tianyuanwo-CSDN博客

原创 SELinux 策略开发入门指南

本文为Linux安全新手提供SELinux策略开发入门指南。首先介绍SELinux核心概念，包括强制访问控制机制、策略规则格式和三种工作模式。然后详细讲解开发流程：搭建环境(安装必要工具)→创建策略模块(生成模板、理解TE/FC/IF文件)→编译测试(宽容模式运行)→调试优化(分析AVC日志、使用audit2allow工具)。重点强调最小权限原则和迭代开发的重要性，建议新手从简单应用入手，通过实践掌握策略编写技巧。文章还提供了Red Hat官方文档和Reference Policy作为进阶学习资源。

2026-08-02 23:38:02 40

原创当提交标题重复阻塞CI：Git分支修复实战

本文系统分析了Gerrit+CI研发流程中因提交标题重复导致CI阻塞的问题。当两个不同作者的相同标题提交先后合入目标分支后，后续所有提交都会因重复标题检查失败而无法合入。文章详细阐述了问题成因：唯一性约束在独立提交时未被触发，但合入后全局检查失败。解决方案是通过Git操作重建分支历史：1)备份当前分支；2)定位最后一个健康提交；3)创建新分支；4)用cherry-pick逐个恢复有效提交，修改重复标题；5)处理冲突后强制推送替换原分支。文末提供了完整命令集和预防措施，强调精确使用cherry-pick是修复

2026-08-01 15:14:40 238

转载 Git cherry-pick 使用手册

摘要 git cherry-pick 是 Git 中用于选择性迁移特定提交到当前分支的命令。它支持转移单个提交（git cherry-pick <hash>）、多个独立提交（git cherry-pick <hashA> <hashB>）或连续提交（git cherry-pick A..B）。关键配置包括：-e 编辑提交信息，-n 只更新不提交，-x 标记来源，-m 处理合并冲突。遇到冲突时可选择继续（--continue）、放弃（--abort）或退出（--quit）。此外，该命令也支持跨仓库操作，需先添

2026-08-01 14:55:27 3

原创 Linux操作系统三权分立安全机制：从理论到实践

Linux系统三权分立的实现与实践摘要：针对Linux系统中root权限过度集中的安全隐患，国家保密标准BMB20-2007和等保2.0要求通过三权分立机制实现权限分离。该机制将root权限拆分为系统管理员（运维）、安全管理员（策略配置）和审计管理员（日志审计）三个互斥角色，通过sudo命令白名单或SELinux强制访问控制实现权限隔离。实践配置需创建独立账户、定制sudoers策略、保护审计日志，并遵循权限边界清晰、账号唯一性、日志保护等原则。基于SELinux的高级方案能实现细粒度控制，但需注意策略复

2026-08-01 11:17:57 381

原创多压缩包组件在 gbp 导入基线中的构建问题与解决——以 selinux-policy 为例

**摘要：本文探讨了在RPM构建生态中使用gbp管理多源组件（如selinux-policy含主策略、contrib模块等多个tarball）时出现的问题。当开发人员直接在Git中修改非主压缩包文件时，由于gbp默认仅处理主压缩包，导致构建时文件缺失（如contrib/metadata.xml找不到）。通过分析发现，根本矛盾在于开发环境（全文件Git管理）与构建环境（多tarball解压）的不一致。提出三种解决方案：1）修复spec解压路径（维护复杂）；2）合并所有tarball为单一主包（需额外合并脚本）

2026-07-31 11:26:31 213

原创安全可靠测评深度解析：从I级到II级，国产操作系统的安全进阶之路

2026年1月，华为鸿蒙桌面操作系统HarmonyOS V1.0成为首个获得中国安全可靠测评Ⅱ级认证的操作系统，而同期参评的服务器操作系统均仅获I级认证。文章分析了安全可靠测评分级制度的战略意义，指出I级是安全可控的"准入门槛"，要求基本安全功能、供应链透明和厂商基本能力；II级则是"高标杆"，要求主动防御能力、本质安全和体系化厂商能力。服务器操作系统至今未获II级主要由于技术复杂度高、Linux内核依赖及生态兼容性挑战。国产操作系统冲击II级需实现内核级自主、建立安全开发生命周期，并展现长期投入决心。这一

2026-07-30 16:42:23 345

原创多线程下载JFrog制品库出现500 Internal Server Error 故障定位总结

摘要：多线程下载Artifactory制品时出现500错误，主要原因是并发请求超过服务端限制。常见根因包括：并发连接数超限、文件夹下载限制、节点锁定、文件存储不同步等。短期解决方案包括降低线程数、使用JFrog CLI、实现重试机制；长期措施需调整服务端配置和集群设置。预防措施建议建立监控、定期评估资源、优化客户端实践。定位流程应先查日志，再验证并发，最后检查配置，确保下载稳定性。

2026-07-29 16:08:39 230

原创 Pytest 测试框架完全指导手册

Pytest 测试框架简介 Pytest 是一个功能强大的 Python 测试框架，以其简洁性和扩展性著称。它具有以下核心特性：简单易用：使用原生 assert 语句，无需复杂语法智能断言：自动报告详细失败信息自动发现：遵循约定发现测试文件和函数模块化 fixture：提供强大的依赖注入机制丰富插件：拥有超过1300个扩展插件参数化测试：支持数据驱动测试兼容 unittest：可运行已有 unittest 用例 Pytest 适用于各种测试场景，包括单元测试、API测试、UI自动化测试等。安装

2026-07-29 14:15:41 529

原创深入理解 Linux 启动救援模式与控制台选择：从 x86 的 tty0 到 ARM 的 ttyS0

本文深入解析操作系统维护中的两个关键问题。首先揭秘GRUB救援模式的原理：通过内核参数启动临时Linux环境，挂载目标系统并修复问题，核心在于利用initramfs和chroot实现系统修复。其次探讨x86与ARM架构控制台差异：x86默认使用tty0（虚拟终端）输出日志，因其标准显示设备传统；而ARM设备因历史惯性和调试需求，普遍通过ttyS0串口输出，这由硬件设计和内核配置决定。两者差异反映了服务器与嵌入式设备不同的设计哲学和使用场景，理解这些底层机制能有效提升系统维护能力。

2026-07-28 15:22:27 312

原创 systemd 日志服务（journald）配置完全指南

本文深入解析了 Linux 系统中 systemd 的 journald 日志服务的存储机制，重点对比了易失性存储 /run/log/journal/ 和持久化存储 /var/log/journal/ 的区别。文章详细介绍了 journald 的配置方法，包括核心参数 Storage 的设置、日志大小限制配置，以及常见的管理命令如日志查看、切换存储位置、轮转和清理等操作。最后针对日志丢失、占用空间过大和消息限流等典型问题提供了解决方案，帮助系统管理员更好地管理和维护系统日志。

2026-07-27 19:18:33 239

原创 virt-install 从 ISO 安装虚拟机完全指南

本文介绍了在KVM虚拟化环境下使用virt-install命令行工具创建虚拟机的完整流程。主要内容包括：工具的工作原理、准备工作、核心参数详解（如虚拟机名称、内存、CPU、磁盘、网络配置等）以及完整操作示例。特别针对权限问题进行了深度分析，提供了两种解决方案：修改目录权限或使用用户会话模式。文章强调正确配置--osinfo等关键参数的重要性，以确保虚拟机性能优化。

2026-07-23 14:18:42 512

原创深度解析：Linux 修改密码报错 `Authentication token manipulation error` 的原理与排查指南

本文深入剖析了Linux系统中passwd: Authentication token manipulation error报错的原理与解决方案。该错误通常发生在修改用户密码时，表明系统无法完成认证令牌的写入操作。文章从底层机制入手，解释了密码修改过程中PAM校验、令牌生成和文件写入三个关键环节可能出现的故障点，并提供了系统化的排查思路：优先检查文件属性：使用lsattr查看/etc/passwd和/etc/shadow是否被设置为不可变（i属性）或仅追加（a属性） SELinux策略检查：通过geten

2026-07-23 11:04:41 345

原创 Linux 运维宝典：`top` 命令全维度解析与 5 大实战排查套路

这篇文章系统性地讲解了Linux性能分析工具top的高级使用技巧，主要面向系统运维、SRE和后端开发人员。文章从快速诊断的"黄金5秒"直觉开始，详细解析了top命令输出的各个关键指标（CPU、内存、任务队列等），并提供了进程列表字段的深度解读。重点内容包括：交互式快捷键操作（如按P/M/T排序）、五大典型故障场景的排查套路（CPU满载、内存泄漏、I/O等待等），以及专家级的实战建议（如批处理模式、自定义配置）。文章强调通过关键指标组合分析（如load高但CPU空闲可能暗示I/O问题），并提供了具体阈值参考和

2026-07-22 15:17:25 287

原创 Python模块管理的底层逻辑：从路径查询到版本溯源

摘要：本文以两行Python代码为切入点，深入解析模块管理的核心机制。通过pexpect.__file__获取模块路径，揭示sys.path的搜索逻辑及site-packages的作用；借助pkg_resources查询版本，剖析元数据目录（.egg-info/.dist-info）的结构与分发概念。进一步对比传统pkg_resources与现代importlib.metadata的优劣，推荐后者作为性能更优的标准库方案。最后，从导入系统、虚拟环境隔离等底层原理出发，提供模块查询工具函数与异常处理实践，帮

2026-07-22 09:47:50 187

原创 RPM打包避坑指南：彻底搞懂RPATH的前世今生

本文深入解析了RPM打包中的RPATH问题，从原理到实践提供完整解决方案： RPATH本质：是硬编码在二进制文件中的动态库搜索路径，优先级高于系统默认路径，存在安全风险 RPM拒绝原因：安全隐患（可能被劫持）破坏系统一致性违反FHS标准实用解决方案：临时绕过检查：使用QA_RPATHS环境变量彻底清除：用patchelf工具删除RPATH 合规替代：使用$ORIGIN相对路径源头控制：修改编译参数禁止生成RPATH 最佳实践：开发环境可保留RPATH便于调试生产包必须清除或使用相对路径优

2026-07-21 15:33:00 241

原创从 DevOps 视角看 AI 六大核心方向：概念、原理与落地场景

《DevOps工程师的AI工程化指南》系统梳理了AI落地的六大核心方向：知识工程（构建领域知识库）、上下文工程（优化模型输入）、模型调优（定制化训练）、数据飞轮（建立反馈闭环）、流程创新（重构工作流）和智能体开发（自主任务执行）。文章将AI概念与DevOps技术栈类比，揭示其工程本质，强调系统思维和自动化能力在AI应用中的关键作用，帮助技术从业者实现从传统运维到智能运维的跨越。

2026-07-21 12:44:23 434

原创 JFrog CLI File Spec 完全指南：上传与下载的声明式艺术

JFrog CLI的File Spec是一种基于JSON的声明式文件操作规范，用于高效管理Artifactory二进制仓库。其核心特性包括：统一操作：通过单个JSON文件定义多组文件操作任务，支持并行执行，显著提升效率。灵活匹配：上传和下载场景分别支持保留/平铺目录结构（flat字段）支持通配符、正则表达式和属性筛选可按构建号、时间排序等条件精确控制文件操作范围高级功能：动态变量注入（--spec-vars）自动解压归档文件（explode）跨仓库操作和多条件排除典型应用场景包括RPM包

2026-07-20 16:00:26 173

原创操作系统进程与线程生命周期深度解析：从原理到工程实践

本文深入解析了操作系统中的进程和线程生命周期及其资源限制。主要内容包括：进程生命周期：详细阐述了进程的五种基本状态（创建态、就绪态、运行态、阻塞态和终止态）及其转换关系，重点分析了Linux的fork()机制和写时复制技术，以及僵尸进程的产生与处理方法。线程生命周期：对比了线程与进程的本质区别，介绍了Linux线程的历史演变（从LinuxThreads到NPTL），并说明了线程创建、运行和销毁的完整过程。资源限制机制：从PID空间限制、内核数据结构开销、调度器复杂度等多个维度，解释了操作系统设置最大进

2026-07-20 14:27:11 251

原创 Module.symvers 深度解析：Linux内核模块符号管理的基石

摘要： Module.symvers是Linux内核构建中的关键符号版本文件，记录所有导出符号（函数/变量）的名称、来源模块及CRC校验值，解决模块间的符号依赖问题。其生成由modpost工具完成，合并内核核心与模块的符号信息。开发者需确保该文件与目标内核版本严格匹配，避免编译或加载时的"Unknown symbol"错误。通过传递Module.symvers或设置KBUILD_EXTRA_SYMBOLS，可实现跨模块符号调用，而CONFIG_MODVERSIONS选项则控制CRC校验机制，保障接口兼容性。

2026-07-17 17:27:09 167

原创深入细节：Gerrit 依赖链批量操作完全指南

本文深入解析了Gerrit中依赖链的建立机制与自动化处理方法。主要内容包括：依赖链类型： Git提交图隐式依赖（同一分支连续提交）跨分支/跨项目的显式Depends-On依赖 Related Changes API详解：返回结果已拓扑排序仅包含未合入的变更提供变更号、修订号等关键信息老版本兼容方案：手动回溯父提交的替代方法 SSH与REST API对比： REST在依赖处理上优势明显批量操作推荐统一使用REST 合入顺序要求：必须遵循祖先优先原则 Gerrit会进行依赖检查增强脚本设计：

2026-07-17 14:11:44 198

原创深入掌握 java -jar 命令：从基础到 Jenkins Agent 实战

本文深入解析了java -jar命令的技术细节与实战应用，特别针对Jenkins Agent场景。主要内容包括：技术原理：揭示JAR文件本质和Main-Class机制，对比-jar与-cp的区别。参数分类：明确区分JVM参数（-jar前）、程序参数（-jar后）和环境变量（命令前）的语法位置。 Jenkins实战：重点演示Agent启动命令的正确参数配置方式，包括工作目录设置、环境变量注入和连接密钥管理。常见问题：总结路径权限、Java版本、内存配置、日志管理等注意事项，特别强调参数顺序易错点。安全

2026-07-17 10:09:12 205

原创 Gerrit 批量评审与合入依赖链的全自动实践

摘要：Gerrit 依赖链 Change 的自动化合入方案在基于 Gerrit 的代码协作中，当遇到具有父子依赖关系的多个 Patch Set 时，手动逐个评审和合入效率低下且容易出错。本文提出了一套自动化解决方案：依赖链获取：通过 Gerrit REST API 的 /related 端点，一次性获取从目标 Change 回溯到最老祖先的完整有序依赖链，该接口返回的数据已按提交顺序排列。批量评审：使用 SSH 命令或 REST API 按从祖先到后代的顺序对每个 Change 执行 Code-Rev

2026-07-17 08:59:28 211

原创 SELinux Policy 的基石：深入解读 M4 宏声明性安全策略语言

摘要： SELinux 策略采用 M4 宏语言（如 .te 和 .if 文件）而非原生语法，主要基于 Reference Policy 项目的模块化设计需求。M4 宏通过可重用性、高抽象（如一行宏调用生成数十条规则）、条件编译（ifelse）等特性，显著提升了策略编写的效率与可维护性。其核心优势包括隐藏底层细节、集中管理规则，但也带来宏展开后难以静态分析的挑战。策略编译时，M4 预处理器先将宏转换为原生语法（policy.conf），再编译为二进制策略。开发者修改策略时需注意区分编译时宏（如 define(

2026-07-16 17:05:53 306

原创 Docker 容器镜像管理完全指南：从提交导出到极致瘦身

Docker容器镜像管理核心技巧容器提交为镜像使用docker commit将容器状态保存为新镜像，适合快速保存开发环境或故障现场注意：不包含挂载卷数据，生产环境建议优先用Dockerfile 镜像导出与导入 docker save/load：保留完整分层和元数据，适合离线部署和版本管理 docker export/import：仅导出容器文件系统快照，生成扁平化镜像镜像优化五大技巧选择slim/alpine基础镜像采用多阶段构建分离构建与运行环境合理利用层缓存加速构建使用.dockerig

2026-07-05 22:25:27 262

原创 Koji Build 命令参数深度解析：从入门到精通

文章摘要：本文深入解析 Koji 构建系统中 koji build 命令的核心用法，重点围绕 --scratch 参数展开。Scratch Build 允许临时测试构建（不污染正式仓库，无视 NVR 冲突），适合开发阶段快速验证；正式构建则需严格保证 NVR 唯一性，失败后需通过增加 Release 号恢复。文章详解了 --skip-tag、--wait、--arch-override 等关键参数的应用场景，并提供多架构调试、依赖构建等实战示例，帮助开发者高效管理软件包构建流程。（150字）关键词： K

2026-07-02 19:59:19 475

原创 Koji Kernel 构建中 noarch 与非 noarch 拆分机制深度解析

本文深入剖析了Linux发行版构建系统Koji在处理超大型软件包如Linux Kernel时面临的挑战，重点解读了其针对Kernel项目定制的任务拆分（Descendants Build）策略。文章首先解释了noarch（架构无关）软件包的概念及其在Kernel项目中的具体表现，指出默认构建模型会导致多架构并行构建时产生冲突。为解决这一问题，Koji引入了任务拆分策略，将构建请求分为独立的noarch子任务（仅执行一次）和非noarch子任务（多架构并行构建），并通过任务树模型实现高效调度。文章详细比较了标

2026-07-02 19:20:20 274

原创 Mock 编译 RPM 包时基于 Spec 宏定义定制组件产物范围指南

本文介绍了如何利用Mock工具结合RPM宏定义来定制化构建内核等大型RPM包，控制最终生成的组件集合。主要内容包括：1）RPM宏的基本概念及其在spec文件中的条件判断逻辑；2）Mock工具通过--define参数传递宏定义的原理；3）常用操作指南，包括禁用单个/多个组件、开启默认关闭特性等具体命令示例；4）注意事项与最佳实践，如宏默认状态判断、依赖关系处理等。通过灵活使用这些技巧，可以显著缩短编译时间并减少存储空间占用，实现高效的定制化构建流程。

2026-07-01 17:15:26 176

原创 VNC 安全访问控制实战：从 iptables 规则排障到底层协议原理

本文针对 VNC 服务配置 iptables 后仍无法有效限制访问的常见痛点，从两个核心维度进行深度排障：一是揭秘 iptables 规则链的“首次匹配”原则，指出宽泛规则（如 ACCEPT all）若排在精细化规则之前，将导致白名单策略彻底失效，并给出了标准的三板斧排障流程；二是剖析 VNC 基于 RFB 协议的端口映射机制（5900+display），重点规避 VNC 进程意外绑定在 127.0.0.1（本机回环）导致外部无法连接的网络层拦路虎。

2026-06-29 17:00:43 214

原创 Koji 编译节点 Mock 配置文件与 Yum 源深度解析

Koji 分布式构建系统中的 Mock 配置文件和 Yum 源生成机制是构建隔离环境的核心。摘要如下： Mock配置生成：通过客户端-服务端协同完成，Hub 端基于构建目标动态组装配置，受构建标签、架构、仓库版本等多因素影响。 Yum源机制：Koji仓库代表特定Tag的时间点快照，采用按需生成策略，通过事件机制确保构建可重现性。操作与调试：可通过koji mock-config获取配置本地Mock复现是有效的调试手段需检查Yum源可用性和Tag配置注意事项：架构敏感性问题需特别关注站点全局配置

2026-06-29 16:44:26 210

原创深度解析：OS 语言编码对 RPM 组件编译的影响与 Koji 构建避坑指南

本文深入分析了操作系统语言编码（Locale）对RPM组件编译的影响，特别是中文环境（如zh_CN.UTF-8）可能导致的构建失败问题。当构建节点使用中文Locale时，RPM解析器在处理SPEC文件或依赖关系时可能出现"无效字符"错误，如0x85控制字符报错。文章从底层原理出发，解释了字符编码与字节解析错位、glibc本地化行为差异等核心机制，并阐述了Locale对编译全流程的影响。为规避此类问题，建议强制使用C或en_US.UTF-8 Locale，确保语言包完整性，并净化SPEC文件编码。针对故障排查

2026-06-29 10:34:22 462

原创从运维专家到智能体编排者：OS DevOps的AI时代竞争力重构之路

摘要：AI重塑DevOps：从工具使用者到智能体编排者的转型 2026年，AI已深度嵌入DevOps全流程，从代码生成（如Claude Code贡献GitHub 4%提交）、Jenkins流水线优化到Gerrit自动代码审查。AI运维从“辅助建议”升级为“代理执行”，如阿里云STAROps实现自然语言驱动的闭环运维。核心转变在于：工程师需从“工具操作者”转向“智能体编排者”，通过混合智能架构（结合大模型与领域小模型）和治理框架（安全护栏、人工审查）提升效率。高价值转型方向包括LLMOps工程师、平台工程师

2026-06-26 17:39:23 246

原创 Linux CPU利用率深度解析：从top命令到虚拟化资源评估

Linux CPU利用率解析摘要本文深入解析了Linux中top命令显示的CPU指标含义：进程CPU占用率：%CPU表示单进程占用单个CPU核心的百分比，数值可能超过100%表明使用了多核并行计算系统CPU时间分布：详细解释了%Cpu(s)行各字段含义，包括用户态(us)、内核态(sy)、空闲(id)、I/O等待(wa)和虚拟化特有的steal time(st) 虚拟化环境评估：指导如何准确评估虚拟机消耗的物理机CPU资源，重点关注宿主机进程的%CPU和虚拟机内部的st指标实用技巧：提供top命令的

2026-06-25 21:34:49 557

原创 subprocess和billiard.Pool的多进程实现差异分析

本文深入对比了Python中两种多进程实现方式：subprocess和billiard.Pool。subprocess专注于执行外部命令，提供精细的子进程生命周期管理，适合系统级任务；而billiard.Pool作为multiprocessing的增强版，专为并行执行Python函数设计，提供进程池抽象和任务调度能力。文章通过大量代码示例展示了两种方式的基础用法、并行控制、超时处理等核心功能，并分析了各自的适用场景。subprocess适合调用外部程序，而billiard.Pool更适合计算密集型Pytho

2026-06-25 21:19:59 356

原创 curl 7.61.1 源码包构建异常：测试阶段失败的根因分析与排查实践

摘要：在aarch64架构下构建curl-7.61.1的RPM包时，%check阶段因57个测试用例失败（通过率94%）而终止。主要问题包括：SSH服务器启动失败（62个用例跳过，因shell启动脚本输出干扰）、进程被SIGKILL（可能因OOM或超时）及架构兼容性问题。建议解决方案：清理构建环境shell脚本、禁用SSH相关测试、增加资源或升级curl版本。此问题在CentOS构建系统中复现，非个例，升级至新版curl是根本解决方法。临时方案可跳过测试阶段，但不推荐生产使用。

2026-06-23 21:14:02 254

原创从扫描到修复：CVE漏洞全流程应对指南——以CVE-2026-31431“Copy Fail”为例

摘要 CVE-2026-31431（Copy Fail）是Linux内核algif_aead模块中的高危本地提权漏洞，允许通过AF_ALG套接字与splice()系统调用组合篡改页缓存数据。该漏洞影响2017年后所有主流Linux发行版，CVSS评分7.8。漏洞源于2017年的性能优化补丁（commit 72548b093ee3），修复方案为回退到out-of-place操作模式（commit a664bf3d603d）。安全扫描工具（Black Duck SCA/Nessus）发现漏洞后，需验证影响范围

2026-06-23 20:33:11 317

原创 iSCSI 存储技术详解：从原理到实战

本文系统介绍了iSCSI技术及其管理工具iscsiadm的使用。iSCSI是一种基于TCP/IP的块级存储协议，通过SCSI命令封装实现远程存储访问。文章详细讲解了iSCSI的核心组件（Initiator和Target）、关键术语（IQN、LUN等）以及协议工作原理的三个阶段（发现、登录、数据传输）。在适用场景部分，比较了iSCSI与其他存储方案的差异，并重点介绍了Linux下iscsiadm工具的安装配置、目标发现、会话管理、CHAP认证等常用操作命令，提供了实用速查表。最后强调了网络隔离、Jumbo F

2026-06-22 15:40:34 320

原创 Systemd 服务管理深度解析：从核心概念到网络依赖服务实战

本文深入解析Systemd服务管理机制，重点讲解如何编写依赖网络就绪的服务单元文件。主要内容包括： Systemd核心概念：介绍Unit类型、Target与启动级别等基础知识； Service Unit文件编写规范：详细说明[Unit]、[Service]、[Install]三个段落的配置项及最佳实践；网络依赖处理：区分network.target与network-online.target的使用场景，强调后者适用于必须网络就绪的服务；实战案例：以iSCSI磁盘挂载为例，演示如何创建依赖网络就绪的服务，

2026-06-22 15:30:32 184

空空如也

空空如也