率 ---- USED=$($REDIS_CLI -h $HOST -p $PORT -a "$PASS" INFO memory 2>/dev/null | awk -F: '/^used_memory:/{print $2}' | tr -d '\r') MAX=$($REDIS_CLI -h $HOST -p $PORT -a "$PASS" INFO memory 2>/dev/null | awk -F: '/^maxmemory:/{print $2}' | tr -d '\r') EVI=$($REDIS_CLI -h $HOST -p $PORT -a "$PASS" INFO stats 2>/dev/null | awk -F: '/^evicted_keys:/{print $2}' | tr -d '\r') if [ -n "$MAX" ] && [ "$MAX" -gt 0 ] 2>/dev/null; then RATIO=$(awk "BEGIN{printf \"%.2f\", $USED/$MAX*100}") echo "Redis 内存使用率: ${RATIO}% (used=$USED max=$MAX)" # 超过 85% 逼近 maxmemory，即将触发驱逐 if awk "BEGIN{exit !($RATIO>85)}"; then echo " [告警] 内存使用率大于85%，逼近 maxmemory，即将触发 key 驱逐！" fi else echo " [错误] maxmemory 未设置或为 0 —— Redis 可无限吃内存，存在崩溃风险！" fi echo "累计驱逐 key 数 (evicted_keys): ${EVI:-未知}" # ---- 2. 系统 Swap 使用率 ---- SWAP_TOTAL=$(free | awk '/Swap:/{print $2}') SWAP_USED=$(free | awk '/Swap:/{print $3}') if [ -n "$SWAP_TOTAL" ] && [ "$SWAP_TOTAL" -gt 0 ] 2>/dev/null; then SWAP_RATIO=$(awk "BEGIN{printf \"%.2f\", $SWAP_USED/$SWAP_TOTAL*100}") echo "系统 Swap 使用率: ${SWAP_RATIO}%" if awk "BEGIN{exit !($SWAP_RATIO>50)}"; then echo " [严重] Swap 使用率大于50%，系统已进入危险区，立即排查内存占用！" fi else echo "系统未启用 Swap（或未检测到）—— 无需关注 Swap 水位" fi echo ""

达梦数据库 dexp/dimp 实战指南：模式克隆、REMAP_SCHEMA 与特殊字符踩坑记录 达梦数据库 dexp/dimp 实战指南：模式克隆、REMAP_SCHEMA 与特殊字符踩坑记录在日常的数据库运维和开发测试中，我们经常需要对某个模式（Schema）进行完整备份，或者将其"克隆"一份用于测试环境。在达梦数据库（DMDB）中，dexp（逻辑导出）和 dimp（逻辑导入）是完成这项工作的利器。本文将结合实战经验，分享如何使用 dexp/dimp 进行模式导出与重命名导入（REMAP_SCHEMA），并记录一个由密码特殊字符引发的"导出 0 张表"的隐蔽 Bug。一、核心踩坑：密码中的 .. 导致导出 0 张表诡异的现象在使用 dexp 导出 V5_EAM 模式时，命令行执行后瞬间结束，日志中显示：[WARNING]invalid object:V5_EAM export total 0 TABLE schema[V5_EAM] export terminate.....查询 DBA_TABLES 确认该模式下明明有 218 张表，但导出结果却是 0。根因分析经过排查，发现该数据库 SYSDBA 用户的密码为 woshimima..（末尾包含连续的两个点 ..）。当在命令行直接拼接连接串时：# 错误示范 ./dexp USERID=SYSDBA/woshimima..@localhost:5236 SCHEMAS=V5_EAM ...连续点号 .. 在 Shell 解析或 dexp 内部参数解析时，被错误地识别为路径跳转或特殊指令，导致 dexp 内部验证 Schema 属主时发生异常，从而跳过了所有对象的导出。解决方案方案 A（推荐）：使用交互式密码输入不在命令行中明文传递密码，执行命令后根据提示输入：./dexp USERID=SYSDBA@localhost:5236 SCHEMAS=V5_EAM FILE=... LOG=...方案 B：使用单引号包裹整个 USERID利用单引号屏蔽 Shell 的特殊字符解析：./dimp 'USERID=SYSDBA/woshimima..@localhost:5236' ...二、实战：导出模式 (dexp)确认连接方式后，执行完整的模式导出。建议加上 PARALLEL 参数提升导出速度。cd /data/dmdbms/bin/ ./dexp USERID=SYSDBA@localhost:5236 \ SCHEMAS=V5_EAM \ FILE=/data/dmexport/V5_EAM.dmp \ LOG=/data/dmexport/V5_EAM_export.log \ PARALLEL=4执行后按提示输入密码。看到 terminate export success without warning 即代表完美导出。三、实战：导入并重命名模式 (dimp + REMAP_SCHEMA)很多时候，我们导出的数据是为了在同一实例下建立一份测试副本。这时就需要用到 REMAP_SCHEMA 参数，将源模式的数据导入到目标模式中。⚠️ 核心注意点：目标模式必须提前创建dimp 的 REMAP_SCHEMA 不会自动创建目标模式！如果目标模式不存在，导入会直接报错。Step 1：创建目标模式/data/dmdbms/bin/disql SYSDBA@localhost:5236 -e "CREATE SCHEMA V5_EAM_TEST_0813;"Step 2：执行导入cd /data/dmdbms/bin/ ./dimp USERID=SYSDBA@localhost:5236 \ FILE=/data/dmexport/V5_EAM.dmp \ LOG=/data/dmexport/V5_EAM_TEST_0813.log \ REMAP_SCHEMA=V5_EAM:V5_EAM_TEST_0813 \ TABLE_PARALLEL=4参数解析：REMAP_SCHEMA=源模式:目标模式。此操作对源模式 V5_EAM 是只读的，绝对不会影响原数据。四、总结密码安全与兼容性：强烈建议使用交互式密码输入来调用 dexp/dimp，既能避免密码泄露在 history 中，又能完美规避特殊字符（如 @、..、# 等）导致的解析 Bug。REMAP_SCHEMA 前置条件：永远记得在导入前，先 CREATE SCHEMA 目标模式。数据完整性：导入完成后，务必通过 SELECT COUNT(*) FROM DBA_TABLES WHERE OWNER='目标模式'; 核对表数量，确保数据无损迁移。💻 第二部分：自动化交互式 Shell 脚本将以下代码保存为 dm_migrate.sh，赋予执行权限（chmod +x dm_migrate.sh）后运行。脚本包含了环境检查、交互式菜单、密码隐藏输入和自动创建 Schema 等完善功能。脚本修正说明（发布前已订正）：原稿在 Markdown 渲染中丢失了部分语法符号，已在此处还原/修正：还原变量符号 ${VAR}（原稿误为 {VAR}）；还原颜色转义 \033（原稿误为 033）；修正命令替换 $(...) 与退出码 $?；disql 检查/建模式语句改用 双引号包裹密码（user/"pass"@host:port），与文章主旨一致，规避 .. 等特殊字符被解析的坑。#!/bin/bash # ============================================================================== # 达梦数据库 dexp/dimp 交互式迁移脚本 # 作者: DBA 运维助手 # 描述: 支持模式导出、模式重命名导入(REMAP_SCHEMA)，自动处理前置校验 # ============================================================================== # ================= 基础配置区 (可根据实际环境修改) ================= DM_BIN_DIR="/data/dmdbms/bin" # 达梦 bin 目录路径 EXPORT_BASE_DIR="/data/dmexport" # 导出文件默认存放目录 DEFAULT_HOST="localhost" # 默认数据库 IP DEFAULT_PORT="5236" # 默认数据库端口 DEFAULT_USER="SYSDBA" # 默认执行用户 # ===================================================================== # 颜色定义 RED='\033[0;31m' GREEN='\033[0;32m' YELLOW='\033[1;33m' BLUE='\033[0;34m' NC='\033[0m' # No Color # 检查达梦工具是否存在 check_env() { if [ ! -f "${DM_BIN_DIR}/dexp" ] || [ ! -f "${DM_BIN_DIR}/dimp" ]; then echo -e "${RED}[ERROR] 未找到 dexp 或 dimp 工具，请检查 DM_BIN_DIR 配置: ${DM_BIN_DIR}${NC}" exit 1 fi mkdir -p "${EXPORT_BASE_DIR}" } # 获取数据库连接参数 get_db_conn() { read -p "请输入数据库 IP [默认 ${DEFAULT_HOST}]: " DB_HOST DB_HOST=${DB_HOST:-$DEFAULT_HOST} read -p "请输入数据库端口 [默认 ${DEFAULT_PORT}]: " DB_PORT DB_PORT=${DB_PORT:-$DEFAULT_PORT} read -p "请输入数据库用户名 [默认 ${DEFAULT_USER}]: " DB_USER DB_USER=${DB_USER:-$DEFAULT_USER} echo -n "请输入 ${DB_USER} 的密码 (输入时不可见): " read -s DB_PASS echo "" if [ -z "${DB_PASS}" ]; then echo -e "${RED}[ERROR] 密码不能为空！${NC}" exit 1 fi # dexp/dimp：用单引号包裹整个 USERID，防止密码中的特殊字符(如 .. @ #)被 Shell 解析 CONN_STR="'USERID=${DB_USER}/${DB_PASS}@${DB_HOST}:${DB_PORT}'" # disql：用双引号包裹密码（达梦语法 user/"pass"@host:port），同样规避特殊字符 DISQL_CONN="${DB_USER}/\"${DB_PASS}\"@${DB_HOST}:${DB_PORT}" } # 导出模式 do_export() { echo -e "\n${BLUE}========== 模式导出 (dexp) ==========${NC}" get_db_conn read -p "请输入要导出的源模式名 (如 V5_EAM): " SRC_SCHEMA if [ -z "${SRC_SCHEMA}" ]; then echo -e "${RED}[ERROR] 模式名不能为空！${NC}" return fi TIMESTAMP=$(date +%Y%m%d_%H%M%S) DMP_FILE="${EXPORT_BASE_DIR}/${SRC_SCHEMA}_${TIMESTAMP}.dmp" LOG_FILE="${EXPORT_BASE_DIR}/${SRC_SCHEMA}_${TIMESTAMP}_exp.log" echo -e "${YELLOW}[INFO] 开始导出 ${SRC_SCHEMA} 到 ${DMP_FILE} ...${NC}" # 使用 eval 执行带有单引号的连接串（去掉外层单引号后整体作为一个参数传给 dexp） eval "${DM_BIN_DIR}/dexp ${CONN_STR} SCHEMAS=${SRC_SCHEMA} FILE=${DMP_FILE} LOG=${LOG_FILE} PARALLEL=4" if [ $? -eq 0 ]; then echo -e "${GREEN}[SUCCESS] 导出完成！请检查日志: ${LOG_FILE}${NC}" else echo -e "${RED}[ERROR] 导出失败，请查看日志排查原因: ${LOG_FILE}${NC}" fi } # 导入模式 do_import() { echo -e "\n${BLUE}========== 模式导入 (dimp + REMAP) ==========${NC}" get_db_conn read -p "请输入 DMP 文件绝对路径: " DMP_FILE if [ ! -f "${DMP_FILE}" ]; then echo -e "${RED}[ERROR] 文件不存在: ${DMP_FILE}${NC}" return fi read -p "请输入 DMP 文件中的源模式名 (如 V5_EAM): " SRC_SCHEMA read -p "请输入要导入的目标模式名 (如 V5_EAM_TEST_0813): " DEST_SCHEMA if [ -z "${SRC_SCHEMA}" ] || [ -z "${DEST_SCHEMA}" ]; then echo -e "${RED}[ERROR] 模式名不能为空！${NC}" return fi # 检查目标模式是否存在，不存在则提示创建 echo -e "${YELLOW}[INFO] 检查目标模式 ${DEST_SCHEMA} 是否存在...${NC}" CHECK_SQL="SELECT COUNT(*) FROM DBA_USERS WHERE USERNAME='${DEST_SCHEMA}';" # 使用 disql 检查（密码用双引号包裹，规避特殊字符） USER_EXISTS=$(echo "${CHECK_SQL}" | ${DM_BIN_DIR}/disql ${DISQL_CONN} -e 2>/dev/null | grep -oE '[0-9]+' | head -1) if [ "${USER_EXISTS}" != "1" ]; then echo -e "${YELLOW}[WARNING] 目标模式 ${DEST_SCHEMA} 不存在！dimp 不会自动创建模式。${NC}" read -p "是否立即通过 SYSDBA 创建该模式? (y/n): " CREATE_CHOICE if [[ "${CREATE_CHOICE}" =~ ^[Yy] ]]; then ${DM_BIN_DIR}/disql ${DISQL_CONN} -e "CREATE SCHEMA ${DEST_SCHEMA};" if [ $? -eq 0 ]; then echo -e "${GREEN}[SUCCESS] 模式 ${DEST_SCHEMA} 创建成功！${NC}" else echo -e "${RED}[ERROR] 模式创建失败，请检查权限或名称是否合法。${NC}" return fi else echo -e "${RED}[INFO] 取消导入。请先手动创建目标模式。${NC}" return fi fi TIMESTAMP=$(date +%Y%m%d_%H%M%S) LOG_FILE="${EXPORT_BASE_DIR}/${DEST_SCHEMA}_${TIMESTAMP}_imp.log" echo -e "${YELLOW}[INFO] 开始导入 ${SRC_SCHEMA} -> ${DEST_SCHEMA} ...${NC}" eval "${DM_BIN_DIR}/dimp ${CONN_STR} FILE=${DMP_FILE} LOG=${LOG_FILE} REMAP_SCHEMA=${SRC_SCHEMA}:${DEST_SCHEMA} TABLE_PARALLEL=4" if [ $? -eq 0 ]; then echo -e "${GREEN}[SUCCESS] 导入完成！请检查日志: ${LOG_FILE}${NC}" else echo -e "${RED}[ERROR] 导入出现异常，请查看日志排查原因: ${LOG_FILE}${NC}" fi } # 主菜单 main_menu() { check_env while true; do echo -e "\n${GREEN}========================================${NC}" echo -e "${GREEN} 达梦数据库 dexp/dimp 迁移工具箱${NC}" echo -e "${GREEN}========================================${NC}" echo "1. 导出模式 (Export Schema)" echo "2. 导入模式 (Import & REMAP_SCHEMA)" echo "0. 退出" echo -e "${GREEN}----------------------------------------${NC}" read -p "请选择操作 [0-2]: " CHOICE case ${CHOICE} in 1) do_export ;; 2) do_import ;; 0) echo -e "${BLUE}再见！${NC}"; exit 0 ;; *) echo -e "${RED}[ERROR] 无效的选择，请重新输入。${NC}" ;; esac done } # 执行主菜单 main_menu💡 脚本使用指南创建脚本文件：vi /data/dm_migrate.sh粘贴上述代码并保存。赋予执行权限：chmod +x /data/dm_migrate.sh运行脚本：./dm_migrate.sh脚本亮点隐藏密码输入：使用 read -s，密码不会在屏幕上显示，也不会留在命令历史中。自动处理特殊字符：脚本内部自动对 dexp/dimp 用单引号包裹连接串（'USERID=...'）、对 disql 用双引号包裹密码（user/"pass"@host:port），完美解决你之前遇到的 .. 密码解析 Bug。智能校验：在选择导入时，脚本会自动调用 disql 检查目标模式是否存在。如果不存在，会主动询问并帮你创建，避免了 dimp 因找不到目标 Schema 而报错的问题。自动命名：导出文件和日志自动加上 年月日_时分秒 时间戳，防止覆盖历史备份。

银河麒麟系统 OpenSSH 升级至 10.x 实战避坑指南 银河麒麟系统 OpenSSH 升级至 10.x 实战避坑指南⚠️ 核心警告（操作前必读）绝对不要关闭当前的 SSH 连接窗口！ 必须保留一个已登录的旧会话作为“救生艇”，直到新终端测试连接成功为止，否则一旦配置错误将导致服务器失联。银河麒麟特性： 在重启 SSH 服务前必须执行 systemctl daemon-reload，否则会出现服务状态异常或配置不生效的提示。PAM 认证模块变更： 从 OpenSSH 10 以下版本升级，必须修改 PAM 加密模块配置（pam_stack.so 已被废弃），这是导致“密码正确却提示 Failed password”的通用致命错误。第一步：升级前准备与备份在操作前，务必备份当前的 SSH 配置文件，以便在出现问题时快速回滚。# 备份 sshd 配置文件 sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%F) # 进入 RPM 包所在目录（假设放在 /root/openssh/） cd /root/openssh/第二步：执行 RPM 升级使用 rpm 命令直接进行升级安装：sudo rpm -Uvh openssh-*.rpm第三步：修复 Host Key 权限（必做）OpenSSH 10.x 对安全性要求极高，如果主机密钥（Host Key）权限过于宽松，sshd 将直接拒绝启动。执行以下命令修正权限和属主：# 1. 确保私钥权限为 600 chmod 600 /etc/ssh/ssh_host_rsa_key chmod 600 /etc/ssh/ssh_host_ecdsa_key chmod 600 /etc/ssh/ssh_host_ed25519_key # 2. 确保对应的公钥权限为 644 chmod 644 /etc/ssh/ssh_host_rsa_key.pub chmod 644 /etc/ssh/ssh_host_ecdsa_key.pub chmod 644 /etc/ssh/ssh_host_ed25519_key.pub # 3. 确保属主正确 chown root:root /etc/ssh/ssh_host_*_key /etc/ssh/ssh_host_*_key.pub第四步：清理废弃配置项 (sshd_config)OpenSSH 10 彻底移除了对 SSHv1 协议及相关古老加密算法的支持。旧配置文件中的某些选项会导致 sshd 报错。💡 避坑经验：报错提示的行号（如 155行、157行）并不固定。不要盲目按行号删除，一定要用 sshd -t 命令动态查看报错。# 测试配置文件是否有语法错误或废弃选项 sudo sshd -t常见报错及修复方法：报错 1： /etc/ssh/sshd_config line 157: Deprecated option RhostsRSAAuthenticationsudo sed -i '/^RhostsRSAAuthentication/d' /etc/ssh/sshd_config报错 2： /etc/ssh/sshd_config line 155: Deprecated option RSAAuthenticationsudo sed -i '/^RSAAuthentication/d' /etc/ssh/sshd_config修复后，再次执行 sudo sshd -t，如果没有任何输出，则说明配置文件已完全合法。第五步：重载配置与启动服务（麒麟系统关键步）在银河麒麟系统中，由于 systemd 单元文件或 init 脚本发生了变更，必须重载 daemon 配置。# 1. 重载 systemd 管理器配置（银河麒麟必做！） sudo systemctl daemon-reload # 2. 启动/重启 sshd 服务 sudo systemctl restart sshd.service # 3. 查看服务运行状态 sudo systemctl status sshd.service确认状态为 active (running) 且 22 端口正常监听。第六步：修复 PAM 认证模块（🔥 核心重点）这是从 10 以下版本升级必须修改的部分！旧版系统使用 pam_stack.so，而该模块在现代系统中已被移除。如果不修复，查看日志（journalctl -xeu sshd）会看到 PAM unable to dlopen(/usr/lib64/security/pam_stack.so)，导致即使密码正确也无法登录。# 1. 备份旧的 PAM 配置 sudo cp /etc/pam.d/sshd /etc/pam.d/sshd.bak.$(date +%F) # 2. 写入 OpenSSH 10 兼容的标准 PAM 配置 sudo tee /etc/pam.d/sshd << 'EOF' #%PAM-1.0 auth required pam_sepermit.so auth substack password-auth auth include postlogin account required pam_nologin.so account include password-auth password include password-auth session required pam_selinux.so close session required pam_loginuid.so session optional pam_keyinit.so force revoke session include password-auth session include postlogin session required pam_selinux.so open env_params EOF第七步：最终验证1. 验证版本：ssh -V预期输出应包含 OpenSSH_10.x 字样。2. 验证连接（关键）：新开一个终端窗口，尝试 SSH 登录服务器。如果能成功输入密码并进入系统 $\rightarrow$ 升级成功。如果提示 Permission denied 或连接断开 $\rightarrow$ 立即回到保留的旧终端窗口，检查 /etc/pam.d/sshd 内容是否写入正确，或恢复备份文件。📝 总结与排错心得关于报错行号： sshd -t 报出的行号只是参考，核心是看它提示 Deprecated option 后面的参数名，用 sed 精准删除即可。关于通用错误： pam_stack.so 缺失是跨大版本升级的“通用错误”，只要是从低版本升到 10.x，这个 PAM 配置文件必须替换。关于 systemctl 警告： 如果启动时提示 Warning: The unit file... changed on disk，不要慌，这只是提醒你执行 systemctl daemon-reload，执行后重启服务即可消除。底线原则： 只要不关闭老的 SSH 会话，哪怕配置改错了、服务起不来，你依然有权限在旧窗口里把备份文件还原，从容救场。

N1盒子安装FnOS，服务优化记录--持续更新 可停用服务：插 4G 网卡无法上网。(插网线无影响) sudo systemctl disable ModemManager.service AI 计算管理服务 sudo systemctl disable ai_manager.service # 停止不必要的网络服务 sudo systemctl disable avahi.service sudo systemctl disable avahi-daemon.service # 停止文件监控（利于硬盘休眠） sudo systemctl disable trim_file_monitor.service #仅用于加入 Windows AD 域。家庭 NAS 不需要。 sudo systemctl disable --now winbind.service #Open vSwitch。除非你在 N1 上跑复杂的软路由（如 OpenWrt 旁路由模式）并需要 VLAN 隔离，否则纯 NAS 模式用不到。 sudo systemctl disable --now ovs-vswitchd.service sudo systemctl disable --now ovsdb-server.service #pNFS 块布局映射。这是企业级 NFS 集群用的，单机 NAS 用不到。 sudo systemctl disable --now nfs-blkmap.service #电源管理。N1 没有电池，且 USB 硬盘的休眠由飞牛自带的 trim_diskpowerd 控制，不依赖 upower。 sudo systemctl disable --now upower.service #关闭 Open vSwitch N1单网口NAS不需要OVS虚拟交换： sudo systemctl stop openvswitch-switch sudo systemctl disable openvswitch-switch停用会出现问题服务： WebDAV 服务：停止了，相册无法启动 sudo systemctl enable cloud_storage_dav.service考虑停用的服务：# 停止缩略图和媒体服务（最占 CPU） sudo systemctl status auto_thumbnailer.service sudo systemctl status mediasrv.service sudo systemctl status imagesrv.service

Ungoogled Chromium Binaries 离线部署实战指南 Ungoogled Chromium Binaries 离线部署实战指南—— 跨发行版、多架构服务器环境下的"绿色版"精准获取与使用1. 为什么选择 Ungoogled Chromium Binaries？在离线、多发行版（EulerOS / Kylin / Ubuntu）、多版本且混合架构（x86_64 + ARM64）的服务器环境中部署 Chrome，官方 .deb/.rpm 包因对 glibc、NSS、GTK 等系统库的严格版本锁定而完全不可用。Ungoogled Chromium Binaries 是 ungoogled-software/ungoogled-chromium 主仓库官方推荐的预编译二进制分发页面。它专门解决了以下核心痛点：零/低系统依赖：Portable（便携）版本静态链接了大部分运行时库，不绑定特定版本的 glibc，真正实现"解压即用"。双架构全覆盖：同时提供 x86_64 和 aarch64 (ARM64) 构建，完美适配信创鲲鹏/飞腾及传统 Intel/AMD 服务器。去 Google 化：移除了所有 Google 私有服务、追踪器和 API 依赖，符合内网及信创环境的安全合规要求。免 Root 权限：无需系统级安装，普通用户即可运行，避免污染宿主系统环境。⚠️ 安全声明该页面的二进制由社区贡献者构建，非可重现构建（non-reproducible）。若用于高安全合规环境，建议在隔离环境中自行从源码审计构建。对于一般内网服务器自动化、渲染、截图等场景，此方案是当前兼容性最优解。2. 读懂下载页：没有搜索框，如何找到"绿色版"？很多用户首次打开该页面时会困惑：没有搜索框，也没有"绿色版/安装版"的中文标签。这是因为该页面遵循开源社区惯例，按 平台 + 架构 + 构建类型 分类。你需要建立以下概念映射：页面表格中的名称实际含义对应 Windows 概念是否推荐离线多系统环境Portable Linux 64-bit解压后直接运行的 tar.xz 包，自带依赖库✅ 真·绿色版强烈推荐Linux AppImage 64-bit自包含的 .AppImage 单文件✅ 绿色版推荐（仅 x86_64）Portable Linux 64-bit (musl)针对 Alpine/Void 等轻量系统的静态构建✅ 超级绿色版老旧系统兜底Debian/Ubuntu (unportable).deb 包，需 dpkg 安装，强依赖系统库❌ 安装版绝对不要用Fedora/RHEL (unportable).rpm 包，需 rpm 安装，强依赖系统库❌ 安装版绝对不要用💡 核心原则只认准 Portable 和 AppImage 字样。凡是带有 unportable、.deb、.rpm 后缀的，一律跳过。快速定位技巧页面为静态生成，无搜索功能。请使用浏览器 Ctrl+F 搜索以下关键词：x86_64 绿色版 → 搜索 Portable Linux 64-bitARM64 绿色版 → 搜索 Portable Linux 64-bit ARM 或 aarch64自包含单文件 → 搜索 AppImage3. 下载与离线部署全流程第一步：联网机下载访问 Ungoogled Chromium Binaries在表格中找到目标架构对应的 Portable 行，点击版本号链接（如 150.0.7871.128-1），跳转至 GitHub Release 页面。下载对应文件：目标架构文件名示例x86_64ungoogled-chromium-150.0.7871.128-1-linux-portable.tar.xzARM64ungoogled-chromium-150.0.7871.128-1-linux-arm64-portable.tar.xz务必同时下载中文字体（离线服务器无 CJK 字体必然乱码）：wget https://github.com/notofonts/noto-cjk/raw/main/Sans/SubsetOTF/SC/NotoSansSC-Regular.otf第二步：离线服务器部署将下载的文件通过 U 盘或内网传输至目标服务器后执行：# 1. 创建目录并解压（无需 root） mkdir -p /opt/chromium tar -xf ungoogled-chromium-*-portable.tar.xz -C /opt/chromium --strip-components=1 # 2. 放置字体 mkdir -p /opt/chromium/fonts cp NotoSansSC-Regular.otf /opt/chromium/fonts/ # 3. 赋予执行权限 chmod +x /opt/chromium/chrome # 4. 验证动态链接库完整性（应全部显示 found 或 static） ldd /opt/chromium/chrome第三步：运行测试/opt/chromium/chrome \ --headless=new \ --no-sandbox \ --disable-gpu \ --disable-dev-shm-usage \ --font-path=/opt/chromium/fonts \ --screenshot=/tmp/test.png \ https://example.com确认 /tmp/test.png 生成且中文渲染正常，即部署成功。4. 多架构统一启动脚本（生产环境推荐）在混合架构集群中，建议封装 wrapper 脚本自动适配，屏蔽底层差异：#!/bin/bash # /usr/local/bin/chrome-headless ARCH=$(uname -m) CHROME_DIR="/opt/chromium" FONT_DIR="${CHROME_DIR}/fonts" case "$ARCH" in x86_64) CHROME_BIN="${CHROME_DIR}/chrome-x86_64" ;; aarch64) CHROME_BIN="${CHROME_DIR}/chrome-aarch64" # ARM64 二进制缺失时回退到容器 if [ ! -f "$CHROME_BIN" ]; then exec docker run --rm \ -v "${FONT_DIR}:/usr/share/fonts/custom:ro" \ zenika/alpine-chrome \ --headless=new --no-sandbox --disable-gpu \ --disable-dev-shm-usage \ --font-path=/usr/share/fonts/custom \ "$@" fi ;; *) echo "Unsupported architecture: $ARCH" >&2 exit 1 ;; esac exec "$CHROME_BIN" \ --headless=new \ --no-sandbox \ --disable-gpu \ --disable-dev-shm-usage \ --font-path="$FONT_DIR" \ "$@"调用方式统一为：chrome-headless --screenshot=/tmp/output.png https://example.com5. 常见问题速查表问题现象根因解决方案GLIBC_2.xx not found宿主机 glibc 版本过低换用 musl Portable 构建，或使用容器方案中文显示方块/乱码缺少 CJK 字体添加 --font-path 指向 Noto Sans SC 或文泉驿字体Out of memory / 崩溃/dev/shm 空间不足必须加 --disable-dev-shm-usageRunning as root without --no-sandboxroot 用户运行加 --no-sandbox（容器内或 root 下必需）ARM64 无可用 Portable 构建社区未覆盖该架构使用 zenika/alpine-chrome ARM64 容器镜像替代ldd 显示大量 not foundPortable 版仍依赖少量系统库安装缺失基础库（如 libnss3），或换用完全静态构建6. 参考链接二进制下载页：https://ungoogled-software.github.io/ungoogled-chromium-binaries/主仓库（源码/补丁）：https://github.com/ungoogled-software/ungoogled-chromium容器替代方案：https://hub.docker.com/r/zenika/alpine-chromeCJK 字体下载：https://github.com/notofonts/noto-cjk

AutoJs开心版 {cloud title="github" type="github" url="https://github.com/Azek431/AutoJsPro-Crd" password=""/}{cloud title="123网盘" type="default" url="https://1815547653.share.123pan.cn/123pan/0ztiVv-yFA1d" password=""/}{cloud title="天翼网盘" type="ty" url="https://cloud.189.cn/web/share?code=7ZVBjaZV3EV3" password="（访问码：kt0o）"/}

宝塔 + WordPress 安全加固完整方案 宝塔 + WordPress 安全加固完整方案从「面板 → 系统 → 网站/PHP → WordPress → 数据库 → 备份 → 监控 → 应急」8 层纵深防御。优先级：必须 > 推荐 > 可选。① 宝塔面板自身（必须）面板被破 = 整台服务器沦陷，是第一道防线。面板设置 → 修改端口：默认 8888 改高位非常用端口（如 35821）。面板设置 → 安全入口：设复杂随机路径，如 /bt_8f3k（默认 /btpanel 立即失效）。面板设置 → 绑定授权 IP：只放行你自己的固定 IP（无固定 IP 则跳过，别锁死自己）。面板设置 → 开启面板 SSL：用 https 访问面板。面板设置 → 两步验证(2FA)：手机令牌，强烈建议开。面板设置 → 修改管理员用户名 + 强密码（16 位以上，含大小写数字符号）。软件商店 → phpMyAdmin：不用时关闭，或加「基础认证」密码；不要长期公开。② 服务器系统层（推荐）安全（左侧）→ 系统防火墙：只放行 22 / 80 / 443 / 面板端口，其余拒绝。安全 → SSH 管理：改默认 22 端口；禁用 root 直接登录；改用密钥登录。软件商店 → 安装 fail2ban（或宝塔「系统防火墙」的防暴力破解）：自动封禁爆破 IP。定期执行系统补丁更新（yum update / apt update）。③ 网站 / PHP 层（必须，最关键，锁死破坏面）网站 → 设置 → 防跨站攻击 → ✅ 开启：本质是给 PHP 设 open_basedir，黑客拿到 shell 也出不了网站目录。这一项最重要。软件商店 → PHP 升级到 8.1 / 8.2（旧版漏洞多）。PHP → 设置 → 禁用函数：加入以下函数（WordPress 正常运行不需要）：exec, system, passthru, proc_open, popen, shell_exec, pcntl_exec, proc_get_status, proc_close, eval网站 → 设置 → 伪静态：追加「禁止 uploads 执行 PHP」规则（见下方配置区）。文件管理：目录 755、文件 644；wp-config.php 设为 600。网站 → SSL → Let's Encrypt 一键申请，开启「强制 HTTPS」。④ WordPress 应用层（必须）清理陌生管理员：后台「用户」确认无陌生账号；改掉默认 admin 用户名。装 Limit Login Attempts Reloaded：限制登录失败次数，挡暴破。在 wp-config.php 加两行，关闭后台主题/插件在线编辑（防黑客改主题挂马）：define( 'DISALLOW_FILE_EDIT', true ); define( 'DISALLOW_FILE_MODS', false ); // 想彻底禁止自动改文件改 true删掉 cholame222 副本、所有停用主题/插件（只留 active 的 cholame + 在用的插件）。更新 WP 核心 + 主题 + 插件到最新。装 Wordfence / Sucuri（免费版足够）：文件完整性监控 + 恶意流量拦截。不用就禁用 XML-RPC（黑客暴破常用）：用安全插件关，或 nginx 规则 deny 掉 xmlrpc.php。⑤ 数据库安全（推荐）强口令：wp-config.php 里的 DB_PASSWORD 用 16 位以上随机串。表前缀：新装站用非常规前缀（如 kr_ 而非 wp_）；已建站可用插件修改（有风险，先备份）。phpMyAdmin 用独立强口令，平时关闭。⑥ 备份（必须，被黑后能秒回滚）计划任务 → 建两条：网站备份 + 数据库备份，每日自动跑。备份存储到云存储（阿里云 OSS / 腾讯云 COS / FTP 异地），不要只存本机。保留至少 7 天滚动备份。也可用 UpdraftPlus 插件自动备份到云端。⑦ 监控告警（可选）监控（左侧）→ 开启，定期看 CPU/带宽异常。安全插件的邮件/微信告警打开，文件变更/登录异常即通知你。⑧ 应急响应（必须，怀疑被黑时）立即改全站密码（WP 管理员 / 主机 / 数据库 / phpMyAdmin），并撤销所有用户会话。从干净备份恢复，或按「正确重装核心」：只重传 wp-admin/ + wp-includes/ + 根目录 php 文件，不要动 wp-content（那会冲掉你的主题/插件/上传）。活动主题若被破坏：把你本地这份干净的 cholame 整目录重新传上去覆盖。扫描 wp-content/uploads/ 下有无异常 .php（正常不该有）。查数据库 wp_options 是否被注入跳转 JS、wp_users 有无陌生管理员。附：可直接复制的配置Nginx 伪静态（禁止 uploads 执行 PHP + 封 xmlrpc）# 禁止 uploads / cache / languages 执行 PHP（防挂马后门） location ~* ^/wp-content/(uploads|cache|languages)/.*\.(php|php3|php4|php5|phtml|pht)$ { deny all; return 403; } # 禁用 XML-RPC（防暴破） location = /xmlrpc.php { deny all; return 403; }Apache（.htaccess 放 uploads 目录）<FilesMatch "\.(?i:php|php3|php4|php5|phtml|pht)$"> Require all denied </FilesMatch> php_flag engine offwp-config.php 加固片段define( 'DISALLOW_FILE_EDIT', true ); define( 'FORCE_SSL_ADMIN', true ); define( 'WP_AUTO_UPDATE_CORE', 'minor' );验证 uploads 禁执行是否生效在 wp-content/uploads/ 新建 test.php，写 <?php echo "PHP_STILL_RUNS"; ?>访问 https://你的域名/wp-content/uploads/test.php✅ 正确：显示 403 Forbidden（看不到 PHP_STILL_RUNS）❌ 错误：直接显示了 PHP_STILL_RUNS → 规则未生效，检查服务器类型测完删掉 test.php⚠️ 最高性价比三件事（10 分钟，挡掉 80% 自动攻击）面板改端口 + 安全入口 + 2FA网站开防跨站攻击 + PHP 禁用危险函数 + uploads 禁执行 PHP宝塔设每日自动备份到云⚠️ 重装核心的正确姿势（避免再次白屏）只重传 wp-admin/、wp-includes/ 和根目录几个 php 文件。不要重传 wp-content/——里面装的是你的主题、插件和上传的图片，重传会覆盖/冲掉它们，正是上次前台白屏的原因。

Nginx平滑升级离线编译与零停机热替换完整手册 Nginx 1.30.4 离线编译与零停机热替换完整手册⚠️ 前置条件确认当前身份：root旧版 Nginx 前缀：/usr/local/nginx编译依赖：gcc、make、pcre-devel、zlib-devel、openssl-devel 等必须已在离线环境中提前安装。若未安装，需先通过 rpm/deb 包离线安装依赖，否则 ./configure 会失败。📥 第一阶段：获取源码与解压1. 下载 Nginx 1.30.4 源码包在有网络的机器上下载后，通过 U盘/SCP 等方式传入服务器 /home/zjgzwyjsadmin/ 目录：# 在联网机器执行示例 wget https://nginx.org/download/nginx-1.30.4.tar.gz2. 解压并进入源码目录cd /home/nginx-1.30.4 tar -zxvf nginx-1.30.4.tar.gz cd nginx-1.30.4路径约定后续所有命令均假设源码位于 /home/nginx-1.30.4。若您实际路径不同，请全局替换。🔧 第二阶段：编译构建（仅编译，不安装）1. 提取旧版编译参数OLD_ARGS= $ (nginx -V 2>&1 | grep "configure arguments:" | sed 's/configure arguments: //') echo "📋 旧版参数: $ OLD_ARGS"2. 配置编译选项# 使用旧版参数确保模块完全兼容 ./configure $ OLD_ARGS3. 编译生成新二进制# 利用多核加速编译，绝不执行 make install！ make -j $ (nproc)4. 编译后双重验证（必做）# 验证1：参数一致性（注意 -- 分隔符防止 grep 误解析） ./objs/nginx -V 2>&1 | grep "configure arguments:" | grep -F -- " $ OLD_ARGS" \ && echo "✅ 编译参数一致" || { echo "❌ 参数不一致，停止！"; exit 1; } # 验证2：新二进制能正确解析现有配置 ./objs/nginx -t # 期望输出: syntax is ok / test is successful只有两个验证均通过，才能继续。 若失败，检查 $OLD_ARGS 完整性或重新 make clean && make。🔒 第三阶段：全量备份（不可跳过）BACKUP_TIME= $ (date +%Y%m%d_%H%M%S) NGINX_BIN= $ (which nginx) # 备份二进制 cp " $ NGINX_BIN" " $ {NGINX_BIN}.bak. $ {BACKUP_TIME}" # 备份配置目录 cp -a /usr/local/nginx/conf "/usr/local/nginx/conf.bak. $ {BACKUP_TIME}" echo "✅ 备份完成:" ls -lh " $ {NGINX_BIN}.bak. $ {BACKUP_TIME}" ls -ld "/usr/local/nginx/conf.bak. $ {BACKUP_TIME}"🔄 第四阶段：零停机热替换执行💡 原理：USR2 启动新 Master → 新 Worker 接管新请求 → WINCH 优雅关闭旧 Worker→ QUIT 退出旧 Master。全程无连接中断。# 确保在源码目录下 cd /home/zjgzwyjsadmin/nginx-1.30.4 NGINX_BIN= $ (which nginx) # 步骤1：覆盖二进制（旧进程在内存中运行，不受磁盘影响） cp ./objs/nginx " $ NGINX_BIN" # 步骤2：启动新 Master 进程 kill -USR2 $ (cat /usr/local/nginx/logs/nginx.pid) sleep 3 # 步骤3：确认双 Master 共存（必须看到两行 master） ps aux | grep "[n]ginx: master" # 步骤4：优雅关闭旧 Worker kill -WINCH $ (cat /usr/local/nginx/logs/nginx.pid.oldbin) # 步骤5：业务健康检查（关键决策点！） curl -sI http://localhost | head -3 tail -20 /usr/local/nginx/logs/error.log | grep -E "emerg|crit|alert" # ✅ 正常 → 继续步骤6 # ❌ 异常 → 立即执行下方【紧急回滚预案】 # 步骤6：彻底退出旧 Master kill -QUIT $ (cat /usr/local/nginx/logs/nginx.pid.oldbin) # 步骤7：最终版本确认 nginx -v # 期望输出: nginx version: nginx/1.30.4✅ 第五阶段：升级后验证矩阵检查项命令合格标准版本号nginx -vnginx/1.30.4进程唯一性`ps aux \grep "[n]ginx: master" \wc -l`输出 1配置语法nginx -ttest is successful错误日志tail -20 /usr/local/nginx/logs/error.log无新增 emerg/crit业务响应curl -sI http://localhostHTTP 2xx/3xx监听端口`ss -tlnp \grep nginx`所有预期端口 LISTEN🔙 紧急回滚预案（30秒内恢复）仅在第四阶段步骤5健康检查失败时执行：NGINX_BIN= $ (which nginx) # ⚠️ 将下方时间戳替换为第三阶段输出的实际 BACKUP_TIME BACKUP_TIME="YYYYMMDD_HHMMSS" # 1. 终止新进程组 kill -QUIT $ (cat /usr/local/nginx/logs/nginx.pid) 2>/dev/null # 2. 恢复旧二进制 cp " $ {NGINX_BIN}.bak. $ {BACKUP_TIME}" " $ NGINX_BIN" # 3. 重启旧版本 nginx -t && nginx # 4. 验证回滚成功 nginx -v && curl -sI http://localhost⚠️ Root 环境安全警告SELinux：若启用，覆盖二进制后必须执行 restorecon -v "$NGINX_BIN"，否则新 Master 无法绑定端口。WINCH 耐心等待：WebSocket/大文件下载等长连接可能导致旧 Worker 持续数分钟。用 watch -n1 'ps aux | grep "[n]ginx: worker"' 监控，绝不要 kill -9。PID 路径：以上命令假设 PID 在 /usr/local/nginx/logs/nginx.pid。若不同，通过 nginx -V 2>&1 | grep -oP '(?<=--pid-path=)\S+' 获取实际路径并全局替换。操作窗口：尽管零停机，仍建议在业务低峰期执行。离线依赖：若 ./configure 报错缺少库，需在离线环境中提前准备好对应的 devel 包（如 pcre2-devel、zlib-devel、openssl-devel）并通过 rpm -ivh 或 dpkg -i 安装。