和目

服务跑三天就报 Too many open files，内存和连接数都正常。根因是每次请求新建的 socket 没被 close，fd 一个个被吃光。讲清 fd 的原理和三个定位命令。

一次上线前的镜像扫描报出 47 个高危 CVE，其中真正必须马上修的只有 9 个。这篇把漏洞分级、.trivyignore 忽略清单、扫描环节插入流水线的位置，以及基础镜像统一管理这四件事完整写一遍。

一条随手加的 OSS 冷数据转储规则，把我三个月前的产品图全删了。聊聊生命周期规则里转储与删除的区别、版本控制怎么救场、WORM 保留策略，以及前缀写空带来的连锁反应。

300 多万个小文件、780G 数据，rsync 跑了 9 小时才传 12%。真正拖慢速度的不是带宽，而是每个文件都要单独 stat、readdir、chown 的元数据开销。这篇把 tar 分片打包、4 路并行、断点续传和三层校验的完整流程写下来，40 分钟搬完。

为了减少握手开销，我在 Nginx upstream 里开了 keepalive，结果反向代理反而变慢了：连接池里躺着 200 多条空闲连接，还有 502 报错。这篇记录了 keepalive 到底省了什么、多付了什么，以及我怎么把它调回正常水位。

团队要给30个人配AI订阅账号，官方席位一个月6000块，我找了便宜渠道成交价是官方价三分之一。上线两周后30个账号里有3个直接登录不上，客服只回一句「账号异常」。这篇复盘三种交付形式（官方团队席位、代充、合租）的差别，我们那3个账号具体死在哪三步，以及预算紧张时采购该盯的5个细节和账号交付的运维习惯。

下载大文件时 CPU 飙到 90% 而网卡跑不满带宽，往往是 Nginx 的 sendfile 关着。本文从 strace 排查入手，讲清零拷贝原理、sendfile/tcp_nopush/directio 怎么配、gzip 与 TLS 场景的坑，以及 PHP 下载大文件该用 X-Accel-Redirect。

那天下午两点多客服转来一条消息：用户说自己的账号昨晚还握在自己手机里，后台却多了一条动态。查下来不是拖库，是我写的 OAuth2 回调漏了 state 校验，也没上 PKCE。这篇是那 30 分钟的完整排查过程：授权码流程是怎么走的、state 到底防什么、PKCE 为什么不能省，以及修完之后我怎么用 curl 复现验证。