笔记
0工具
0此页用于记录用户反馈问题后的每一次改进
关于
“写笔记”支持四种格式——Word 文档、Excel 表格、Markdown、纯文本，起稿或二次编辑时都能随时切换，同一篇笔记想用哪种形态来记，都由你说了算。
md、txt、csv、json 这类纯文本则原样载入，不做多余加工。拿一张现成的表倒进来、改几笔、再导出去，等于白用一台免费的格式转换器。
要带走就在右上角点“下载”，可导出 PDF、Word、Markdown、Excel、TXT 等格式；列表卡片“⋯”菜单里，也有同样的下载入口。
在“工具”页点“＋ 上传工具”即可发布：填好名称与链接，再用 Markdown 把使用方法写清楚——能解决什么问题、怎么装、怎么用，比堆介绍实在。
要分发安装包就一并上传压缩包（ZIP、RAR、7Z、TAR.GZ，最大 35MB），别人在详情页一键下载；只放链接不带附件也可以。
工具按大家的收藏热度排序，好用的自然会被顶上来。发布后可在详情页或卡片菜单里编辑、下架。
写笔记时勾上“隐藏”，这篇就只存在于你自己的账号里：不进列表、不进搜索、不上首页精选，也不会出现在任何公开的页面，链接发给别人同样打不开。
适合放密码、草稿、日记这类只给自己看的内容；想公开，去“发布”打开它，把“隐藏”的勾去掉再保存，之后编辑会默认保持原状态，不会悄悄变回公开。
不想公开、只想临时给人看：点“分享”生成一条带密码和有效期的链接，到期自动失效，你也能随时撤销。
你的内容会同时保存在多个副本上，系统定期做备份与完整性校验，再配合异地容灾机制：就算某台机器出问题，数据也不会丢，可以长期放心存放；特别重要的资料，仍建议你另外再留一份备份。
全站跑在容器化、模块化的现代架构上，更新、部署、回滚都很快，扩展性和稳定性都按长期运营的标准来设计（Built for reliability, designed to scale）。
这个网站最早只是一个人的笔记仓库，后来慢慢长成现在的知识中枢。设计上很克制——没有广告、没有追踪、没有推荐算法，只是干干净净地存放一些东西；既然做好了，就公开出来，万一有人用得上呢。
不做大而全，不做平台梦，保持简单、保持克制、保持好奇。所有内容都由用户贡献、由用户维护：不会突然冒出付费墙，不会在角落塞广告位，也不会把你的数据卖给第三方。
产品会持续迭代，站内日志页记录着每一次改动，改了什么都有迹可循；想了解这个站是怎么一步步走到今天的，翻翻日志就能看到来龙去脉。
如果在这里看到涉嫌违规的内容，点对应卡片右侧的“举报”按钮就能提交，我们会尽快核实处理；也谢谢你花一点时间，一起把这里维护干净。
趋势
nginx access.log 里被扫后台、打 SQL 注入：特征一眼怎么筛出来
网站套在 nginx 后面，每天 access.log 几千行，大部分是正常访问，但隔三差五混着扫描器和尝试打 SQL 注入的请求。不细看根本发现不了，等真被打穿再翻日志就晚了。我整理了一套筛法，直接在 access.log 上 grep，几秒钟能看出今天有没有人“问候”过后台。
先看扫描后台的。这类请求的特征是集中打常见路径，频率高、UA 是脚本：grep -E "wp-login|wp-admin|phpmyadmin|.env|.git|admin|manager|backup|.bak|.sql|.tar.gz" /var/log/nginx/access.log。返回 404 居多，因为你的站根本没有这些路径，但也别全放心，重点看有没有返回 200 的——那说明路径猜中了，比如有人传了备份文件在网站目录里躺着，或者 .git 目录没关访问。
打 SQL 注入的特征更明显。请求参数里带这些片段的都算：grep -iE "union[[:space:]]+select|sleep(|benchmark(|load_file|information_schema|0x[0-9a-f]{8,}|' or '1'='1|/*.**/" access.log。正常用户不会在参数里写 union select，也不会传一堆十六进制，命中这些基本可以断定是自动化工具在试。sqlmap 这类工具的 UA 也很有辨识度，grep -i "sqlmap" 一抓一个准。
光 grep 还不够，得知道谁在打、打了多少。看来源 IP 排行：awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20。把排名靠前的 IP 拿去和正常访客对一下，如果是某个机房段、且请求全是 404 和带参数探测，基本就是扫描机。有些扫描是分布式的，单 IP 量不大，这时候按“命中注入特征的请求”单独统计更靠谱：grep -iE "union[[:space:]]+select|sleep(" access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head。
还有一种盲注比较阴，参数看起来正常，但响应时间异常。如果 access.log 里配了 $request_time，可以筛响应特别慢的请求：awk '$NF > 5' access.log，把超过 5 秒的请求拉出来看，正常页面不该这么慢，慢的往往是 sleep() 在生效。我那次就是靠这条抓到有人在 /product/detail 接口上试时间盲注，参数里带了个 sleep(3)，页面真的卡了三秒才返回。
筛出来之后怎么处置。临时粗暴方案：在 nginx 配一个 location 直接把特征请求掐掉，比如：
location ~* (union[[:space:]]+select|sleep(|load_file|../) {
return 444;
}
return 444 是 nginx 直接断开连接不给响应，比 return 403 更省资源，扫描器收到的像连接被掐。这种正则 location 放在 server 块里就行，命中就直接丢。但正则列表别写太狠，不然把正常带“select”关键词的搜索请求误伤，我一般先观察两天命中日志再上线。
长期点的做法是把这些特征接进 fail2ban，让频繁命中的 IP 自动封一段时间，比在 nginx 里堆正则省心。fail2ban 有现成的 nginx 相关 filter，自己写也简单，logpath 指向 access.log，failregex 匹配上面的特征，maxretry 设个 3 到 5 次，bantime 按需。注意 access.log 的格式要带 UA 和请求行，默认 combined 格式就够。
说到底，扫描是无时不在的，就像公网 IP 的 SSH 会被灌密码一样，nginx 上被打也是常态。重点不是消灭所有扫描，是能及时发现、及时挡。我现在每周把这几条 grep 跑一遍，结合 fail2ban 自动封，后台登录接口再套个简单的访问频率限制，基本就没再出过幺蛾子。
顺便说个 access.log 格式的事：如果日志里没有 $request_time 这一列，想查慢请求就无从下手。建议在 nginx 的 log_format 里加上 $request_time 和 $upstream_response_time 两个字段，排查慢接口、定位时间盲注都靠它们。combined 默认格式不带响应时间，当初配日志的时候多写一个字段，后面能省很多事。看响应时间的分布也有现成命令：awk '{print $NF}' access.log | sort -rn | head，把最慢的几十个请求拉出来看是不是集中打在同一个接口上，如果是，就去翻那个接口最近有没有带 sleep、benchmark 这类参数的记录。