笔记
0工具
0此页用于记录用户反馈问题后的每一次改进
关于
“写笔记”支持四种格式——Word 文档、Excel 表格、Markdown、纯文本，起稿或二次编辑时都能随时切换，同一篇笔记想用哪种形态来记，都由你说了算。
md、txt、csv、json 这类纯文本则原样载入，不做多余加工。拿一张现成的表倒进来、改几笔、再导出去，等于白用一台免费的格式转换器。
要带走就在右上角点“下载”，可导出 PDF、Word、Markdown、Excel、TXT 等格式；列表卡片“⋯”菜单里，也有同样的下载入口。
在“工具”页点“＋ 上传工具”即可发布：填好名称与链接，再用 Markdown 把使用方法写清楚——能解决什么问题、怎么装、怎么用，比堆介绍实在。
要分发安装包就一并上传压缩包（ZIP、RAR、7Z、TAR.GZ，最大 35MB），别人在详情页一键下载；只放链接不带附件也可以。
工具按大家的收藏热度排序，好用的自然会被顶上来。发布后可在详情页或卡片菜单里编辑、下架。
写笔记时勾上“隐藏”，这篇就只存在于你自己的账号里：不进列表、不进搜索、不上首页精选，也不会出现在任何公开的页面，链接发给别人同样打不开。
适合放密码、草稿、日记这类只给自己看的内容；想公开，去“发布”打开它，把“隐藏”的勾去掉再保存，之后编辑会默认保持原状态，不会悄悄变回公开。
不想公开、只想临时给人看：点“分享”生成一条带密码和有效期的链接，到期自动失效，你也能随时撤销。
你的内容会同时保存在多个副本上，系统定期做备份与完整性校验，再配合异地容灾机制：就算某台机器出问题，数据也不会丢，可以长期放心存放；特别重要的资料，仍建议你另外再留一份备份。
全站跑在容器化、模块化的现代架构上，更新、部署、回滚都很快，扩展性和稳定性都按长期运营的标准来设计（Built for reliability, designed to scale）。
这个网站最早只是一个人的笔记仓库，后来慢慢长成现在的知识中枢。设计上很克制——没有广告、没有追踪、没有推荐算法，只是干干净净地存放一些东西；既然做好了，就公开出来，万一有人用得上呢。
不做大而全，不做平台梦，保持简单、保持克制、保持好奇。所有内容都由用户贡献、由用户维护：不会突然冒出付费墙，不会在角落塞广告位，也不会把你的数据卖给第三方。
产品会持续迭代，站内日志页记录着每一次改动，改了什么都有迹可循；想了解这个站是怎么一步步走到今天的，翻翻日志就能看到来龙去脉。
如果在这里看到涉嫌违规的内容，点对应卡片右侧的“举报”按钮就能提交，我们会尽快核实处理；也谢谢你花一点时间，一起把这里维护干净。
趋势
给容器挂 docker.sock 等于给了宿主机 root：一次被挖矿的复盘
有台小服务器之前被种了挖矿程序，排查过程挺值得记一笔，根子就出在我自己手上。当时图省事，给一个第三方镜像的容器挂了 /var/run/docker.sock，用途是让它在里面能调用 docker 命令做定时清理。挂上去那天没问题，过了一周发现 CPU 老是被占满，top 一看有个不认识的进程名字很可疑，htop 里顺着 PID 找到它的启动参数，是矿池客户端。先以为是镜像本身有毒，后来才反应过来：挂 docker.sock 根本不是"给它 docker 权限"这么简单，是把这个 Docker daemon 的完整控制权交给了容器里的进程，而 docker daemon 跑在宿主机 root 权限上，等于把宿主机 root 给了它。
原理是这样的：/var/run/docker.sock 是 dockerd 的 unix socket，任何能访问这个 socket 的进程都能给 daemon 下指令。daemon 负责起容器，起容器时挂载什么、用什么特权都是 daemon 说了算。所以容器里只要有一条路能跟这个 socket 通信，它就能让 daemon 再起一个容器，把这个新容器的根目录挂成宿主机的 /，chroot 进去就是宿主机全套文件系统，改个 crontab、塞个公钥都是顺手的事。换句话说，能读 docker.sock 的进程，和宿主机 root 之间基本就差一条命令。我那台服务器八成是被扫描器发现开放了 docker 的 2375 端口——之前为了图方便用 dockerd -H tcp://0.0.0.0:2375 把 API 暴露到公网，还没配 TLS，相当于把 root 裸奔挂外网，扫描器扫到直接种矿，锅全在自己。
事后清理加加固，按这几步来的。先断掉暴露：改 /etc/docker/daemon.json，hosts 只留 unix socket：
{
"hosts": ["unix:///var/run/docker.sock"]
}
systemctl restart docker，然后防火墙把 2375 之类的管理端口全挡掉，ufw deny 2375/tcp。真需要远程管理 docker，别开裸 TCP，用 ssh 的方式建 context：
docker context create 远程 --docker "host=ssh://user@服务器地址"
docker context use 远程
走 ssh 隧道，不额外暴露端口，比任何裸 API 都安全。然后是 socket 挂载的收敛：那类需要操作 docker 的工具，能换思路就换思路。watchtower 这类自动更新容器，其实可以不挂 socket 改用别的触发方式；定时备份用宿主机 cron 直接跑 docker 命令就行，没必要把 socket 递给容器。Portainer 这种管理面板要挂 socket 我理解，但面板本身要设强密码、别绑公网，面板一旦被攻破，宿主机也完了，这条风险要心里有数。第三方来路不明的镜像，凡是 Dockerfile 里声明要挂 docker.sock 的，我基本默认不信任，真要挂就用只读挂载（socket 只读意义有限，但至少挡掉一部分写操作），或者用一个代理容器把 API 按白名单过滤掉再给内部用，能挡住大部分滥用。
补充一点：容器里到底有没有拿到 root，别只看 id 输出。跑在容器里的 root 和宿主机 root 本来不是一回事（有命名空间隔离），但一旦挂了 docker.sock 或者开了 privileged，这层隔离就名存实亡了。安全审计时查两件事就够：所有容器里 grep docker.sock 的挂载，所有 privileged 容器。docker ps -q | xargs docker inspect --format '{{.Name}} {{.HostConfig.Privileged}} {{range .Mounts}}{{.Source}}:{{.Destination}} {{end}}' 一条命令全列出来，挨个过一遍，不该有的全摘掉。清理现场的时候，除了杀进程删定时任务，还要把容器和镜像过一遍：docker ps -a 看有没有来路不明的容器，docker images 看有没有陌生镜像，挖矿程序经常会拉一个镜像起容器来藏，删容器之前先看它的启动参数和挂载，确认没有反向连出来做持久化的后门。crontab、/etc/systemd/system 下新增的 unit、ssh authorized_keys 都要查，矿机为了活下来一般会埋好几处，只清进程不挖根，过几天又回来。我那台就是这么反复了两次才清干净，干脆把系统重装一遍、配置全部重来，才敢继续用。
经历过这次之后我给自己定了几条规矩。一是宿主机上凡是要常驻的第三方容器，镜像来路要能说清楚，Dockerfile 能看到的优先自己 build，直接从仓库拉陌生镜像的，先 docker image history 扫一遍看有没有奇怪的 RUN。二是 docker.sock 能不外挂就不外挂，真要挂就只挂给可信的、自己维护的管理容器，第三方镜像宣称"需要挂 docker.sock 才能用"的，我默认当成高危信号，先找替代方案。三是从不把 dockerd 的管理端口裸暴露到公网，远程管理一律走 ssh 隧道，2375 这种裸 TCP 端口在公网存活时间按小时计，扫描器遍地都是。四是权限上能少给就少给：容器非 root 跑、不带 privileged、capabilities 按需 drop、read_only 根文件系统，这些在 compose 里都是几行配置的事，配上之后即使被攻破，横向扩散的难度也高一大截。docker inspect 那条命令我现在每个月跑一次，专门查 docker.sock 挂载和 privileged 容器，当安全巡检。
经历过一次挖矿，现在我对"给容器提权"这件事的容忍度低了很多，宁可多写几行宿主机脚本，也不随便把 daemon 交出去。