1dao.cc 主站今天發佈了 v1.2.0——一個涵蓋新頁面、新功能與安全狀態的大版本快照。這篇記錄本次更新的主要內容。

版本說明

• 版本:v1.2.0
• 發佈日期:2026-08-12
• 備份包:1dao.cc-v1.2.0-20260812.tar.gz(2.7M)
• SHA256:ce0fe08b9ae18e87d00e544e164fa20f98fb52d00a3e890629645e21e19d56cd

本次更新內容

1. 新增「版本發佈」頁面

主站新增 /releases/ 頁面:以時間線形式展示全部 9 個歷史版本(v1.0.0 → v1.2.0),每個版本包含修改內容、誕生過程、備份包下載與 SHA256 校驗值。版本體系形成完整閉環:備份腳本 → VERSIONS.md → 發佈頁面,三處同步。

2. 更新「關於本站」頁

製作時間線新增兩條記錄:安全事件與加固、博客上線;技術棧更新(PHP 8.4 / MariaDB / emlog / fail2ban);下一步計劃新增「安全加固收尾」。

3. favicon 與訪問統計

• 新增全套 favicon(SVG + PNG + ICO,分子結構圖標,呼應科學儀器主題)
• 主站新增訪問量計數器(自動排除爬蟲),與博客的計數器同源方案

4. 博客「島上隨筆」上線

部署 emlog 至 blog.1dao.cc,深墨冰藍主題與主站統一;首發建站記與安全系列文章;主站與博客雙向鏈接、統一 favicon。

5. 安全加固

fail2ban 自動封禁、上傳目錄禁止執行 PHP、登入驗證碼、AI 接口 SSL 校驗、管理員強密碼——詳見《伺服器安全工作記》。

版本下載

所有歷史版本均可從主站「版本發佈」頁面下載:https://1dao.cc/releases/

本文由「島上隨筆」編輯整理,記錄 1dao.cc v1.2.0 版本發佈。

上一篇《伺服器安全工作記》記錄了已經完成的六項防線。但安全是持續的過程——還有五件事在待辦清單上。這篇把它們逐項說清楚:是什麼、為什麼做、怎麼做。

一、備份頁恢復認證(最緊急)

現狀:https://1dao.cc/backups/ 是網站版本備份下載頁,8 月 10 日改版時被移除了密碼保護。目前任何人——包括爬蟲——都能看到並下載全部 8 個歷史備份包。上次的備份泄露事件就是從這裡發生的,而這個口子至今仍然開著。

做法:給備份下載頁和訪問統計頁重新加上用戶名密碼驗證,恢復此前的保護。

為什麼最緊急:這是「止血」操作——其他都是加強防線,只有這項是堵住正在漏水的口子。已泄露的數據無法追回,但至少不能繼續漏。

二、444 兜底(防寄生域名)

現狀:有外部域名(martale.com、ifalao.cn 系列)被解析到本機 IP。由於 nginx 沒有配置「默認拒絕」,任何未知域名訪問都會落到 1dao.cc 的站點內容——AI 爬蟲把這些域名當作獨立網站收錄,GPTBot 正是經由這條路徑找到備份目錄的。

做法:配置默認拒絕規則,所有未匹配的域名訪問直接斷開連接。寄生域名瞬間全部失效,訪問者看到的是連接被拒,而不是我們的網站。

三、robots.txt(規範爬蟲)

現狀:兩個站點目前沒有 robots.txt,爬蟲完全不受限制。

做法:創建 robots.txt,告訴搜索引擎:

• 主站:禁止抓取備份目錄、統計頁
• 博客:禁止抓取後台管理頁

但要說明:這是「君子協定」,只約束守規矩的爬蟲。它不是安全措施,而是減少暴露面的輔助手段——真正的保護靠認證。

四、自動安全更新(補丁管理)

現狀:伺服器有 17 個待升級軟件包,包括 OpenSSH、nginx 等核心組件,可能存在已知漏洞未修補。目前不自動更新,全靠手動。

做法:啟用自動安全更新,只自動安裝安全補丁(不升級大版本,避免破壞環境),並配置郵件通知。同時把當前積累的 17 個包手動升級掉。

五、ufw 防火牆(最後一道防線)

現狀:伺服器目前沒有操作系統防火牆,所有端口裸奔,只靠雲廠商控制台的安全組。甚至有個不常用的服務端口(5355,LLMNR)是全網可訪問的。

做法:啟用防火牆,默認拒絕入站,只放行 SSH(22)和網站(80/443),其餘全部拒絕。

意義:即使雲安全組配置失誤、或自動封禁失效,防火牆兜底——沒被允許的端口一律進不來。這一步涉及網絡配置,會先確認遠程管理通道安全再執行,避免把自己鎖在門外。

總結

安全沒有終點。這五項完成後,還會發現新的問題、新的威脅——這就是互聯網的常態。守住自己的院子,然後繼續往前走。

本文由「島上隨筆」編輯整理,記錄伺服器安全加固的待辦計劃。

一個博客從上線第一天起,就要面對互聯網的「熱情」。這篇文章記錄「島上隨筆」與主站 1dao.cc 背後的伺服器,在上線四天裡經歷的安全事件與加固過程。

起點:一台裸奔的伺服器

8 月 9 日,伺服器上線。當天就迎來了互聯網的「問候」:

• SSH 端口開放不到幾小時,暴力破解嘗試源源不斷,三天累計 15,440 次失敗嘗試,日均約 5,000 次
• 各種漏洞掃描器輪番探測:/.env、/.git/config、wp-config.php、phpunit 遠程執行漏洞、SQL 注入……

好在從第一天起就只允許密鑰登入,所有爆破嘗試全部鎩羽而歸。但掃描器的「熱情」提醒我:安全不是事後補救,而是與生俱來的要求。

事件一:備份目錄泄露

8 月 12 日,例行安全檢查時發現一個嚴重問題:網站備份目錄因為之前改版時移除了認證保護,處於完全公開狀態——而且已經被 AI 爬蟲整包下載。

• OpenAI 的 GPTBot 通過一個寄生域名找到了入口,把 8 個歷史版本備份一網打盡
• 百度爬蟲也抓取了目錄,備份頁面已被搜索引擎收錄
• 備份包內含個人證件掃描件、運維元數據、內部變更記錄

教訓:

1. 任何對外服務,默認都該是「關閉」狀態
2. 移除安全措施前,先想清楚後果
3. 敏感文件永遠不要出現在可下載的目錄裡

已泄露的數據無法追回,但這次事件讓我下定決心:把安全加固提到最高優先級。

事件二:寄生域名

檢查中發現,有外部域名(martale.com、ifalao.cn 系列)被解析到本機 IP。由於 nginx 沒有配置默認拒絕,任何指向本機的未知域名都會「白嫖」主站內容,還會被 AI 爬蟲當作獨立站點收錄——GPTBot 正是經由這條路徑進入備份目錄的。

加固行動:六項防線

事件之後,陸續完成了一系列加固:

1. 登入驗證碼

emlog 後台開啟圖形驗證碼,字典爆破基本失效。

2. 上傳目錄禁止執行 PHP

nginx 層面攔截:即使上傳白名單被繞過,上傳目錄裡的任何 PHP 文件也無法執行——圖片馬、Webshell 這條路徹底堵死。

3. fail2ban 自動封禁

安裝 fail2ban,配置四個監控規則(SSH 爆破、登入嘗試、惡意掃描、403 重試):

• 5 次失敗 → 自動封 IP 一小時
• 系統是純 nftables(Debian 13),踩了不少配置坑,最終全部打通
• 實測:暴力破解 IP 會被 nftables 鏈直接 reject

4. AI 接口 SSL 校驗

emlog 的 AI 功能原本關閉了證書校驗,已修復——消除中間人竊聽風險。

5. 管理員強密碼

後台管理員密碼重置為強隨機密碼,使用官方哈希算法驗證通過。

6. 訪問統計

主站與博客都加了訪問計數器(排除爬蟲),方便觀察真實訪客。

現狀:多層防線

未完的事

安全是持續的過程,不是一次性的任務。待辦清單還有:恢復備份頁認證、配置默認拒絕兜底、robots.txt、自動安全更新、防火牆。

互聯網很熱鬧,但我們可以把自己的院子守好。這篇記錄既是提醒,也是開始——安全這條路,會一直走下去。

本文由「島上隨筆」編輯整理,記錄 1dao.cc 與博客伺服器的安全加固歷程。

緣起

2026 年 8 月,「一島之道」這個名字開始在互聯網上落地生根。

從一台阿里雲 ECS 開始,到 1dao.cc 主站上線,再到今天的「島上隨筆」——這中間不過短短四天,卻經歷了從零搭建、三語改版、安全風波,到博客開張的完整旅程。趁著記憶還新鮮,把這段經歷記錄下來。

第一天:伺服器與第一個位元組

8 月 9 日,伺服器正式上線。

• 系統:Debian 13,一台 2 核 1.6G 的 ECS
• 網路:nginx + Let's Encrypt 證書,1dao.cc 與 openclaw.1dao.cc 兩個站點
• 助手:OpenClaw(就是幫我寫這篇文章的那位)

主站第一版 v1.0.0 當天下午上線——個人主頁、三語切換(繁/簡/EN)、證書展示,還有配套的版本備份體系。每個版本都有「修改內容」與「誕生過程」說明,後來甚至養成了給每次改版寫 changelog 的習慣。

當天就見識了互聯網的「熱情」:SSH 端口開放不到幾小時,暴力破解的嘗試就開始源源不斷地湧來。好在從第一天起就只允許密鑰登入,所有嘗試全部鎩羽而歸。

第二天:三語佈局與招聘板塊

8 月 10 日,主站迎來最大一次改版(v1.1.0):

• 首頁改為預設繁體,簡體移到 /zh-hans/,舊路徑 301 跳轉
• 新增「加入我們」招聘板塊,同步自獵聘的 5 個在招職位
• 新增「關於本站」頁面,記錄製作過程

也是這一天,發生了一件後來讓我警醒的事——為了圖方便,移除了備份下載頁的密碼保護。

第三天:互聯網的「回禮」

8 月 12 日,例行安全檢查時發現:備份目錄因為移除認證而完全公開,而且已經被 AI 爬蟲整包下載——OpenAI 的 GPTBot 通過一個寄生域名找到了入口,把 8 個歷史版本備份一網打盡。

這次事件教會我三件事:

1. 任何對外的服務,默認都該是「關閉」狀態
2. 移除安全措施前,先想清楚後果
3. 個人證件類文件,永遠不要出現在可下載的目錄裡

教訓歸教訓,也是這次風波讓我下定決心:把安全加固提到最高優先級。

第四天:博客開張

安全檢查的同時,博客的需求也提上了日程。從安裝 PHP、MariaDB,到部署 emlog、簽發證書,再到把主題從預設的淺色改成與主站一致的深墨底冰藍風格——半天之內,blog.1dao.cc 上線了。

它叫「島上隨筆」——一島之道的思考與記錄。

結語

四天,一台伺服器,兩個站點,一次教訓,一個博客。

互聯網的世界裡,建站永遠只是開始。接下來要寫的文章還有很多,要走的路還很長。這篇就算是「島上隨筆」的開篇——記錄我們從哪裡來,也提醒我們要去哪裡。

本文由 OpenClaw AI 助手撰寫,發佈於「島上隨筆」開張之日。

什麼是 emlog

emlog 是一個輕量級的開源博客/CMS 建站系統,採用 PHP + MySQL 架構,以「簡潔易用、快速部署」為設計理念。本博客「島上隨筆」正是運行在 emlog 之上。

為什麼選擇 emlog

選型時對比過 WordPress、Typecho 等方案,最終 emlog 勝出,原因有三:

1. 輕量:整個系統體積小、依賴少,對 1.6G 內存的小伺服器非常友好
2. 開箱即用:安裝嚮導一鍵完成,後台功能直觀,無需複雜配置
3. 中文生態:國產項目,文檔、插件、模板都是中文,上手門檻低

核心功能

• Markdown 支持:寫文章直接用 Markdown,所見即所得
• 模板與插件系統:官方應用商店提供大量免費模板和插件,可視化安裝
• 多用戶角色:管理員、編輯、作者分級權限
• 完整的博客功能:分類、標籤、評論、RSS、搜索、微語(輕微博)一應俱全
• SEO 友好:自定義 URL、meta 描述、站點地圖

官方信息

• 官網:https://www.emlog.net
• 開源倉庫:https://github.com/emlog/emlog
• 授權:開源免費(pro 版提供更多增強功能)

小結

emlog 適合個人博客、小型內容站點,特別是喜歡輕量、不願被複雜功能淹沒的用戶。如果你想搭建一個自己的博客,它是一個值得一試的選擇。

本文由「島上隨筆」編輯整理,用於介紹本站所使用的建站系統。