在当今 Python Web 开发生态中，选择一个合适的基础框架往往决定了项目的开发效率、代码架构规范和后期的维护成本。目前最主流的三个选择无疑是：

1. Django —— 全功能、开箱即用的“电池内置（Batteries-Included）”全栈重型框架；
2. Flask —— 极简主义、高自由度、轻量微型（Micro-framework）框架；
3. FastAPI —— 现代、高性能、基于类型提示与 ASGI 的现代化异步 API 框架。

很多开发者在技术选型时常感到困惑：究竟是选成熟稳健的 Django，还是自由小巧的 Flask，亦或是新一代性能怪兽 FastAPI？本文将从核心架构、异步能力、开发效率、性能表现等多维度展开深度剖析。

一、三大框架核心概览

1. Django：“全包宴”式巨无霸

• 诞生背景：诞生于 2005 年，最初为新闻内容发布平台量身打造，主打快速开发与“开箱即用”。
• 核心哲学：不要重复造轮子（DRY，Don't Repeat Yourself）。Django 自带了完善的 ORM、后台管理系统（Admin）、用户认证系统（Auth）、表单验证（Forms）、迁移系统（Migrations）和安全防护机制（CSRF/XSS 防御）。
• 适用感受：就像买了一套精装修带全套家电的豪宅，拎包入住，但墙壁承重结构很难随意改动。

2. Flask：“毛坯房”式微框架

• 诞生背景：诞生于 2010 年，基于 Werkzeug WSGI 工具箱和 Jinja2 模板引擎构建。
• 核心哲学：内核极其轻简，核心代码仅保留请求路由和模板渲染，其余功能（如数据库 ORM、用户鉴权、表单处理）均通过社区扩展（如 Flask-SQLAlchemy、Flask-Login 等）按需拼装。
• 适用感受：就像买了一套毛坯房，所有的软装、水电布线都由你全权设计，极具灵活性，但对开发者的架构设计能力提出了更高要求。

3. FastAPI：“高性能跑车”式新锐

• 诞生背景：诞生于 2018 年，基于 Starlette（ASGI 引擎）和 Pydantic（数据校验）构建，专为构建现代 RESTful API 设计。
• 核心哲学：利用 Python 3.6+ 的类型注解（Type Hints），实现自动数据校验、序列化、自动化生成交互式 Swagger/ReDoc API 文档，原生全面支持 async/await 异步高并发。
• 适用感受：就像一辆流线型现代电跑，不仅速度飞快、自带智能辅助驾驶（类型安全与文档），而且操作体验极佳。

二、核心维度深度横向对比

三、深入技术细节剖析

1. 异步编程（Async/Await）与性能表现

• FastAPI 原生基于 ASGI 规范构建，在处理 I/O 密集型任务（如外部 API 调用、高并发数据库查询、长轮询、WebSocket）时，单实例吞吐量远远领先于基于 WSGI 的 Django 和 Flask。在业内主流的 TechEmpower 性能基准测试中，FastAPI 的成绩通常比传统 Django/Flask 高出一个数量级。
• Flask 本质上是同步的，尽管 Flask 2.0+ 增加了 async 视图支持，但底层依然受制于传统的 WSGI 设计，并非彻底的原生 ASGI 异步栈。
• Django 从 3.0 开始引入 ASGI，支持异步视图，并在 4.x/5.x 持续完善异步 ORM。但由于庞大的历史包袱和复杂的中间件机制，全面异步化仍需时日。

2. API 接口开发体验与文档自动化

如果你的核心需求是开发 前后端分离架构的后端接口 或 移动端后台：

• FastAPI 具有压倒性优势。通过定义 Pydantic 数据模型，请求体解析、类型转换、错误提示全部自动完成；服务启动后直接访问 /docs 就能获得现成的交互式 Swagger UI，前后端联调效率提升明显。
• Django 需要引入重型的 Django REST framework (DRF)，虽然功能极其强大（视图集、序列化器、过滤器应有尽有），但编写大量类和样板代码有时显得偏重。
• Flask 则需要自己手动组装校验库和文档库，团队规模一旦扩大，容易因为风格不统一导致维护困难。

3. 项目规范与团队协作

• Django 拥有极严格的约定优于配置（Convention over Configuration）标准。任何熟练的 Django 开发者接手新项目时，都能在两分钟内找到模型、视图、路由和配置的所在。这使得大型团队和长期维护的企业级系统极具可控性。
• Flask 由于太自由，每个开发者架构项目目录、分发路由的方式都可能截然不同，缺乏强约束可能导致技术债务迅速累积。

四、总结与框架选型指南

那么，在实际项目中到底该如何做选择？

💡 选 Django 的场景：

1. 项目需求宽泛、追求快速交付：需要后台管理系统、用户权限体系、数据管理系统；
2. 传统全栈 Web 应用：需要服务端模板渲染（SSR）或成熟的 CMS、内部 ERP、电商管理后台；
3. 大型团队协作：需要统一的代码结构规范和稳健久经考验的技术体系。

💡 选 Flask 的场景：

1. 小型轻量项目或原型验证（MVP）：写几个简单的轻量级脚本服务、工具类 Web 工具；
2. 需要极致自定义：不想被任何特定 ORM 或模板引擎绑架，想完全根据自身需求选配技术栈；
3. 学习 Python Web 原理：代码量小、结构透明，非常适合初学者阅读源码理解 Web 请求处理本质。

💡 选 FastAPI 的场景：

1. 前后端分离 / 现代微服务体系：开发高性能 RESTful API、GraphQL API 服务；
2. 高并发与 I/O 密集型应用：聊天室、实时推送、IoT 数据收集、大模型（LLM）API 网关与推理服务；
3. 追求开发幸福度：喜欢现代 Python 类型提示、渴望彻底告别手动写接口文档和参数校验的开发者。

结语：没有最好的框架，只有最契合业务场景的武器。了解它们的长短板，才能在系统架构中做到游刃有余！

在掌握了 cd、ls、grep 等基础命令之后，面对线上高并发环境下的性能瓶颈、内存泄漏、网络丢包或海量日志分析时，我们需要更加深入、底层的 Linux 高阶工具。本文将系统梳理生产环境中资深运维与研发人员必备的 Linux 高阶命令。

一、文本三剑客进阶与批处理工具

• awk：强大的流式文本格式化与处理语言。
  • 统计日志中访问频次最高的 IP：
    awk '{print $1}' access.log | sort | uniq -c | sort -nr | head -n 10
  • 按条件汇总数值：
    awk -F',' '$3 > 100 {sum+=$3} END {print "Total:", sum}' data.csv
• sed：流编辑器，擅长正则替换与流式过滤。
  • 全局替换并直接修改文件：sed -i 's/old_text/new_text/g' config.conf
  • 删除空白行或注释行：sed -i '/^#/d; /^$/d' nginx.conf
• xargs：参数转换与并发执行。
  • 安全删除匹配文件（避免参数过长错误）：
    find /tmp -name "*.log" -print0 | xargs -0 rm -f
  • 多进程并发任务：
    cat url_list.txt | xargs -n 1 -P 4 curl -s -O

二、系统性能瓶颈排查与深度监控

• vmstat：综合查看虚拟内存、进程、CPU 活动与系统上下文切换。
  • 监控周期 1 秒，输出 5 次：vmstat 1 5
  • 重点指标：r（就绪队列进程数）、cs（上下文切换次数）、si/so（Swap换入换出，非0通常预示内存严重不足）。
• iostat：深度磁盘 I/O 吞吐与等待分析。
  • 查看扩展指标：iostat -xz 1
  • 重点指标：%util（磁盘忙碌比例接近100%说明I/O瓶颈）、await（平均等待响应时间）。
• pidstat：多维度分析指定进程的 CPU、内存、I/O 细粒度资源。
  • 排查哪个进程在疯狂写入磁盘：pidstat -d 1
  • 监控进程上下文切换：pidstat -w -p <PID> 1
• mpstat：多核 CPU 负载均衡情况追踪。
  • 查看各核使用率：mpstat -P ALL 1

三、系统调用追踪与故障诊断

• strace：跟踪进程与 Linux 内核交互的系统调用与信号。
  • 定位进程卡死在哪个系统调用：strace -p <PID> -T -tt
  • 统计系统调用耗时排行：strace -c -p <PID>
• lsof：列出当前系统打开的所有文件及套接字。
  • 排查特定端口被谁占用：lsof -i :8080
  • 排查已删除但未释放磁盘空间的大文件：lsof | grep deleted
  • 查看某个目录正在被哪些进程占用：lsof +D /var/log
• journalctl：现代 systemd 日志检索利器。
  • 实时追踪特定服务日志：journalctl -u nginx.service -f
  • 查看本次启动以来的致命错误：journalctl -p err..emerg -b

四、网络高阶调试与抓包分析

• tcpdump：底层网络抓包与协议分析。
  • 抓取指定网卡、特定端口的 TCP 数据包：
    tcpdump -i eth0 -nn -A 'tcp port 80 and host 192.168.1.50'
  • 抓包保存为 pcap 文件供 Wireshark 分析：
    tcpdump -i any -w trace.pcap -c 1000
• ss：替代 netstat 的高性能套接字统计。
  • 排查处于 TIME-WAIT 或 CLOSE-WAIT 的连接数：
    ss -s 或 ss -ant state close-wait
• nc (netcat)：瑞士军刀级网络调试工具。
  • 快速测试远程端口是否开放：nc -zv 192.168.1.100 3306
  • 在服务器之间建立简易数据传输通道或临时监听端口。

结语

熟练运用 awk/sed 结合 vmstat、iostat、strace、tcpdump 等命令，可以让你在面对线上生产事故、服务突发异常或高并发性能调优时，快速定位系统瓶颈与代码根因。

Linux 是目前服务器、云计算及开发领域最常用的操作系统之一。掌握 Linux 的常用基础命令，能够大幅提升开发与运维效率。本文将系统性地整理 Linux 中高频实用的命令，供大家学习与查阅。

一、文件与目录操作

• ls：列出目录内容。常用参数：ls -l（详细列表）、ls -a（显示隐藏文件）、ls -lh（以人类可读方式显示文件大小）。
• cd：切换工作目录。例如：cd /var/log、cd ..（返回上一级目录）、cd ~（返回用户主目录）。
• pwd：显示当前所在的工作目录的绝对路径。
• mkdir：创建新目录。例如：mkdir -p project/src（递归创建多级目录）。
• rm：删除文件或目录。例如：rm file.txt，递归强制删除目录使用 rm -rf dir_name（请谨慎使用）。
• cp：复制文件或目录。例如：cp file1.txt file2.txt，复制目录加 -r 参数。
• mv：移动文件或重命名。例如：mv old.txt new.txt。

二、文本查看与编辑

• cat：查看文件内容。例如：cat file.txt。
• less / more：分页查看大文件内容，支持上下翻页与搜索。
• head / tail：查看文件开头或结尾内容。常用：tail -f access.log（实时查看日志更新）。
• grep：在文本中搜索指定模式。例如：grep "error" app.log。
• vim / nano：终端常用的文本编辑器。

三、系统状态与进程管理

• ps：查看当前进程快照。常用：ps aux | grep nginx。
• top / htop：动态查看系统资源占用情况（CPU、内存、进程等）。
• kill：终止进程。例如：kill -9 （强制杀死指定PID的进程）。
• df -h：查看磁盘分区使用情况。
• free -h：查看系统内存使用情况。
• systemctl：系统服务管理工具。例如：systemctl status nginx（查看服务状态）、systemctl restart nginx（重启服务）。

四、网络与远程连接

• ping：测试网络连通性。例如：ping google.com。
• curl / wget：网络请求与文件下载工具。例如：curl -I https://example.com。
• netstat / ss：查看网络端口监听情况。常用：ss -tulpn。
• ssh：远程安全登录。例如：ssh user@192.168.1.100。

五、权限与用户管理

• chmod：修改文件或目录权限。例如：chmod 755 script.sh。
• chown：修改文件所有者与所属组。例如：chown www:www -R /var/www/html。
• sudo：以超级管理员权限执行命令。

熟练使用这些基本命令是开启 Linux 之旅的第一步，建议在日常开发中多加练习与积累！

为什么选择 MTProxy？

MTProxy 的核心特点在于“专款专用”：它在服务端做了严格限制，仅允许客户端与 Telegram 官方服务器之间建立通信。相比于全局代理工具，它的优势主要体现在以下两个场景：

1. 移动端即开即用，体验媲美本土 IM

在桌面端，许多人习惯让网络代理开机自启并长期驻留后台；但对移动端用户来说，频繁开启或后台常驻代理软件不仅消耗额外电量，还容易打乱其他应用的直连网络环境。
配置 MTProxy 后，Telegram 客户端本身即可直接维持独立代理通道。无需在系统层面开启任何辅助软件，点开即聊，收发消息就像使用常规 IM 工具一样顺滑。

2. 极简的“零门槛”分享体验

如果你曾试图向朋友推荐 Telegram，往往会卡在第一步：“先下载这个代理工具，配置这个节点，再打开 TG……”。
而使用 MTProxy，只需给好友发送一条 tg://proxy?... 格式的专用链接，对方在应用内一键点击即可完成配置，大幅降低了跨平台交流的门槛。

此外，作为官方协议支持的解决方案，MTProxy 占用的系统资源极低，在低配置 VPS 上也能游刃有余地稳定运行。

服务端安装部署

借助开源管理脚本，可以在 Linux 服务器上快速部署 MTProxy 服务。

1. 获取并执行安装脚本

在终端中执行以下命令下载并运行安装向导：

wget -N --no-check-certificate https://raw.githubusercontent.com/ToyoDAdoubi/doubi/master/mtproxy.sh && chmod +x mtproxy.sh && bash mtproxy.sh

2. 交互式安装

脚本启动后会显示功能菜单，输入 1 并按回车，按照提示配置端口和密钥即可自动完成编译与部署。

日常管理与维护

后续如需管理服务，可随时在脚本目录下执行：

./mtproxy.sh

管理菜单涵盖了常用的运维功能：

• 查看账号信息：获取供客户端连接的配置参数或一键导入链接。
• 启停与重启：管理后台服务运行状态。
• 查看连接与日志：排查连接异常与性能状况。

常用系统命令与文件路径

如果你更习惯使用标准服务管理命令，可以直接通过系统服务进行操作：

• 安装目录：/usr/local/mtproxy
• 配置文件：/usr/local/mtproxy/mtproxy.conf
• 日志文件：/usr/local/mtproxy/mtproxy.log

客户端接入方式

确保 Telegram 客户端已更新至支持 MTProto 代理的现代版本后：

1. 一键导入：通过脚本菜单选择“查看 账号信息”，复制生成的形如 tg://proxy?server=...&port=...&secret=... 链接，直接在 Telegram 内发送并点击，应用将自动弹出配置确认窗口。
2. 手动配置：进入客户端的 设置（Settings） -> 数据与存储（Data and Storage） -> 代理设置（Proxy Settings），添加代理类型为 MTProto Proxy，填入对应的服务器 IP、端口及密钥（Secret）即可。

OpenClaw 是一个开源项目，旨在重新实现经典横版动作游戏 Captain Claw（1997 年 Monolith Productions 出品的海盗题材平台游戏）。它的目标不是重做游戏资源，而是用现代开源引擎复刻原版游戏的运行逻辑，让开发者可以在 Windows、Linux 和 macOS 等现代平台上运行原始游戏文件。

为什么要玩 Captain Claw？

Captain Claw 曾是许多玩家童年的回忆：一只名为 William Morgan 的海盗猫，为了争夺黄金鸡腿而踏上冒险旅程。游戏以其流畅的动作、丰富的关卡和独特的氛围著称。但随着技术演进，原版程序越来越难以在新系统上运行，这正是 OpenClaw 存在的意义。

OpenClaw 的核心价值

• 开源免费：任何人都可以查看代码、参与贡献。
• 跨平台支持：让经典游戏摆脱对老旧 Windows 的依赖。
• 保留原版体验：使用原版资源文件，关卡、音乐和画面保持原貌。
• 可扩展性：为 MOD、关卡编辑和引擎改进提供了基础。

如何开始使用

要运行 OpenClaw，你通常需要：1）获取 OpenClaw 源码或编译好的版本；2）准备 Captain Claw 原版的资源文件；3）按照官方说明进行配置和启动。由于涉及原版游戏版权，资源文件需要合法获取。

结语

OpenClaw 是经典游戏保存与传承的典范。通过开源社区的努力，老游戏不仅得以在新技术环境下延续生命，也为后来的开发者提供了学习平台游戏实现与 C++ 项目架构的宝贵样本。

Docker 是目前最主流的容器化技术，基于 Linux 内核的命名空间与控制组（cgroups）实现轻量级虚拟化，让应用及其依赖打包为镜像，秒级启动、跨环境一致运行。本指南覆盖从安装、配置、运行到安全加固与故障排查的全流程。

一、Docker 核心概念

• 镜像（Image）：只读模板，包含运行应用所需的文件系统、依赖与配置。
• 容器（Container）：镜像的运行实例，拥有独立网络、进程空间与文件系统视图。
• 仓库（Registry）：集中存放和分发镜像，如 Docker Hub、私有 Harbor。
• Docker Engine：运行时核心，包含 dockerd 守护进程与 containerd、runc 容器运行时。

二、安装前检查

# 1. 确认内核版本需 >= 3.10
uname -r

# 2. 确认发行版与架构
cat /etc/os-release
arch

# 3. 卸载旧版本（CentOS/RHEL）
sudo yum remove -y docker docker-client docker-common docker-engine docker-selinux docker-ce containerd.io podman

# 4. 卸载旧版本（Ubuntu/Debian）
sudo apt remove -y docker docker.io containerd runc

三、安装方式

3.1 官方一键脚本（推荐新手快速体验）

curl -fsSL https://get.docker.com -o get-docker.sh
sudo sh get-docker.sh

3.2 通过发行版仓库安装

CentOS / RHEL / Rocky / AlmaLinux

# 安装 yum 工具
sudo yum install -y yum-utils device-mapper-persistent-data lvm2

# 添加 Docker 官方仓库
sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo

# 安装 Docker Engine 全家桶
sudo yum install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

Ubuntu / Debian

# 安装依赖
sudo apt update
sudo apt install -y ca-certificates curl gnupg lsb-release

# 添加 Docker 官方 GPG 密钥
sudo mkdir -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/$(lsb_release -is | tr '[:upper:]' '[:lower:]')/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg

# 添加源
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/$(lsb_release -is | tr '[:upper:]' '[:lower:]') $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list

# 安装
sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

四、启动服务并验证

# 启动并设置开机自启
sudo systemctl enable --now docker

# 检查状态
sudo systemctl status docker

# 查看版本信息
docker version

# 运行测试容器
docker run --rm hello-world

输出 Hello from Docker! 即表示安装与网络正常。

五、配置镜像加速与守护进程

国内访问 Docker Hub 较慢，建议配置镜像加速。

sudo mkdir -p /etc/docker
sudo tee /etc/docker/daemon.json <<'EOF'
{
  "registry-mirrors": [
    "https://docker.m.daocloud.io",
    "https://docker.1panel.live"
  ],
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "100m",
    "max-file": "3"
  },
  "storage-driver": "overlay2",
  "live-restore": true
}
EOF

# 重启生效
sudo systemctl daemon-reload
sudo systemctl restart docker

live-restore: true 允许守护进程重启时容器继续运行，生产环境强烈建议开启。

六、免 sudo 运行 Docker

# 将当前用户加入 docker 组
sudo usermod -aG docker $USER

# 重新登录会话生效
newgrp docker

# 验证
docker ps

安全提示：加入 docker 组等价于获得 root 权限，共享主机需谨慎。

七、常用命令速查

# 拉取与镜像
docker pull nginx:latest
docker images
docker rmi nginx:latest

# 容器生命周期
docker run -d --name web -p 80:80 nginx
docker ps          # 查看运行中的容器
docker ps -a       # 查看所有容器
docker stop web
docker rm web

# 进入容器
docker exec -it web /bin/sh

# 查看日志
docker logs -f --tail=100 web

# 复制文件
docker cp web:/var/log/nginx/error.log ./error.log
docker cp ./index.html web:/usr/share/nginx/html/index.html

# 清理未使用的资源
docker system prune -a

八、数据卷与持久化

容器文件系统是临时的，删除即丢失。使用数据卷（volume）持久化数据。

# 创建命名卷
docker volume create nginx-data

# 运行容器并挂载卷
docker run -d --name web -p 80:80 -v nginx-data:/usr/share/nginx/html nginx

# 绑定挂载宿主机目录（适合开发）
docker run -d --name dev -p 8080:80 -v $(pwd)/html:/usr/share/nginx/html nginx

# 查看与管理卷
docker volume ls
docker volume inspect nginx-data
docker volume rm nginx-data

九、网络模型

Docker 默认桥接网络实现容器互联。

# 查看内置网络
docker network ls

# 创建自定义网络
docker network create --driver bridge mynet

# 容器加入网络后可通过容器名互访
docker run -d --name app --network mynet nginx:alpine
docker exec -it app ping web

驱动类型：

• bridge：单机默认，隔离性好。
• host：使用宿主机网络栈，性能高但无隔离。
• overlay：Swarm 多主机互联。
• macvlan：容器直接获得二层物理网 IP。

十、Dockerfile 构建自定义镜像

以构建一个静态站点为例：

mkdir mysite && cd mysite

创建 index.html：

<h1>Hello Docker</h1>

创建 Dockerfile：

FROM nginx:alpine
LABEL maintainer="you@example.com"
COPY index.html /usr/share/nginx/html/index.html
EXPOSE 80
CMD ["nginx", "-g", "daemon off;"]

构建与运行：

docker build -t mysite:1.0 .
docker run -d -p 8000:80 mysite:1.0

多阶段构建（减小体积）：

# 编译阶段
FROM golang:1.22 AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -o myapp .

# 运行阶段
FROM alpine:3.19
WORKDIR /root/
COPY --from=builder /app/myapp .
ENTRYPOINT ["./myapp"]

十一、Docker Compose 多容器编排

现代版本集成在 docker compose 命令中，无需单独安装 docker-compose。

# 验证
docker compose version

示例 compose.yml 部署 Web + 数据库：

services:
  web:
    image: nginx:alpine
    ports:
      - "80:80"
    volumes:
      - ./html:/usr/share/nginx/html
    depends_on:
      - db
    networks:
      - backend

  db:
    image: postgres:16-alpine
    environment:
      POSTGRES_USER: app
      POSTGRES_PASSWORD: secret
      POSTGRES_DB: myapp
    volumes:
      - pgdata:/var/lib/postgresql/data
    networks:
      - backend

networks:
  backend:
    driver: bridge

volumes:
  pgdata:

常用命令：

docker compose up -d        # 后台启动
docker compose ps
docker compose logs -f web
docker compose exec db psql -U app
docker compose down -v      # 停止并删除数据卷

十二、资源限制与性能

# 限制内存 512MB、CPU 1 核
docker run -d --name cgroup --memory=512m --memory-swap=512m --cpus=1 nginx

# 限制进程数
docker run --ulimit nproc=100:200 --ulimit nofile=1024:2048 nginx

# 查看实时资源
docker stats

十三、安全加固建议

• 最小镜像原则：优先使用 alpine、distroless、slim 变体。
• 非 root 用户运行容器：

  FROM node:20-alpine
  RUN addgroup -S app && adduser -S app -G app
  USER app

• 不挂载危险路径：避免 -v /var/run/docker.sock:/var/run/docker.sock、/、/proc 等。
• 只读根文件系统：docker run --read-only --tmpfs /tmp nginx。
• 镜像扫描：集成 trivy 等扫描工具。
• 使用 rootless 模式：让 dockerd 以非特权用户运行，降低内核攻击面。
• 网络隔离：仅暴露必要端口，敏感服务使用内部网络，不映射宿主机端口。

十四、故障排查

1. 服务无法启动，日志查看位置

journalctl -u docker.service --since "10 min ago"

2. overlay2 挂载失败

确认内核模块加载：

lsmod | grep overlay
modprobe overlay

3. 端口未放行

sudo firewall-cmd --permanent --add-port=80/tcp && sudo firewall-cmd --reload
# 或
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

4. 容器访问外网失败

检查 dockerd 是否开启 IPv4 转发：

sysctl net.ipv4.ip_forward

5. 存储目录权限或空间不足

docker system df
sudo du -sh /var/lib/docker

迁移数据目录：

# 编辑 /etc/docker/daemon.json
{
  "data-root": "/data/docker"
}
# 重启并迁移旧数据

十五、卸载 Docker

# 停止服务
sudo systemctl stop docker
sudo systemctl disable docker

# 卸载包（Ubuntu/Debian）
sudo apt purge -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

# 清理数据与配置
sudo rm -rf /var/lib/docker /var/lib/containerd /etc/docker
sudo apt autoremove

十六、总结

Docker 让应用打包、部署与扩容变得简单一致。生产部署建议：

1. 使用官方仓库安装并保持版本可控；
2. 配置镜像加速与日志轮转；
3. 优先使用 Dockerfile + compose.yml 固化环境；
4. 重视安全，采用最小权限与镜像扫描；
5. 配合 healthcheck、重启策略与资源限制提升稳定性。

进一步可学习 docker context、Docker Swarm、Kubernetes、Podman 与 BuildKit 等进阶主题。

参考：Docker 官方文档

Nginx（发音同 engine x）是一款高性能的 HTTP 和反向代理服务，同时也支持 IMAP/POP3/SMTP 协议。它以轻量、高并发、低内存著称，被广泛应用于 Web 服务器、负载均衡、静态资源服务、SSL 终结等场景。本指南将以实操方式带你从零完成 Nginx 的安装、配置、启动、优化与排错。

一、Nginx 核心特性概览

• 事件驱动架构：基于 epoll/kqueue 的高并发模型，单机可承载数万连接。
• 模块化设计：HTTP、Stream、Mail 模块灵活组合。
• 反向代理与负载均衡：内置 round-robin、ip_hash、least_conn、weighted 等策略。
• 高可用：支持 Master-Worker 多进程模型，热加载配置不中断服务。
• 丰富的生态：OpenResty、Nginx Unit、Tengine 等衍生方案。

二、安装方式选择

Linux 上安装 Nginx 主要有三种方式：

三、基于发行版仓库安装

3.1 CentOS / RHEL / Rocky / AlmaLinux

# 安装 EPEL 源（Nginx 在 EPEL 中）
sudo yum install -y epel-release
sudo yum install -y nginx

# 启动并设置开机自启
sudo systemctl enable --now nginx

# 检查状态
sudo systemctl status nginx

3.2 Ubuntu / Debian

sudo apt update
sudo apt install -y nginx

sudo systemctl enable --now nginx
sudo systemctl status nginx

验证安装：浏览器访问 http://服务器IP，看到 Nginx 欢迎页即成功。

四、基于 Nginx 官方仓库安装（较新版本）

CentOS/RHEL

sudo tee /etc/yum.repos.d/nginx.repo <<'EOF'
[nginx-stable]
name=nginx stable repo
baseurl=http://nginx.org/packages/centos/$releasever/$basearch/
gpgcheck=1
enabled=1
gpgkey=https://nginx.org/keys/nginx_signing.key
module_hotfixes=true
EOF

sudo yum install -y nginx

Ubuntu/Debian

# 添加 GPG 密钥
sudo curl -fsSL https://nginx.org/keys/nginx_signing.key | gpg --dearmor \
    | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null

# 添加源（以 Ubuntu 22.04 为例）
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] http://nginx.org/packages/ubuntu jammy nginx" \
    | sudo tee /etc/apt/sources.list.d/nginx.list

sudo apt update
sudo apt install -y nginx

五、源码编译安装（进阶）

# 安装依赖
sudo yum install -y gcc pcre-devel zlib-devel openssl-devel   # CentOS
# sudo apt install -y build-essential libpcre3 libpcre3-dev zlib1g zlib1g-dev libssl-dev  # Ubuntu

# 下载源码
wget https://nginx.org/download/nginx-1.24.0.tar.gz
tar -xzvf nginx-1.24.0.tar.gz
cd nginx-1.24.0

# 配置编译选项
./configure --prefix=/etc/nginx \
            --sbin-path=/usr/sbin/nginx \
            --conf-path=/etc/nginx/nginx.conf \
            --pid-path=/var/run/nginx.pid \
            --error-log-path=/var/log/nginx/error.log \
            --http-log-path=/var/log/nginx/access.log \
            --with-http_ssl_module \
            --with-http_v2_module \
            --with-http_gzip_static_module \
            --with-http_stub_status_module

make && sudo make install

# 创建 systemd 服务
sudo tee /etc/systemd/system/nginx.service <<'EOF'
[Unit]
Description=nginx - high performance web server
After=network.target

[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $(cat /var/run/nginx.pid)
ExecStop=/bin/kill -s TERM $(cat /var/run/nginx.pid)

[Install]
WantedBy=multi-user.target
EOF

sudo systemctl daemon-reload
sudo systemctl enable --now nginx

六、目录结构与配置文件解析

/etc/nginx/
├── nginx.conf            # 主配置
├── mime.types            # MIME 类型映射
├── conf.d/               # 站点配置目录
├── sites-available/      # 站点配置（Debian 系）
├── sites-enabled/        # 启用的站点软链接
└── ssl/                  # SSL 证书目录（自建）

/var/log/nginx/           # 日志目录
├── access.log            # 访问日志
└── error.log             # 错误日志

/usr/share/nginx/html/    # 默认 Web 根目录

主配置 nginx.conf 示例

user  nginx;
worker_processes  auto;            # 根据 CPU 核心自动设置
error_log  /var/log/nginx/error.log warn;
pid        /var/run/nginx.pid;

events {
    worker_connections  10240;     # 单 worker 最大并发
    use epoll;
    multi_accept  on;
}

http {
    include       mime.types;
    default_type  application/octet-stream;
    sendfile      on;
    tcp_nopush    on;
    tcp_nodelay   on;
    keepalive_timeout  65;
    server_tokens  off;            # 隐藏版本号

    # 日志格式
    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
    access_log  /var/log/nginx/access.log main;

    # gzip 压缩
    gzip  on;
    gzip_min_length 1k;
    gzip_comp_level 5;
    gzip_types text/plain text/css application/json application/javascript text/xml;

    include /etc/nginx/conf.d/*.conf;
}

七、配置一个站点（反向代理 + SSL）

# /etc/nginx/conf.d/example.conf
server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    server_name example.com www.example.com;

    ssl_certificate     /etc/ssl/example.com/fullchain.pem;
    ssl_certificate_key /etc/ssl/example.com/privkey.pem;
    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
    ssl_session_cache   shared:SSL:10m;
    ssl_session_timeout 10m;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_connect_timeout 5s;
        proxy_read_timeout   30s;
    }

    # 静态资源缓存
    location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg|woff2?)$ {
        root /var/www/static;
        expires 30d;
        add_header Cache-Control "public, immutable";
    }

    # 状态页（仅内网访问）
    location /nginx_status {
        stub_status;
        access_log off;
        allow 127.0.0.1;
        deny all;
    }
}

负载均衡示例

upstream backend {
    least_conn;                     # 最少连接策略
    server 10.0.0.11:8080 weight=3;
    server 10.0.0.12:8080;
    server 10.0.0.13:8080 backup;
    keepalive 32;
}

server {
    listen 80;
    server_name api.example.com;

    location / {
        proxy_pass http://backend;
        proxy_http_version 1.1;
        proxy_set_header Connection "";
    }
}

八、常用运维命令

# 语法检查（强烈推荐每次修改后执行）
sudo nginx -t

# 重新加载配置（热加载，不中断服务）
sudo nginx -s reload
# 或：sudo systemctl reload nginx

# 平滑关闭
sudo nginx -s quit

# 立即关闭
sudo nginx -s stop

# 查看版本与编译参数
nginx -V

# 实时分析访问日志
sudo tail -f /var/log/nginx/access.log | awk '{print $7}' | sort | uniq -c | sort -rn | head -20

九、性能优化关键参数

系统层面配合优化：

# 文件描述符上限
ulimit -n 65535
echo "* soft nofile 65535" >> /etc/security/limits.conf

# TCP 参数
sysctl -w net.core.somaxconn=65535
sysctl -w net.ipv4.tcp_max_syn_backlog=65535
sysctl -w net.ipv4.tcp_tw_reuse=1
sysctl -w net.ipv4.ip_local_port_range="1024 65535"

十、常见问题排错

1. nginx: [emerg] bind() to 0.0.0.0:80 failed (98: Address already in use)

说明 80 端口被占用：

sudo lsof -i :80
sudo systemctl stop httpd   # 若 Apache 冲突

2. SELinux 拦截导致 502

sudo getenforce
sudo setsebool -P httpd_can_network_connect 1
# 或为特定端口
sudo semanage port -a -t http_port_t -p tcp 8080

3. Permission denied 写日志/文件

确保 nginx 用户对 /var/log/nginx 与 Web 根目录有读写权限：

sudo chown -R nginx:nginx /var/www
sudo chmod 755 /var/www

4. 防火墙未放行

# CentOS
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

# Ubuntu
sudo ufw allow 'Nginx Full'

5. 413 Request Entity Too Large

上传文件过大：

client_max_body_size 100m;

十一、安全加固建议

• 关闭版本号：server_tokens off;
• 限制请求方法：

  if ($request_method !~ ^(GET|HEAD|POST)$) { return 405; }

• 防止目录穿越：避免使用 root 配合用户输入。
• 启用 HSTS：add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
• 隐藏敏感路径：

  location ~ /\.\(git|svn|env) { deny all; }

• 限制并发与速率：

  limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
  limit_conn_zone $binary_remote_addr zone=addr:10m;
  location / { limit_req zone=one burst=20 nodelay; limit_conn addr 10; }

十二、总结

至此，你已经掌握了在主流 Linux 发行版上安装、配置、优化与排错 Nginx 的完整流程。建议在生产环境使用前：

1. 始终运行 nginx -t 检查配置；
2. 使用 Let's Encrypt 或商业 CA 部署 HTTPS；
3. 监控 access/error 日志与 /nginx_status；
4. 定期备份 /etc/nginx/ 目录。

后续可进一步探索 OpenResty（Lua 扩展）、Nginx Unit、Tengine、Ingress-Nginx（Kubernetes）等生态，构建更复杂的流量治理体系。

参考资料：Nginx 官方文档、各发行版官方仓库。

一、环境准备

本教程以 Ubuntu Server 20.04/22.04 和 CentOS 8/Stream 9 为例。操作前请确保你拥有 root 权限或 sudo 权限。

二、安装 MariaDB

1. Ubuntu/Debian 系统

Ubuntu 源中通常已包含 MariaDB，可直接通过 APT 包管理器安装。

sudo apt update
sudo apt install mariadb-server mariadb-client

2. CentOS/RHEL 系统

CentOS 可以使用 YUM/DNF 包管理器安装。较新的 RHEL 9/CentOS Stream 9 默认源已提供 MariaDB。

sudo dnf update
sudo dnf install mariadb-server mariadb-client

三、启动并设置开机自启

大多数现代 Linux 发行版安装完成后会自动启动 MariaDB 服务，但我们可以手动确认并设置开机自启。

# 启动服务
sudo systemctl start mariadb

# 设置开机自启
sudo systemctl enable mariadb

# 查看服务状态
sudo systemctl status mariadb

四、安全初始化配置

MariaDB 提供了一个交互式的安全脚本，用于设置 root 密码、移除匿名用户、禁用远程 root 登录等，强烈建议执行。

sudo mysql_secure_installation

脚本会依次询问几个问题：

• Set root password? 设置 root 密码。选择 Y，然后输入新密码。
• Remove anonymous users? 移除匿名用户。选择 Y。
• Disallow root login remotely? 禁止 root 远程登录。选择 Y。
• Remove test database? 移除测试数据库。选择 Y。
• Reload privilege tables now? 重新加载权限表。选择 Y。

五、连接数据库

使用 mysql 客户端连接 MariaDB。如果是系统本地的 root 用户，通常可以使用 socket 认证直接登录；如果是远程用户或密码认证，则需提供密码。

# 本地 root 登录
sudo mysql -u root

# 或使用密码登录
mysql -u root -p

六、创建数据库和用户

登录后，我们可以创建一个新的数据库和一个权限受限的应用用户。

# 创建数据库
CREATE DATABASE mydb CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;

# 创建用户，并限制其只能从 localhost 或特定 IP 访问
CREATE USER 'myuser'@'localhost' IDENTIFIED BY 'your_password';
CREATE USER 'myuser'@'192.168.1.%' IDENTIFIED BY 'your_password';

# 授予用户对该数据库的特定权限（如全部权限，生产环境建议最小化）
GRANT ALL PRIVILEGES ON mydb.* TO 'myuser'@'localhost';
GRANT ALL PRIVILEGES ON mydb.* TO 'myuser'@'192.168.1.%';

# 刷新权限
FLUSH PRIVILEGES;

七、验证配置

退出 root 会话，使用新创建的用户连接数据库，验证是否成功。

mysql -u myuser -p mydb

八、可选：配置防火墙

如果你需要远程访问 MariaDB（默认端口 3306），请确保防火墙开放该端口。但请注意，生产环境中开放数据库端口存在安全风险，建议通过 VPN 或堡垒机访问，或仅对可信 IP 开放。

# 使用 ufw 为例（Ubuntu）
sudo ufw allow 3306/tcp
sudo ufw reload

# 使用 firewalld 为例（CentOS）
sudo firewall-cmd --zone=public --add-port=3306/tcp --permanent
sudo firewall-cmd --reload

九、总结

通过以上步骤，你已成功在 Linux 服务器上安装并部署了 MariaDB，完成了基本的安全加固和用户管理。接下来，你就可以在你的 Web 应用（如 PHP、Python、Java）中连接并使用这个数据库了。建议定期更新 MariaDB 包，并监控服务状态，以确保数据库的安全与稳定运行。