笔记
0工具
0此页用于记录用户反馈问题后的每一次改进
关于
“写笔记”支持四种格式——Word 文档、Excel 表格、Markdown、纯文本，起稿或二次编辑时都能随时切换，同一篇笔记想用哪种形态来记，都由你说了算。
md、txt、csv、json 这类纯文本则原样载入，不做多余加工。拿一张现成的表倒进来、改几笔、再导出去，等于白用一台免费的格式转换器。
要带走就在右上角点“下载”，可导出 PDF、Word、Markdown、Excel、TXT 等格式；列表卡片“⋯”菜单里，也有同样的下载入口。
在“工具”页点“＋ 上传工具”即可发布：填好名称与链接，再用 Markdown 把使用方法写清楚——能解决什么问题、怎么装、怎么用，比堆介绍实在。
要分发安装包就一并上传压缩包（ZIP、RAR、7Z、TAR.GZ，最大 35MB），别人在详情页一键下载；只放链接不带附件也可以。
工具按大家的收藏热度排序，好用的自然会被顶上来。发布后可在详情页或卡片菜单里编辑、下架。
写笔记时勾上“隐藏”，这篇就只存在于你自己的账号里：不进列表、不进搜索、不上首页精选，也不会出现在任何公开的页面，链接发给别人同样打不开。
适合放密码、草稿、日记这类只给自己看的内容；想公开，去“发布”打开它，把“隐藏”的勾去掉再保存，之后编辑会默认保持原状态，不会悄悄变回公开。
不想公开、只想临时给人看：点“分享”生成一条带密码和有效期的链接，到期自动失效，你也能随时撤销。
你的内容会同时保存在多个副本上，系统定期做备份与完整性校验，再配合异地容灾机制：就算某台机器出问题，数据也不会丢，可以长期放心存放；特别重要的资料，仍建议你另外再留一份备份。
全站跑在容器化、模块化的现代架构上，更新、部署、回滚都很快，扩展性和稳定性都按长期运营的标准来设计（Built for reliability, designed to scale）。
这个网站最早只是一个人的笔记仓库，后来慢慢长成现在的知识中枢。设计上很克制——没有广告、没有追踪、没有推荐算法，只是干干净净地存放一些东西；既然做好了，就公开出来，万一有人用得上呢。
不做大而全，不做平台梦，保持简单、保持克制、保持好奇。所有内容都由用户贡献、由用户维护：不会突然冒出付费墙，不会在角落塞广告位，也不会把你的数据卖给第三方。
产品会持续迭代，站内日志页记录着每一次改动，改了什么都有迹可循；想了解这个站是怎么一步步走到今天的，翻翻日志就能看到来龙去脉。
如果在这里看到涉嫌违规的内容，点对应卡片右侧的“举报”按钮就能提交，我们会尽快核实处理；也谢谢你花一点时间，一起把这里维护干净。
趋势
手机刷机把 TOTP 验证器弄丢了：靠服务器上的 secret 自救
一直担心的事上周末发生了。我给几台服务器的 SSH 和云厂商面板都开了两步验证，用的是 Google Authenticator 那套 TOTP，结果手机刷机前忘了导出，恢复码也没留，刷完机装回 App 一看，空空如也。当时后背一凉——服务器 SSH 是密钥加 TOTP 双重验证，面板登录也要 TOTP，手机没了等于所有入口都堵死。
冷静下来捋了捋，发现还有条活路：TOTP 的 secret 不光在手机里，服务端也存着一份。SSH 这边我用的是 pam_google_authenticator，每个用户的 secret 存在家目录的 ~/.google_authenticator 文件里。只要能登上机器，这个文件就能读出来，重新录进新手机的验证器就行。
问题是怎么登上机器。SSH 被 TOTP 挡住了，但云厂商的网页 VNC（网页终端）一般不走 SSH 那套验证，登录面板之后直接能开一个系统终端。面板本身也要 TOTP，但云厂商通常留了备用验证手段——我当时是走了账号绑定的手机号收短信验证码才进的 VNC，所以关键教训是：云厂商账号的备用验证方式一定要留，别只挂一个 TOTP。
进到系统里之后就好办了。cat ~/.google_authenticator，这个文件第一行就是 base32 编码的 secret，长度一般 16 位上下，后面几行是当初生成的应急刮擦码（scratch codes），每个 8 位数字，一次性使用。把这些抄下来，在新手机上用 Google Authenticator 或者别的 TOTP 应用手动添加，类型选“手动输入密钥”，把 base32 串填进去，App 就会开始每 30 秒滚动验证码。验证码对不上先别急，多数是手机时间不准，TOTP 对时间很敏感，手机开了自动同步时间再试。服务端时间不准也会导致验证码对不上，date 看一眼，差了就 ntpdate 或者 systemctl restart systemd-timesyncd 同步一下。
还有个小工具值得装：oathtool。服务器上 apt install oath-toolkit 之后，可以用 oathtool --totp -b 直接算当前时间点的验证码，用来验证服务端存的 secret 和你手机 App 生成的是不是同一个，也能在没手机的时候应急登录。不过这只是验证用，真靠它每次手输也麻烦，救急可以。
刮擦码的事也说说。当初生成 TOTP 的时候，终端会打印一串 emergency scratch codes，提示你存好，每个用一次就失效。我之前觉得手机在就行，没当回事，这次就吃了亏。正确的姿势是：secret 生成那一刻就备份。我现在把每个服务的 base32 secret 和刮擦码都存进密码管理器，密码管理器本身再用一个独立的强主密码保护，同时在本地的加密压缩包里也留了一份。这样手机丢了、App 清了、甚至密码管理器临时打不开，都有地方找回。
还有一点是关于“恢复码截图”的。如果服务端能导出恢复码（比如一些面板会给一次性恢复码），导出之后截个图存本地相册其实不太安全，相册会被各种 App 读，我后来是把截图也收进加密的备份里，不在相册裸放。真到万不得已，恢复码是最后的门，别让它跟手机一起丢。
这次之后我把流程定下来了：凡是新开一个要上 TOTP 的服务，生成 secret 的当下就抄进密码管理器和离线备份，顺手把刮擦码也存一份；手机刷机前检查一遍验证器有没有导出；云厂商账号的备用验证方式保持可用。宁可多存几份，也别在凌晨对着空荡荡的验证器发呆。这次的经历算是把 TOTP 的恢复机制整个摸了一遍，代价是半天没敢乱动服务器。
再补充点 oathtool 的实际用法。oathtool --totp -b 后面跟 base32 secret，能直接算出当前这 30 秒的验证码，适合在服务器上验证 secret 和手机 App 是不是同一个。想往前多算几步加 --window：oathtool --totp -b secret --window 5，会输出前后一共十一个码，总有一个能对上手机，时间漂移的时候靠这个判断是手机慢了还是 secret 抄错了。还有 .google_authenticator 文件本身别放松权限，它是明文存 secret 的，正常权限 600、属主是登录用户，要是被改成别的用户可读，等于把 2FA 的钥匙交出去，检查 ls -l ~/.google_authenticator，不对就 chmod 600 拉回来。这次能救回来全靠文件还在、权限没被人动过，要是连文件都被删了，那就真只剩走服务商账号找回这一条路了。