[HTTP请求头Access-Contro...]的搜索结果

...全又高效。例如，合理设置分片数量和副本策略有助于提高大规模数据查询时的API响应速度；而利用Elasticsearch的Role-Based Access Control（RBAC）机制，则可精细控制不同用户对API的访问权限，避免因权限设置不当导致的API调用失败。 此外，为了提升Kibana的数据分析能力，技术社区也在不断分享实战经验和最佳实践。一篇最新的技术博客就深入剖析了如何结合Kibana的Timelion插件进行实时数据分析，同时展示了如何通过监控Elasticsearch集群状态，预防可能导致API调用异常的服务故障。 综上所述，紧跟Elasticsearch与Kibana的最新发展动态，并掌握其高级特性和优化技巧，对于解决实际应用中可能遇到的各种问题，包括但不限于API调用失败的情况，都具有极高的参考价值和实践意义。

...arJS开发中，对$httpBackend服务的理解与恰当使用对于优化前端数据交互和提升测试效率具有重要意义。然而，随着技术的演进，Angular团队在AngularJS 1.6版本后已正式弃用$httpBackend，并推荐开发者转用Angular的新版本以及配套的HttpClient模块。在Angular（不带JS后缀）中，HttpClient提供了一套更现代、功能更强大的API来处理HTTP请求，并且更好地融入了RxJS响应式编程模型。 针对模拟HTTP交互的需求，Angular引入了诸如HttpTestingController等测试工具，它允许我们在单元测试或端到端测试中精确地模拟和验证HTTP请求与响应。通过这种方式，开发者可以在无需真实服务器的情况下进行深度集成测试，极大地提升了测试质量和开发效率。 此外，在实际项目开发中，遵循单一职责原则和依赖注入的设计思想同样重要。避免在同一控制器或服务中多次创建HTTP客户端实例，可以有效防止资源浪费并降低代码复杂度。通过封装$http或HttpClient服务为单例模式，不仅能解决本文所述错误问题，也能使代码更具可读性和可维护性，进一步契合Angular框架的设计理念和最佳实践。 总之，无论是深入理解AngularJS中的$httpBackend服务，还是紧跟Angular HttpClient的最新进展，都是现代前端开发者必备技能之一。只有持续关注和学习最新的技术和最佳实践，才能确保在瞬息万变的技术江湖中保持领先，打造出高效稳定的应用程序。

...odel-View-Controller）设计模式的Java Web应用程序框架，它主要用于简化构建企业级Java Web应用的工作。在本文中，Struts被用来实现文件上传和下载功能，通过定义Action类、配置struts.xml文件以及使用拦截器等机制，实现了对HTTP请求的接收、处理及响应。 MIME类型（Multipurpose Internet Mail Extensions） , MIME类型是一种标准，用于指定数据内容的格式类型，如文本、图像、视频或应用程序特定的数据。在Web开发中，特别是文件上传和下载场景，服务器端和客户端需要根据MIME类型来正确解析和处理不同类型的文件。例如，在Struts框架中，通过配置MIME类型可以指示浏览器如何打开或保存从服务器下载的文件。 拦截器（Interceptor） , 在Struts 2框架中，拦截器是一个可插拔的对象，它可以参与到Action执行的整个生命周期中，并在特定阶段进行预处理或后处理操作。文章中的LoginInterceptor就是一个自定义拦截器，它负责检查用户是否已经登录，只有当用户已登录时才允许继续执行后续的操作（如文件上传或下载）。通过这种方式，拦截器增强了系统的安全性，确保了只有经过验证的用户才能访问受限资源。

...ole-Based Access Control，简称RBAC）来实现这一点。你可以定义角色，并为角色分配权限。例如： json { "version": 1, "cluster_name": "my_cluster", "authorizer_class_names": ["kafka.security.auth.SimpleAclAuthorizer"], "default_acls": [ { "host": "", "operation": "[\"DescribeTopics\",\"CreateTopics\"]", "permission_type": "Allow", "principal": "User:Alice" }, { "host": "", "operation": "[\"DescribeGroups\",\"ListConsumer\",\"DescribeConsumer\"]", "permission_type": "Deny", "principal": "User:Bob" } ] } 在这个示例中，Alice被允许创建和描述主题，而Bob则被拒绝执行这些操作。 六、结论 SASL身份验证和授权是保护Kafka资源的重要手段。要是把SASL给整对了，咱们就能妥妥地挡掉那些没经过许可就想偷偷摸摸访问和操作的小动作。在实际操作的时候，我们得看情况，瞅准需求和环境，像变戏法一样灵活挑选并设置SASL的各种参数和选项。 七、小结 希望通过这篇文章，你能更好地了解如何通过SASL身份验证和授权来保护Kafka资源。如果你还有任何问题，欢迎留言交流。让我们一起探索更多有趣的Kafka知识！

...ole-Based Access Control, RBAC）和临时凭证（例如AWS的STS服务生成的会话令牌），替代传统的固定用户名密码或SSH密钥登录远程服务器的方式。这种方式不仅增强了安全性，还能实现更加精细的权限管理。 此外，对于大规模服务器集群的运维场景，开源工具如Ansible、Terraform等提供了更为便捷的远程操作和配置管理能力，它们通过SSH后台执行命令，简化了大批量服务器的运维流程，降低了由于人为操作失误导致的连接问题。 总之，在实际工作中，不断跟进远程连接技术的发展和最佳实践，结合文中所述的基础问题排查方法，将有助于我们在面对复杂多变的运维环境时，更加从容地处理各种远程连接问题，确保业务系统的稳定运行。

...转载内容。原文链接：https://blog.csdn.net/weixin_29363791/article/details/114779150。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。 mysql 帮助：A.2.3 Client does not support authentication protocol MySQL 4.1 and up uses an authentication protocol based on a password hashing algorithm that is incompatible with that used by older clients. If you upgrade the server to 4.1, attempts to connect to it with an older client may fail with the following message: shell> mysqlClient does not support authentication protocol requestedby server; consider upgrading MySQL client To solve this problem, you should use one of the following approaches: http://www.gaodaima.com/38584.htmlMYSQL 新版出现" Client does_mysql Upgrade all client programs to use a 4.1.1 or newer client library. When connecting to the server with a pre-4.1 client program, use an account that still has a pre-4.1-style password. Reset the password to pre-4.1 style for each user that needs to use a pre-4.1 client program. This can be done using the SET PASSWORD statement and the OLD_PASSWORD() function: mysql> SET PASSWORD FOR -> 'some_user'@'some_host' = OLD_PASSWORD('newpwd'); Alternatively, use UPDATE and FLUSH PRIVILEGES: mysql> UPDATE mysql.user SET Password = OLD_PASSWORD('newpwd') -> WHERE Host = 'some_host' AND User = 'some_user';mysql> FLUSH PRIVILEGES; Substitute the password you want to use for newpwd'' in the preceding examples. MySQL cannot tell you what the original password was, so you'll need to pick a new one. Tell the server to use the older password hashing algorithm: Start mysqld with the --old-passwords option. Assign an old-format password to each account that has had its password updated to the longer 4.1 format. You can identify these accounts with the following query: mysql> SELECT Host, User, Password FROM mysql.user -> WHERE LENGTH(Password) > 16; For each account record displayed by the query, use the Host and User values and assign a password using the OLD_PASSWORD() function and either SET PASSWORD or UPDATE, as described earlier. For additional background on password hashing and authentication, see section 5.5.9 Password Hashing in MySQL 4.1. 例子： SET PASSWORD FOR 用户名@localhost = OLD_PASSWORD('密码'); 欢迎大家阅读《MYSQL 新版出现" Client does_mysql》,跪求各位点评,若觉得好的话请收藏本文，by 搞代码 微信 赏一包辣条吧~ 支付宝 赏一听可乐吧~ 本篇文章为转载内容。原文链接：https://blog.csdn.net/weixin_29363791/article/details/114779150。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...|Mux，一款开源的HTTP请求路由库，为Go语言的微服务提供了强大的路由管理和API设计能力。在处理定时任务时，如何巧妙地结合Gorilla|Mux，使其与Beego框架的Cron任务无缝对接，值得进一步探讨。 首先，了解如何在Gorilla|Mux中设置路由规则，以便定时任务能够正确接收并处理请求。例如，创建一个专门的API endpoint，如/api/tasks/execute，用于执行特定的定时任务。然后，通过Cron表达式调度这个API，确保任务按预定时间触发。 其次，Gorilla|Mux的灵活性允许开发者根据业务需求定制任务处理逻辑。例如，通过中间件处理错误，确保任务执行过程中的健壮性。同时，使用Go的context包，可以轻松实现任务执行的超时和取消功能，提高系统的响应性。 最后，关于性能优化，可以通过Gorilla|Mux的预编译路由表减少每次请求的开销，提升定时任务的执行效率。同时，结合Beego的缓存机制，对频繁执行的任务结果进行缓存，减轻后端压力。 在当前微服务和容器化的趋势下，掌握Gorilla|Mux在定时任务中的应用，不仅能提升开发效率，还能为构建高可用、可扩展的系统打下坚实基础。关注最新技术动态，深入学习Go语言的最佳实践，无疑将助力你在技术栈的选择和项目实践中游刃有余。

...作。当我们发送一个 HTTP 请求给 Spring MVC 处理时，拦截器会对这个请求进行拦截，并根据我们的业务逻辑决定是否继续执行下一个拦截器或者 Controller。 三、自定义拦截器的实现步骤 接下来我们将一步步介绍如何在 SpringBoot 中实现自定义的拦截器。 1. 创建自定义拦截器实现 HandlerInterceptor 接口 java public class MyInterceptor implements HandlerInterceptor { @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { // 这里可以根据需要进行预处理操作 return true; } @Override public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception { // 这里可以在处理完成后进行后处理操作 } @Override public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception { // 这里可以在处理完成且没有异常发生的情况下进行后续操作 } } 2. 需要一个配置类实现 WebMvcConfigurer 接口，并添加@Configuration注解 java @Configuration public class WebConfig implements WebMvcConfigurer { @Override public void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(new MyInterceptor()); } } 3. 在配置类中重写 addInterceptors 方法，将自定义拦截器添加到拦截器链中 java @Override public void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(new MyInterceptor()) .addPathPatterns("/"); // 添加拦截器路径匹配规则 } 四、自定义拦截器的应用场景 下面我们来看几个常见的应用场景。 1. 权限验证 java public class AuthInterceptor implements HandlerInterceptor { private List allowedRoles = Arrays.asList("admin", "manager"); @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { String username = (String) SecurityContextHolder.getContext().getAuthentication().getName(); if (!allowedRoles.contains(username)) { response.sendError(HttpServletResponse.SC_FORBIDDEN); return false; } return true; } } 在这个例子中，我们在 preHandle 方法中获取了当前用户的用户名，然后检查他是否有权访问这个资源。如果没有，则返回 403 Forbidden 错误。 2. 记录请求日志 java public class LogInterceptor implements HandlerInterceptor { @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { long start = System.currentTimeMillis(); System.out.println("开始处理请求：" + request.getRequestURL() + "，参数：" + request.getParameterMap()); return true; } @Override public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception { long end = System.currentTimeMillis(); System.out.println("结束处理请求：" + request.getRequestURL() + "，耗时：" + (end - start)); } } 在这个例子中，我们在 preHandle 和 afterCompletion 方法中分别记录了请求开始时间和结束时间，并打印了相关的信息。 3. 判断用户是否登录 java public class LoginInterceptor implements HandlerInterceptor { private User user; public LoginInterceptor(User user) { this.user = user; } @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { if (user != null) { return true; } else { response.sendRedirect("/login"); return false; } } } 在这个例子中，我们在 preHandle 方法中判断用户是否已经登录，如果没有，则跳转到登录页面。 总结 以上就是如何在 SpringBoot 中实现自定义的拦截器。拦截器是一个非常强大的功能，可以帮助我们解决很多复杂的问题。但是伙计们，你们得留意了，过度依赖拦截器这玩意儿，可能会让代码变得乱七八糟、一团乱麻，维护起来简直能让你头疼欲裂。所以呐，咱们一定要悠着点用，合理利用这个小工具才是正解。希望这篇文章对你有所帮助！

...Admission Controller”的新特性允许开发者在对象被持久化到存储之前对其进行修改或验证，从而实现更细粒度的控制。这项更新对Kubernetes API Server的访问控制和安全性带来了显著提升，尤其对于那些需要高度安全性的企业级应用场景。 此外，近期有一篇深度解读文章，详细分析了Kubernetes API Server在大规模部署中的性能瓶颈及其优化方案。该研究指出，随着集群规模的扩大，API Server面临的主要问题是请求延迟增加和资源消耗过高。通过对API Server的负载均衡、缓存策略以及并发控制的优化，研究团队成功将性能提升了30%以上。这一成果为Kubernetes用户提供了宝贵的实践经验，尤其是在构建高可用和高性能的Kubernetes集群方面。 同时，值得注意的是，Kubernetes社区也在积极探讨如何通过集成更多先进的认证和授权机制，进一步提升API Server的安全性。例如，引入OAuth 2.0和OpenID Connect标准，使得认证过程更加灵活和安全。这些改进不仅提高了系统的安全性，也为用户提供了更加多样化的选择。 综上所述，Kubernetes API Server的持续优化和发展，为用户提供了更加高效、安全和灵活的服务。对于希望深入了解Kubernetes API Server的读者来说，这些最新的进展无疑提供了丰富的参考资料和实践指导。

...口。嘿，要是安全组的设置搞砸了，可能会导致一些服务根本没法用，或者不小心把不该对外开放的端口给露出来了。 2. 如何识别安全组策略冲突？ 识别安全组策略冲突的第一步是了解你的网络配置。大部分时候，你要是想找出奇怪的流量或者错误信息，可以翻一翻Consul的日志文件，再看看网络监控工具里的数据。这样通常能找到问题所在。比如说，你发现某个服务老是想跟另一个不该让它连的服务搞连接，这就像是在说这两个服务之间有点不对劲儿，可能是设定上出了问题。 代码示例： bash 查看Consul的日志文件 tail -f /var/log/consul/consul.log 3. 解决方案 优化安全组策略 一旦发现问题，下一步就是优化安全组策略。这里有几种方法可以考虑： - 最小权限原则：只允许必要的流量通过，减少不必要的开放端口。 - 标签化策略：为不同的服务和服务组定义明确的安全组策略，并使用Consul的标签功能来细化这些策略。 - 动态策略更新：使用Consul的API来动态调整安全组规则，这样可以根据需要快速响应变化。 代码示例： bash 使用Consul API创建一个新的安全组规则 curl --request PUT \ --data '{"Name": "service-a-to-service-b", "Rules": "allow { service \"service-b\" }"}' \ http://localhost:8500/v1/acl/create 4. 实践案例分析 假设我们有一个由三个服务组成的微服务架构：Service A、Service B 和 Service C。Service A 需要访问 Service B 的数据，而 Service C 则需要访问外部API。要是咱们不分青红皂白地把所有服务之间的通道都打开了，那可就等于给黑客们敞开了大门，安全风险肯定会蹭蹭往上涨！ 通过采用上述策略，我们可以： - 仅允许 Service A 访问 Service B，并使用标签来限制访问范围。 - 为 Service C 设置独立的安全组，确保它只能访问必要的外部资源。 代码示例： bash 创建用于Service A到Service B的ACL策略 curl --request PUT \ --data '{"Name": "service-a-to-service-b", "Description": "Allow Service A to access Service B", "Rules": "service \"service-b\" { policy = \"write\" }"}' \ http://localhost:8500/v1/acl/create 5. 总结与反思 处理安全组策略冲突是一个不断学习和适应的过程。随着系统的增长和技术的发展，新的挑战会不断出现。重要的是保持灵活性，不断测试和调整你的策略，以确保系统的安全性与效率。 希望这篇文章能帮助你更好地理解和解决Consul中的安全组策略冲突问题。如果你有任何疑问或想要分享自己的经验，请随时留言讨论！ --- 这就是今天的全部内容啦！希望我的分享对你有所帮助。记得，技术的世界里没有绝对正确的方法，多尝试、多实践才是王道！

...或JSON格式，通过HTTP进行传输。其特点是序列化和反序列化速度快，适合对性能要求较高的场景。 1.2 HessianRPC的工作原理 HessianRPC的核心是HessianSerializer，它负责对象的序列化和反序列化。你在手机APP上点击那个神奇的“调用”按钮，它就像个小能手一样，瞬间通过网络把你的请求打包成一个小包裹，然后嗖的一下发送给服务器。服务器收到后，就像拆快递一样迅速处理那些方法，搞定一切后又会给客户端回复反馈，整个过程悄无声息又高效极了。 三、连接池的重要性 2.1 连接池的定义 连接池是一种复用资源的技术，用于管理和维护一个预先创建好的连接集合，当有新的请求时，从连接池中获取，使用完毕后归还，避免频繁创建和销毁连接带来的性能损耗。 2.2 连接池在HessianRPC中的作用 对于HessianRPC，连接池可以显著减少网络开销，特别是在高并发场景下，避免了频繁的TCP三次握手，提高了响应速度。不过嘛，我们要琢磨的是怎么恰当地摆弄那个连接池，别整得太过了反而浪费资源，这是接下来的头等大事。 四、连接池优化策略 3.1 连接池大小设置 - 理论上，连接池大小应根据系统的最大并发请求量来设定。要是设置得不够给力，咱们的新链接就可能像赶集似的不断涌现，让服务器压力山大；可要是设置得太过豪放，又会像个大胃王一样猛吞内存，资源紧张啊。 - 示例代码： java HessianProxyFactory factory = new HessianProxyFactory(); factory.setConnectionPoolSize(100); // 设置连接池大小为100 MyService service = (MyService) factory.create("http://example.com/api"); 3.2 连接超时和重试策略 - 针对网络不稳定的情况，我们需要设置合理的连接超时时间，并在超时后尝试重试。 - 示例代码： java factory.setConnectTimeout(5000); // 设置连接超时时间为5秒 factory.setRetryCount(3); // 设置最多重试次数为3次 3.3 连接池维护 - 定期检查连接池的状态，清理无用连接，防止连接老化导致性能下降。 - 示例代码（使用Apache HttpClient的PoolingHttpClientConnectionManager）： java CloseableHttpClient httpClient = HttpClients.custom() .setConnectionManager(new PoolingHttpClientConnectionManager()) .build(); 五、连接池优化实践与反思 4.1 实践案例 在实际项目中，我们可以通过监控系统的连接数、请求成功率等指标，结合业务场景调整连接池参数。例如，根据负载均衡器的流量数据动态调整连接池大小。 4.2 思考与挑战 尽管连接池优化有助于提高性能，但过度优化也可能带来复杂性。你知道吗，我们总是在找寻那个奇妙的平衡点，就是在提升功能强大度的同时，还能让代码像诗一样简洁，易读又易修，这事儿挺有意思的，对吧？ 六、结论 HessianRPC的连接池优化是一个持续的过程，需要根据具体环境和需求进行动态调整。要想真正摸透它的运作机制，还得把你实践经验的那套和实时监控的数据结合起来，这样咱才能找出那个最对路的项目优化妙招，懂吧？记住，优化不是目的，提升用户体验才是关键。希望这篇文章能帮助你更好地理解和应用HessianRPC连接池优化技术。

...不当导致无法正确地将请求转发至后端API和前端静态资源。就好比一位快递员接收到包裹，却不知道正确的投递地址一样。 3. Nginx基础配置理解 首先，我们需要对Nginx的基本配置有所理解。在Nginx中，每个server块可以视为一个独立的服务，它通过监听特定的端口接收并处理HTTP请求： nginx server { listen 80; server_name yourdomain.com; 这里是我们需要重点关注的地方，用于定义如何处理不同类型的请求 } 4. 配置Nginx实现前后端分离 假设我们的前端应用构建后的静态文件存放在/usr/share/nginx/html，而后端API运行在一个名为backend的Docker容器上，暴露了8080端口。这时，我们需要配置Nginx来分别处理静态资源请求和API请求： nginx server { listen 80; server_name yourdomain.com; 处理前端静态资源请求 location / { root /usr/share/nginx/html; 前端静态文件目录 index index.html; 默认首页文件 try_files $uri $uri/ /index.html; 当请求的文件不存在时，返回到首页 } 转发后端API请求 location /api { proxy_pass http://backend:8080; 将/api开头的请求转发至backend容器的8080端口 include /etc/nginx/proxy_params; 可以包含一些通用的代理设置，如proxy_set_header等 } } 这个配置的核心在于location指令，它帮助Nginx根据URL路径匹配不同的处理规则。嘿，你知道吗？现在前端那些静态资源啊，比如图片、CSS样式表什么的，都不再从网络上请求了，直接从咱本地电脑的文件系统里调用，超级快！而只要是请求地址以"/api"打头的，就更有趣了，它们会像接力赛一样被巧妙地传递到后端服务器那边去处理。这样既省时又高效，是不是很酷嘞？ 5. Docker环境下的实践思考 在Docker环境中，我们还需要确保Nginx服务能正确地发现后端服务。这通常就像是在Docker Compose或者Kubernetes这些牛哄哄的编排工具里“捯饬”一下，让网络配置变得合理起来。比如，咱们可以先把Nginx和后端服务放在同一个“小区”（也就是网络环境）里，然后告诉Nginx：“嘿，老兄，你只需要通过那个叫做backend的门牌号，就能轻松找到你的后端小伙伴啦！”这样的操作，就实现了Nginx对后端服务的访问。 6. 结语 通过以上讨论，我们已成功揭示了在Nginx+Docker部署前后端分离项目中访问空白问题的本质，并给出了解决方案。其实，每一次操作就像是亲手搭建一座小桥，把客户端和服务器两端的信息通道给连通起来，让它们能够顺畅地“对话”。只有当我们把每个环节都搞得明明白白，像那些身经百战的建筑大师一样洞若观火，才能顺顺利利解决各种部署上的“拦路虎”，确保用户享受到既稳定又高效的线上服务体验。所以，无论啥时候在哪个地儿，碰见技术难题了，咱们都得揣着那股子热乎劲儿和胆量去积极探寻解决之道。为啥呢？因为解决问题这档子事啊，其实就是咱自我成长的一个过程嘛！

...rectURL: "http://localhost:8080/callback", Endpoint: oauth2.Endpoint{ AuthURL: "https://accounts.google.com/o/oauth2/auth", TokenURL: "https://accounts.google.com/o/oauth2/token", }, Scopes: []string{"profile", "email"}, } // 登录路由 app.Get("/login", func(ctx iris.Context) { url := config.AuthCodeURL("state") ctx.Redirect(url) }) // 回调路由处理 app.Get("/callback", func(ctx iris.Context) { code := ctx.URLParam("code") token, err := config.Exchange(context.Background(), code) if err != nil { ctx.WriteString("Failed to exchange token: " + err.Error()) return } // 在这里处理token，例如保存到数据库或直接使用 }) app.Listen(":8080") } 3. 构建策略决策树 智能授权 现在，我们已经了解了JWT和OAuth2的基本概念及其在Iris框架中的应用。接下来，我们要聊聊怎么把这两样东西结合起来，搞出一棵基于策略的决策树，这样就能更聪明地做授权决定了。 3.1 策略决策树的概念 策略决策树是一种基于规则的系统，用于根据预定义的条件做出决策。在这个情况下，我们主要根据用户的JWT信息（比如他们的角色和权限）和OAuth2的授权状态来判断他们是否有权限访问某些特定的资源。换句话说，就是看看用户是不是有“资格”去看那些东西。 代码示例：基于JWT的角色授权 go package main import ( "github.com/kataras/iris/v12" jwt "github.com/appleboy/gin-jwt/v2" ) type MyCustomClaims struct { Role string json:"role" jwt.StandardClaims } func main() { app := iris.New() jwtMiddleware, _ := jwt.New(&jwt.GinJWTMiddleware{ Realm: "test zone", Key: []byte("secret key"), Timeout: time.Hour, MaxRefresh: time.Hour, IdentityKey: "id", IdentityHandler: func(c jwt.Manager, ctx iris.Context) (interface{}, error) { claims := jwt.ExtractClaims(ctx) role := claims["role"].(string) return &MyCustomClaims{Role: role}, nil }, }) // 保护需要特定角色才能访问的路由 app.Use(jwtMiddleware.MiddlewareFunc()) // 定义受保护的路由 app.Get("/admin", jwtMiddleware.AuthorizeRole("admin"), func(ctx iris.Context) { ctx.Writef("Welcome admin!") }) app.Listen(":8080") } 3.2 结合OAuth2与JWT的策略决策树 为了进一步增强安全性，我们可以将OAuth2的授权状态纳入策略决策树中。这意味着，不仅需要验证用户的JWT，还需要检查OAuth2授权的状态，以确保用户具有访问特定资源的权限。 代码示例：结合OAuth2与JWT的策略决策 go package main import ( "github.com/kataras/iris/v12" jwt "github.com/appleboy/gin-jwt/v2" "golang.org/x/oauth2" ) // 自定义的OAuth2授权检查函数 func checkOAuth2Authorization(token oauth2.Token) bool { // 这里可以根据实际情况添加更多的检查逻辑 return token.Valid() } func main() { app := iris.New() jwtMiddleware, _ := jwt.New(&jwt.GinJWTMiddleware{ Realm: "test zone", Key: []byte("secret key"), Timeout: time.Hour, MaxRefresh: time.Hour, IdentityKey: "id", IdentityHandler: func(c jwt.Manager, ctx iris.Context) (interface{}, error) { claims := jwt.ExtractClaims(ctx) role := claims["role"].(string) return &MyCustomClaims{Role: role}, nil }, }) app.Use(jwtMiddleware.MiddlewareFunc()) app.Get("/secure-resource", jwtMiddleware.AuthorizeRole("user"), func(ctx iris.Context) { // 获取当前请求的JWT令牌 token := jwtMiddleware.TokenFromRequest(ctx.Request()) // 检查OAuth2授权状态 if !checkOAuth2Authorization(token) { ctx.StatusCode(iris.StatusUnauthorized) ctx.Writef("Unauthorized access") return } ctx.Writef("Access granted to secure resource") }) app.Listen(":8080") } 4. 总结与展望 通过以上讨论和代码示例，我们看到了如何在Iris框架中有效地使用JWT和OAuth2来构建一个智能的授权决策系统。这不仅提高了应用的安全性，还增强了用户体验。以后啊，随着技术不断进步，咱们可以期待更多酷炫的新方法来简化这些流程，让认证和授权变得超级高效又方便。 希望这篇探索之旅对你有所帮助，也欢迎你加入讨论，分享你的见解和实践经验！

...高效并发处理多个网络请求，极大地提升了Web应用的服务能力和响应速度。 TCP连接 , Transmission Control Protocol（传输控制协议）是一种面向连接、可靠的基于字节流的传输层通信协议。在网络编程中，TCP连接是两个网络节点之间建立的一种稳定、双向的数据交换通道。当网络连接不稳定或中断时，TCP连接可能会因超时、丢包等问题断开。文中提到，Tornado通过自动重连机制来应对TCP连接可能遇到的问题，确保在连接断开后能够尝试重新建立连接，提高网络服务的可用性和可靠性。 WebSocket , WebSocket是一种在单个TCP连接上进行全双工通信的协议，允许客户端和服务器之间进行实时、双向的数据传输。与HTTP等传统请求-响应模型不同，WebSocket能够在同一个连接上持久保持打开状态，并且支持实时推送数据。在Tornado库中，开发人员可以利用WebSocket功能构建实时Web应用，实现聊天室、实时股票报价、在线游戏等场景，即使在网络环境波动时，也能够更好地维持连接稳定性，提供流畅的用户体验。

...转载内容。原文链接：https://blog.csdn.net/m0_61507413/article/details/122895643。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。 B站视频网址：（本次仅涉及P40-P43和P60）【优极限】 HTML+CSS+JavaScript+jQuery前端必学教程，小白教学，前端基础全套完成版_哔哩哔哩_bilibili 菜鸟教程网址：HTML 教程 | 菜鸟教程 (runoob.com) 一、获取表单 <!-- 获取表单(前两种常用)1. document.getElementById("id属性值");通过form标签的id属性值获取表单对象2.document.表单的nane属性值:通过表单的name属性值获取表单对象3.document.forms[下标]: 通过指定下标获取表单元素4.document.forms[表单的name属性值];通过表单的name属性值获取表单对象document.forms:获取HTML文档中所有的表单对象--> <form id="myform1" name= "myform1" action=""></form><form id="myform2" name= "myform2" action=""></form><script type="text/javascript">// 1. document.getElementById("id属性值");console.log(document.getElementById("myform1"));// 2. document.表单的name属性值; console.log(document.myform2);console.log("----------------");//获取所有的表单对象console.log(document.forms); // 3. document.forms[下标];console.log(document.forms[0]);// 4. document.forms[表单的name属性值]; console.log(document.forms["myform2"]);</script> 运行效果截图： 二、获取表单元素 获取表单元素1.获取input元素1. document.getElementById("id属性值"): 通过元素的id属性值获取表单元素对象2.表单对象.表单元素的name属性值;通过表单对象中对应的元素的name属性值获取3. document.getELementsByName("name属性值");通过表单元素的name属性值获取4. document.getELementsByTagName("标签名/元素名");通过标签名获取表单元素对象2.获取单选按钮注:相同的一组单选按钮，需要设置相同的name属性值1. document.getElementByName("name属性值");通过name属性值获取2.判断单选按钮是否选中checked选中状态在JS代码中checked=true表示选中checked=false表示不选中在HTML标签中checked=checked或checked表示选中不设置checked属性表示不选中3.获取单选按钮的值元表.value;3.获取多选按钮与单选按钮相同4.获取下拉选项1.获取下拉框对象var对象 = document.getElementById("id属性值");2.获取下拉框的下拉选项列表var options = 下拉框对象.options;3.获取下拉框被选中项的索引var index = 下拉框对象.selectedIndex;4.获取下拉框被选中项的值var 值 = 下拉框对象.value;5.通过选中项的下标获取下拉框被选中项的值var 值 = 下拉框对象.options[index].value;6.获取下拉框被选中项的文本var文本值一下拉框对象.options[index].text;注:1.获取下拉框选中项的值时: (value)如果option标签设置了value属性值，则获取value属性对应的值;如果option标签未设置value属性值，则获取的是option双标签中的文本值2.下拉框的选中状态:选中状态: selected = selected、 selected、 selected = true未选中状态:不设置selected属性、 selected=false; <form id='myform' name="myform" action="" method="get">姓名:<input type="text" id="uname" name="uname" value="zs"/><br />密码:<input type= "password" id="upwd" name="upwd" value= "1234"/><br /><input type="hidden" id= "uno" name="uno" value="隐藏域"/>个人说明:<textarea name="intro" ></textarea><br><button type="button" onclick="getTxt();" >获取元素内容</button><hr><br><input type="text" name="inputName" class="test" value="aaa" /><input type="radio" name="rad" class="test" value="1" /> 男<input type="radio" name="rad" class="test" value="2" /> 女<button type="button" onclick="getRadio()">获取单选按钮</button><br><hr><br>全选/全不选: <input type="checkbox" id="control" onclick="checkAllOrNot()" /><button type="button" onclick= "checkFan()">反选</button><br><input type="checkbox" name= "hobby" value="sing" />唱歌<input type="checkbox" name= "hobby" value="dance" />跳舞<input type="checkbox" name= "hobby" value="rap" />说唱<button type="button" onclick="getCheckBox()">获取多选按钮</button><br><hr><br>来自:<select id="ufrom" name= "ufrom" ><option value = "" >请选择</option><option value = "Beijing" selected="selected" >北京</option><option value = "Shanghai">上海</option><option value = "Hangzhou">杭州</option></select><button type="button" onclick= "getSelect()" >获取下拉选项</button></form><script type=" text/javascript">function getTxt() {// 1. document.getElementById("id属性值");var uname = document.getElementById("uname").value;console.log(uname);// 2.表单对象.表单元表的name属性值;var pwd = document.getElementById("myform").upwd.value;console.log(pwd);// 3. document.getELementsByName("name属性值");var uno = document.getElementsByName("uno")[0].value;console.log(uno);// 4. document.getELementsByTagName("标签名/元素名");var intro = document.getElementsByTagName("textarea")[0].value;console.log(intro);}function getSelect() {//获取下拉框对象var ufrom = document.getElementById("ufrom");console.log(ufrom);//获取下拉框的下拉选项列表var opts = ufrom.options;console.log(opts);//获取下拉框被选中项的索引var index = ufrom.selectedIndex;console.log("选中项的下标:" + index);//获取下拉框被选中项的值var val = ufrom.value;console.log("被选中项的值：" + val);//通过选中项的下标获取下拉框被选中项的值var val2 = ufrom.options[index].value;console.log("被选中项的值:"+ val2);//获取下拉框被选中项的文本var txt=ufrom.options[index].text; console.log("被选中项的文本:"+ txt);}</script> 运行效果截图： 三、提交表单 提交表单一、使用普通按钮type="button"1.给按钮绑定click点击事件，绑定函数2.在函数中，进行表单校验(非空校验、 合法性校验等)3.如果校验通过，则手动提交表单表单对象.submit();二、使用提交按钮type="submit"1.给按钮绑定click点击事件，绑定函数2.函数需要有返回值，返回true或false (如果return false, 则表单不会提交:如果return true，则提交表单）onclick="return 函数名()"3.在函数中，进行表单校验(非空校验、 合法性校验等)4.如果校验通过，返回true;如果校验不通过，则返回false, 则表单不会提交:如果return true，则提交表单）三、使用提交按钮type="submit"1.给表单form元素绑定submit提交事件，绑定函数2.函数需要有返回值，返回true或false (如果return false, 则表单不会提交;如果return trueonsubmit="return函数名()" 3.在函数中，进行表单校验(非空校验、 合法性校验等)4.如果校验通过，返回true;如果校验不通过，则返回false <!--使用普逍按钮 type= "button"--><form id= 'myform' name= "myform" action="http://www.baidu.com" method="get" >姓名: <input name= "uname" id="uname"/>  <span id = "msg" style="font-s1ze: 12px; color: red;"></span><br /><button type="button" onclick="submitForm1()">提交</button></form><!--使用提交按钮 type= "submit"--><form id= 'myform2' name= "myform2" action="http://www.baidu.com" method="get" >姓名: <input name= "uname2" id="uname2"/>  <span id = "msg2" style="font-s1ze: 12px; color: red;"></span><br /><button type="submit" onclick="return submitForm2()">提交</button></form><!--使用提交按钮 type= "submit"--><form id= 'myform3' name= "myform3" action="http://www.baidu.com" method="get" onsubmit="return submitForm3()">姓名: <input name= "uname3" id="uname3"/>  <span id = "msg3" style="font-s1ze: 12px; color: red;"></span><br /><button type="submit">提交</button></form><script type="text/javascript">// 表单校验// 提交表单function submitForm1() {//得到文本框的值var uname = document.getElementById("uname").value;//判断是否为空if (isEmpty(uname)) { //为空//设置提示信息(设置span元素的值)document.getElementById("msg").innerHTML="性名不能为空!" ;//阻止表单提交return;}//手动提交表单document.getElementById("myform").submit(); }function submitForm2() {//得到文本框的值var uname2 = document.getElementById("uname2").value;//判断是否为空if (isEmpty(uname2)) { //为空//设置提示信息(设置span元素的值)document.getElementById("msg2").innerHTML="性名不能为空!" ;//阻止表单提交return false;}return true;}function submitForm3() {//得到文本框的值var uname3 = document.getElementById("uname3").value;//判断是否为空if (isEmpty(uname3)) { //为空//设置提示信息(设置span元素的值)document.getElementById("msg3").innerHTML="性名不能为空!" ;//阻止表单提交return false;}return true;}/ 判断字符串是否为空如果为空，返回true如果非空，返回falsetrim() :字符串方法， 去除字符串前后空格@param {Object} str/function isEmpty(str) {//判断是否为空if (str == null || str.trim() == "") {return true;}return false;}</script> 运行效果截图： 四、原生Ajax实现流程 <!-- Ajax 异步无刷新技术原生Ajax的实现流程1.得到XMLHttpRequest对象var xhr = new XMLHttpRequest();2.打开请求xhr.open(method, uri, async) ;method:请求方式，通常是GEI|POSTurl:请求地址async:是否异步。如果是true表示异步，false表示同步3.发送请求xhr.send(params);params:请求时需要传递的参数如果是GET请求，设置nu11。 (GET请求的参数设置在url后面)如果是POST请求，无参数设置为null，有参数则设置参数4.接收响应xhr.status响应状态(200=响应成功， 404=资源末找到，500=服务器异常)xhr.responseText 得到响应结果 --> <script type="text/javascript">// 同步请求function text01() {// 1.得到XMLHttpRequest对象var xhr = new XMLHttpRequest();// 2.打开请求xhr.open("get", "js/date.json", false);// 3.发送请求xhr.send(null);// 4.判断响应状态if (xhr.status == 200) {console.log("响应成功");} else {console.log("状态码：" + xhr.status + "，原因：" + xhr.responseText)}console.log("同步请求...");}text01();// 异步请求function text02() {// 1.得到XMLHttpRequest对象var xhr = new XMLHttpRequest();// 2.打开请求xhr.open("get", "js/date.json", true);// 3.发送请求xhr.send(null);// 由于是异步请求，所以需要知道后台已经将请求处理完毕，才能获取响应结果// 遇过监听readyState的变化来得知后面的处理状态 4=完全处理xhr.onreadystatechange = function(){if(xhr.readyState == 4){// 4.判断响应状态if (xhr.status == 200) {// 得到响应结果 console.log(xhr.responseText);} else {console.log("状态码：" + xhr.status + "，原因：" + xhr.responseText)} }}console.log("异步请求...");}text02();</script> 运行效果截图： 本篇文章为转载内容。原文链接：https://blog.csdn.net/m0_61507413/article/details/122895643。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...一款开源的、高性能的HTTP和反向代理服务器，由俄罗斯软件工程师Igor Sysoev开发。它以处理并发连接的能力强、内存占用低、稳定性好等特点著称。Nginx不仅可以用作Web服务器，还可以作为邮件代理服务器以及用于负载均衡和缓存等功能。在本文中，Nginx主要用于提供Web服务，并且讨论了其权限设置的重要性。 权限 , 权限是指计算机系统中用户对文件、目录或服务的操作权限。权限分为读（Read）、写（Write）和执行（Execute）三种类型。读权限允许用户查看文件内容；写权限允许用户修改文件内容；执行权限允许用户运行程序或访问目录。在本文中，权限设置主要是指确保Nginx服务只能访问其需要使用的文件和目录，从而防止未经授权的访问和潜在的安全风险。 SELinux , SELinux（Security-Enhanced Linux）是一种强制访问控制（Mandatory Access Control, MAC）的安全机制，它增强了Linux系统的安全性。SELinux通过定义主体（如用户、进程等）和客体（如文件、目录等）的安全上下文，并强制执行基于这些上下文的访问控制规则，从而提供更强的安全保障。在本文中，SELinux被提及为一种可能影响Nginx正常运行的因素，因为它可能会阻止Nginx访问某些文件或目录，除非这些文件或目录具有正确的安全上下文。因此，在配置Nginx时，需要考虑SELinux的影响，以避免出现意外的安全问题。

...装 curl -s https://dl.bintray.com/hashicorp/channels | bash -s -- -b /usr/local/bin consul 启动Consul服务 consul server 4. 使用Consul进行服务注册与发现 服务注册是Consul中最基础的操作之一。通过简单的HTTP API，服务可以将自己的信息（如服务名、IP地址、端口）发送给Consul服务器，完成注册过程。 go package main import ( "fmt" "net/http" "os" "github.com/hashicorp/consul/api" ) func main() { c, err := api.NewClient(&api.Config{ Address: "localhost:8500", }) if err != nil { fmt.Println("Error creating Consul client:", err) os.Exit(1) } // 注册服务 svc := &api.AgentService{ ID: "example-service", Name: "Example Service", Tags: []string{"example", "service"}, Address: "127.0.0.1", Port: 8080, Weights: []float64{1.0}, Meta: map[string]string{"version": "v1"}, Check: &api.AgentServiceCheck{ HTTP: "/healthcheck", Interval: "10s", DeregisterCriticalServiceAfter: "5m", }, } // 发送注册请求 resp, err := c.Agent().ServiceRegister(svc) if err != nil { fmt.Println("Error registering service:", err) os.Exit(1) } fmt.Println("Service registered:", resp.Service.ID) } 服务发现则可以通过查询Consul的服务列表来完成。客户端可以通过Consul的API获取所有注册的服务信息，并根据服务的标签和健康状态来选择合适的服务进行调用。 go package main import ( "fmt" "time" "github.com/hashicorp/consul/api" ) func main() { c, err := api.NewClient(&api.Config{ Address: "localhost:8500", }) if err != nil { fmt.Println("Error creating Consul client:", err) os.Exit(1) } // 查询特定标签的服务 opts := &api.QueryOptions{ WaitIndex: 0, } // 通过服务名称和标签获取服务列表 services, _, err := c.Health().ServiceQuery("example-service", "example", opts) if err != nil { fmt.Println("Error querying services:", err) os.Exit(1) } for _, svc := range services { fmt.Printf("Found service: %s (ID: %s, Address: %s:%d)\n", svc.Service.Name, svc.Service.ID, svc.Service.Address, svc.Service.Port) } } 5. 性能与扩展性 Consul通过其设计和优化，能够处理大规模的服务注册和发现需求。通过集群部署，可以进一步提高系统的可用性和性能。同时，Consul支持多数据中心部署，满足了跨地域服务部署的需求。 6. 总结 Consul作为一个强大的服务发现工具，不仅提供了简单易用的API接口，还具备高度的可定制性和扩展性。哎呀，你知道吗？把Consul整合进服务网格里头，就像给你的交通系统装上了智能导航！这样一来，各个服务之间的信息交流不仅快得跟风一样，还超级稳，就像在高速公路上开车，既顺畅又安全。这可是大大提升了工作效率，让咱们的服务运行起来更高效、更可靠！随着微服务架构的普及，Consul成为了构建现代服务网格不可或缺的一部分。兄弟，尝试着运行这些示例代码，你会发现如何在真正的工程里用Consul搞服务发现其实挺好玩的。就像是给你的编程技能加了个新魔法，让你在项目中找服务就像玩游戏一样简单！这样一来，你不仅能把这玩意儿玩得溜，还能深刻体会到它的魅力和实用性。别担心，跟着我，咱们边做边学，保证让你在实际操作中收获满满！

...ado 快速响应前端请求，而 Secret Manager 在背后默默守护着那些珍贵的秘密。是不是很带感？接下来我们就一步步深入探索它们的合作方式吧！ --- 2. 初识Tornado 搭建一个简单的Web服务 既然要玩转 Tornado，咱们得先搭个基础框架才行。好嘞，接下来我就简单搞个小网页服务，就让它回一句暖心的问候就行啦！虽然看起来简单，但这可是后续一切的基础哦！ python import tornado.ioloop import tornado.web class MainHandler(tornado.web.RequestHandler): def get(self): self.write("Hello, Tornado!") def make_app(): return tornado.web.Application([ (r"/", MainHandler), ]) if __name__ == "__main__": app = make_app() app.listen(8888) print("Server started at http://localhost:8888") tornado.ioloop.IOLoop.current().start() 这段代码超级简单对不对？我们定义了一个 MainHandler 类继承自 tornado.web.RequestHandler，重写了它的 get 方法，当收到 GET 请求时就会执行这个方法，并向客户端返回 "Hello, Tornado!"。然后呢，就用 make_app 这个函数把路由和这个处理器绑在一起，最后再启动服务器，让它开始监听 8888 端口。 运行后打开浏览器输入 http://localhost:8888，就能看到页面显示 "Hello, Tornado!" 了。是不是特别爽？不过别急着高兴，这只是万里长征的第一步呢！ --- 3. 引入Google Cloud Secret Manager：让秘密不再裸奔 现在我们知道如何用 Tornado 做点事情了，但问题是，如果我们的应用程序需要用到一些敏感信息（例如数据库连接字符串），该怎么办呢？直接写在代码里吗？当然不行！这就是为什么我们要引入 Google Cloud Secret Manager。 3.1 安装依赖库 首先需要安装 Google Cloud 的官方 Python SDK： bash pip install google-cloud-secret-manager 3.2 获取Secret Manager中的值 假设我们在 Google Cloud Console 上已经创建了一个名为 my-secret 的密钥，并且它里面保存了我们的数据库密码。我们可以这样从 Secret Manager 中读取这个值： python from google.cloud import secretmanager def access_secret_version(project_id, secret_id, version_id): client = secretmanager.SecretManagerServiceClient() name = f"projects/{project_id}/secrets/{secret_id}/versions/{version_id}" response = client.access_secret_version(name=name) payload = response.payload.data.decode('UTF-8') return payload 使用示例 db_password = access_secret_version("your-project-id", "my-secret", "latest") print(f"Database Password: {db_password}") 这段代码做了什么呢？很简单，它实例化了一个 SecretManagerServiceClient 对象，然后根据提供的项目 ID、密钥名称以及版本号去访问对应的密钥内容。注意这里的 version_id 参数可以设置为 "latest" 来获取最新的版本。 --- 4. 将两者结合起来 构建更安全的应用 那么问题来了，怎么才能让 Tornado 和 Google Cloud Secret Manager 协同工作呢？其实答案很简单——我们可以将从 Secret Manager 获取到的敏感数据注入到 Tornado 的配置对象中，从而在整个应用范围内使用这些信息。 4.1 修改Tornado应用以支持从Secret Manager加载配置 让我们修改之前的 MainHandler 类，让它从 Secret Manager 中加载数据库密码并用于某种操作（比如查询数据库）。为了简化演示，这里我们假设有一个 get_db_password 函数负责完成这项任务： python from google.cloud import secretmanager def get_db_password(): client = secretmanager.SecretManagerServiceClient() name = f"projects/{YOUR_PROJECT_ID}/secrets/my-secret/versions/latest" response = client.access_secret_version(name=name) return response.payload.data.decode('UTF-8') class MainHandler(tornado.web.RequestHandler): def initialize(self, db_password): self.db_password = db_password def get(self): self.write(f"Connected to database with password: {self.db_password}") def make_app(): db_password = get_db_password() return tornado.web.Application([ (r"/", MainHandler, {"db_password": db_password}), ]) 在这个例子中，我们在 make_app 函数中调用了 get_db_password() 来获取数据库密码，并将其传递给 MainHandler 的构造函数作为参数。这样一来，每个 MainHandler 实例都会拥有自己的数据库密码属性。 --- 5. 总结与展望 好了朋友们，今天的分享就到这里啦！通过这篇文章，我们了解了如何利用 Tornado 和 Google Cloud Secret Manager 来构建更加安全可靠的 Web 应用。虽然过程中遇到了不少挑战，但最终的效果还是让我感到非常满意。 未来的话，我还想尝试更多有趣的功能组合，比如结合 Redis 缓存提高性能，或者利用 Pub/Sub 实现消息队列机制。如果你也有类似的想法或者遇到什么问题，欢迎随时跟我交流呀！ 最后祝大家 coding愉快，记得保护好自己的秘密哦~ 😊

...转载内容。原文链接：https://blog.csdn.net/weixin_67474417/article/details/123982900。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。 目录 一.账号安全基本措施 1.系统账号清理 二.密码安全控制： 1.设置密码有效期： 2.要求用户下次登录时改密码 三.命令历史限制与自动注销 1.命令历史限制： 2.终端自动注销： 四.PAM安全认证 1.su的命令的安全隐患 2.什么是PAM 3.PAM认证原理 4.PAM安全认证流程 五.限制使用su命令的用户（pam-wheel认证模块） 1.su命令概述： 2. su命令的用途以及用法： 3.配置su的授权（加入wheel组）（pam_wheel认证模块：）： 4.配置/etc/sudoers文件(授权用户较多的时候使用)： 六.开关机安全控制 1.调整BIOS引导设置 2.GRUB限制 七.终端以及登录控制 1.限制root只在安全终端登录 2..禁止普通用户登录 八.系统弱口令检测 1.JOHN the Ripper，简称为JR 2.安装弱口令账号 3.密码文件的暴力破解 九.网络端口扫描 1.NMAP 2.格式 总结： 一.账号安全基本措施 1.系统账号清理 1.将非登录用户的Shell设为/sbin/nologin （ps：在我们使用Linux系统时，除了用户创建的账号之外，还会产生系统或程序安装过程中产生的许多其他账号，除了超级用户root外，其他账号都是用来维护系统运作的，一般不允许登录，常见的非登录用户有bin、adm、mail、lp、nobody、ftp等。） 格式：usermod -s /sbin/nologin 用户名 2锁定长期不使用的账号： [root@hehe ~] usermod -L test2 锁定用户账号方法一[root@hehe ~] passwd -l test3 锁定用户账号方法二[root@hehe ~] usermod -U test2 解锁用户账号方法一[root@hehe~] passwd -u test3 解锁用户账号方法二查看账户有没有被锁：passwd -S [用户名] 3.删除无用的账号 [root@hehe ~] userdel test1[root@hehe~] userdel -r test2 4.锁定账号文件passwd，shadow [root@hehe ~] chattr +i /etc/passwd /etc/shadow 锁定文件，包括root也无法修改[root@hehe ~] chattr -i /etc/passwd /etc/shadow 解锁文件[root@hehe ~] lsattr /etc/passwd /etc/shadow查看文件状态属性 举个例子： 二.密码安全控制： 1.设置密码有效期： 1.[root@localhost ~] chage -M 60 test3 这种方法适合修改已经存在的用户1​2.[root@localhost ~] vim /etc/login.defs 这种适合以后添加新用户PASS_MAX_DAYS 30 1.这个方法适用于早就已经存在的用户： 2.这个方法适用于新用户 2.要求用户下次登录时改密码： [root@hehe ~] chage -d 0 [用户名] 强制要求用户下次登陆时修改密码 三.命令历史限制与自动注销 1.命令历史限制： 1.减少记录的命令条数 减少记录命令的条数：1.[root@hehe ~] vim /etc/profile 进入配置文件修改限制命令条数。适合新用户HISTSIZE=200 修改限制命令为200条，系统默认是1000条profile [root@lhehe ~] source /etc/ 刷新配置文件，使文件立即生效2.[root@hehe~] export HISTSIZE=200 适用于当前（之后）用户[root@hehe~] source /etc/profile [root@hehe ~] source /etc/profile 刷新配置文件，使文件立即生效 1.减少记录命令的条数（适用之前的用户）： 2.注销时自动清空命令历史 3. 注销时自动清空命令：[root@hehe ~] vim ~/.bash_logout（临时清除，重启缓存的话还在）echo "" > ~/.bash_history（永久删除）history是查你使用过的命令 2.终端自动注销： 1.闲置600秒后自动注销 闲置600秒后自动注销：[root@hehe ~]vim .bash_profile 进入配置文件export TMOUT=600 全局声明超过60秒闲置后自动注销终端[root@hehe ~] source .bash_profile [root@hehe ~] echo $TMOUT[root@hehe ~] export TMOUT=600 如果不在配置文件输入这条命令，那么是对当前用户生效​[root@hehe ~]vim .bash_profile export TMOUT=600 注释掉这条命令，就不会自动注销了 四.PAM安全认证 1.su的命令的安全隐患 1.，默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户(如root) 的登录密码，带来安全风险； 2.为了加强su命令的使用控制，可借助于PAM认证模块,只允许极个别用户使用su命令进行切换。 2.什么是PAM 1.PAM(Pluggable Authentication Modules)可插拔式认证模块 2.是一种高效而且灵活便利的用户级别的认证方式； 3.也是当前Linux服务器普遍使用的认证方式。 4.PAM提供了对所有服务进行认证的中央机制，适用于login，远程登陆，su等应用 5.系统管理员通过PAM配置文件来制定不同的应用程序的不同认证策略 3.PAM认证原理 1.PAM认证一般遵循的顺序: Service (服务) --> PAM (配置文件) --> pam_.so;， 2.PAM认证首先要确定哪一项应用服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认 模块(位于/lib64/security/下）进行安全认证。 3.用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM模块也是不同的。 4.如果想查看某个程序是否支持PAM认证，可以用ls命令进行查看/etc/pam.d/。 ls /etc/pam.d/ | grep su 5.PAM的配置文件中的每一行都是一个独立的认证过程，它们按从上往下的顺序依次由PAM模块调用。 4.PAM安全认证流程 控制类型也称做Control Flags，用于PAM验证类型的返回结果 用户1 用户2 用户3 用户4 auth required 模块1 pass fail pass pass auth sufficient 模块2 pass pass fail pass auth required 模块3 pass pass pass fail 结果 pass fail pass pass 4 五.限制使用su命令的用户（pam-wheel认证模块） 1.su命令概述： 通过su命令可以非常方便切换到另一个用户，但前提条件是必须知道用户登录密码。对于生产环境中的Linux服务器，每多一个人知道特权密码，安全风险就多一分。于是就多了一种折中的办法，使用sudo命令提升执行权限，不过需要由管理员预先进行授权， 指定用户使用某些命令： 2. su命令的用途以及用法： 用途：以其他用户身份（如root）执行授权命令用法：sudo 授权命令 3.配置su的授权（加入wheel组）（pam_wheel认证模块：）： 进入授权命令：1.visudo 或者 vim /etc/sudoers语法格式：1.用户 主机名=命令程序列表2.用户 主机名=（用户）命令程序列表-l：列出用户在主机上可用的和被禁止的命令;一般配置好/etc/sudoers后，要用这个命令来查看和测试是不是配置正确的;-v：验证用户的时间戳;如果用户运行sudo后，输入用户的密码后，在短时间内可以不用输入口令来直接进行sudo操作;用-v可以跟踪最新的时间戳;-u：指定以以某个用户执行特定操作;-k：删除时间戳，下一个sudo命令要求用求提供密码; 1.首先创建3个组 2.vim /etc/pam.d/su把第六行注释去掉保存退出 1. 以上两行是默认状态(即开启第一行，注释第二行)，这种状态下是允许所有用户间使用su命令进行切换的 2.两行都注释也是运行所有用户都能使用su命令，但root下使用su切换到其他普通用户需要输入密码: 3.如果第–行不注释，则root 使用su切换普通用户就不需要输入密码( pam_ rootok. so模块的主要作用是使uid为0的用户，即root用户能够直接通过认证而不用输入密码。) 4.如果开启第二行，表示只有root用户和wheel1组内的用户才可以使用su命令。 5.如果注释第一行，开启第二行，表示只有whee1组内的用户才能使用su命令，root用户也被禁用su命令。 3.将liunan加入到wheel之后，hehe就有了使用su命令的权限 4.使用pam_wheel认证后，没有在wheel里的用户都不能再用su 5.whoami命令确定当前用户是谁 4.配置/etc/sudoers文件(授权用户较多的时候使用)： visudo单个授权visudo 或者 vim /etc/sudoers记录格式：user MACHINE=COMMANDS可以使用通配符“ ”号任意值和“ ！”号进行取反操作。%组名代表一整个组权限生效后，输入密码后5分钟可以不用重新输入密码。例如：visudo命令下user kiro=(root)NOPASSWD:/usr/sbin/useradd,PASSWD:/usr/sbin/usermod代表 kiro主机里的user用户，可以无密码使用useradd命令，有密码使用usermod/etc/sudoers多个授权Host_Alias MYHOST= localhost 主机别名：主机名、IP、网络地址、其他主机别名!取反Host_Alias MAILSVRS=smtp,pop（主机名）User_Alias MYUSER = kiro，user1,lisi 用户别名：包含用户、用户组（%组名（使用引导))、还可以包含其他其他已经用户的别名User_Alias OPERATORS=zhangsan,tom,lisi（需要授权的用户）Cmnd_Alias MYCMD = /sbin/,/usr/bin/passwd 命令路劲、目录（此目录内的所有命令)、其他事先定义过的命令别名Cmnd_Alias PKGTOOLS=/bin/rpm,/usr/bin/yum（授权）MYUSER MYHOST = NOPASSWD : MYCMDDS 授权格式sudo -l 查询目前sudo操作查看sudo操作记录需启用Defaults logfile配置默认日志文件: /var/log/sudosudo -l 查看当前用户获得哪些sudo授权（启动日志文件后，sudo操作过程才会被记录） 1.首先用visudo 或者 vim /etc/sudoers进入，输入需要授权的命令 2.切换到taojian用户，因为设置了它不能使用创建用户的命令所以无法创建 六.开关机安全控制 1.调整BIOS引导设置 1.将第一引导设备设为当前系统所在硬盘2.禁止从其他设备(光盘、U盘、网络)引导系统3.将安全级别设为setup，并设置管理员密码 2.GRUB限制 1.使用grub2-mkpasswd-pbkdf2生成密钥2.修改/etclgrub.d/00_header文件中，添加密码记录3.生成新的grub.cfg配置文件 方法一： 通常情况下在系统开机进入GRUB菜单时，按e键可以查看并修改GRUB引导参数，这对服务器是一个极大的威胁。可以为GRUB菜单设置一个密码，只有提供正确的密码才被允许修改引导参数。grub2-mkpasswd-pbkdf2 根据提示设置GRUB菜单的密码PBKDF2 hash of your password is grub.pbkd..... 省略部分内容为经过加密生成的密码字符串cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg.bak 8cp /etc/grub.d/00_header /etc/grub.d/00_header.bak 9vim /etc/grub.d/00_headercat << EOFset superusers="root" 设置用户名为rootpassword_pbkdf2 root grub.pbkd2..... 设置密码，省略部分内容为经过加密生成的密码字符串EOF16grub2-mkconfig -o /boot/grub2/grub.cfg 生成新的grub.cfg文件重启系统进入GRUB菜单时，按e键将需要输入账号密码才能修改引导参数。 方法二： 1.一步到位2.grub2-setpassword 七.终端以及登录控制 1.限制root只在安全终端登录 ​安全终端配置文件在 /etc/securetty 2..禁止普通用户登录 1.建立/etc/nologin文件 2.删除nologin文件或重启后即恢复正常 vim /etc/securetty在端口前加号拒绝访问touch /etc/nologin 禁止普通用户登录rm -rf /etc/nologin 取消禁止 八.系统弱口令检测 1.JOHN the Ripper，简称为JR 1.一款密码分析工具，支持字典式的暴力破解2.通过对shadow文件的口令分析，可以检测密码强度3.官网网站：http://www.openwall.com/john/ 2.安装弱口令账号 1.获得Linux/Unix服务器的shadow文件2.执行john程序，讲shadow文件作为参数 3.密码文件的暴力破解 1.准备好密码字典文件，默认为password.lst2.执行john程序，结合--wordlist=字典文件 九.网络端口扫描 1.NMAP 1.—款强大的网络扫描、安全检测工具,支持ping扫描，多端口检测等多种技术。2.官方网站: http://nmap.orgl3.CentOS 7.3光盘中安装包,nmap-6.40-7.el7.x86_64.rpm 2.格式 NMAP [扫描类型] [选项] <扫描目标....> 安装NMAP软件包rpm -qa | grep nmapyum install -y nmapnmap命令常用的选项和扫描类型-p：指定扫描的端口。-n：禁用反向DNS 解析 (以加快扫描速度)。-sS：TCP的SYN扫描（半开扫描)，只向目标发出SYN数据包，如果收到SYN/ACK响应包就认为目标端口正在监听，并立即断开连接;否则认为目标端口并未开放。-sT：TCP连接扫描，这是完整的TCP扫描方式(默认扫描类型)，用来建立一个TCP连接，如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放。-sF：TCP的FIN扫描，开放的端口会忽略这种数据包，关闭的端口会回应RST数据包。许多防火墙只对SYN数据包进行简单过滤，而忽略了其他形式的TCP attack 包。这种类型的扫描可间接检测防火墙的健壮性。-sU：UDP扫描，探测目标主机提供哪些UDP服务，UDP扫描的速度会比较慢。-sP：ICMP扫描，类似于ping检测，快速判断目标主机是否存活，不做其他扫描。-P0：跳过ping检测，这种方式认为所有的目标主机是存活的，当对方不响应ICMP请求时，使用这种方式可以避免因无法 ping通而放弃扫描。 总结： 1.账号基本安全措施：系统账号处理、密码安全控制、命令历史清理、自动注销 2.用户切换与提权（su、sudo） 3.开关机安全控制（BIOS引导设置、禁止Ctrl+Alt+Del快捷键、GRUB菜单设置密码） 4.终端控制 5.弱口令检测——John the Ripper 6.端口扫描——namp 本篇文章为转载内容。原文链接：https://blog.csdn.net/weixin_67474417/article/details/123982900。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...转载内容。原文链接：https://blog.csdn.net/qq_27184497/article/details/121765387。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。 pod的创建方式 在k8s中，可以将pod的创建方式分为2类 自主式pod： 由k8s直接创建出来的pod，这种pod删除之后就没有了，也不会重建 kubectl run mynginx --image=nginx 控制器创建的pod： 通过控制器创建的pod，这种pod删除了之后会自动重建； kubectl create deployment mynginx --image=nginx:1.17.1 什么是pod控制器 Pod控制器是管理pod的中间层，使用Pod控制器之后，只需要告诉Pod控制器，想要多少个什么样的Pod就可以了，它会创建出满足条件的Pod并确保每一个Pod资源处于用户期望的目标状态。如果Pod资源在运行中出现故障，它会基于指定策略重新编排Pod。 控制器的种类 在kubernetes有很多种类型的pod控制器，每种都有自己的使用场景 ReplicationController：比较原始的pod控制器，已经被废弃，由ReplicaSet替代 ReplicaSet：保证副本数量一直维持在期望值，并支持pod数量扩缩容，镜像版本升级 Deployment：通过控制ReplicaSet来控制Pod，并支持滚动升级、回退版本 Horizontal Pod Autoscaler：可以根据集群负载自动水平调整Pod的数量，实现削峰填谷 DaemonSet：在集群中的指定Node上运行且仅运行一个副本，一般用于守护进程类的任务 Job：它创建出来的pod只要完成任务就立即退出，不需要重启或重建，用于执行一次性任务 Cronjob：它创建的Pod负责周期性任务控制，不需要持续后台运行，可以理解为是定时任务； StatefulSet：管理有状态应用 1、ReplicaSet 简称为RS，主要的作用是保证一定数量的pod能够正常运行，它会持续监听这些pod的运行状态，提供了以下功能 自愈能力： 重启 ：当某节点中的pod运行过程中出现问题导致无法启动时，k8s会不断重启，直到可用状态为止 故障转移：当正在运行中pod所在的节点发生故障或者宕机时，k8s会选择集群中另一个可用节点，将pod运行到可用节点上； pod数量的扩缩容：pod副本的扩容和缩容 镜像升降级：支持镜像版本的升级和降级； 配置模板 rs的所有配置如下 apiVersion: apps/v1 版本号kind: ReplicaSet 类型 metadata: 元数据name: rs名称 namespace: 所属命名空间 labels: 标签controller: rsspec: 详情描述replicas: 3 副本数量selector: 选择器，通过它指定该控制器管理哪些podmatchLabels: Labels匹配规则app: nginx-podmatchExpressions: Expressions匹配规则，key就是label的key，values的值是个数组，意思是标签值必须是此数组中的其中一个才能匹配上；- {key: app, operator: In, values: [nginx-pod]}template: 模板，当副本数量不足时，会根据下面的模板创建pod副本metadata:labels: 这里的标签必须和上面的matchLabels一致，将他们关联起来app: nginx-podspec:containers:- name: nginximage: nginx:1.17.1ports:- containerPort: 80 1、创建一个ReplicaSet 新建一个文件 rs.yaml，内容如下 apiVersion: apps/v1kind: ReplicaSet pod控制器metadata: 元数据name: pc-replicaset 名字namespace: dev 名称空间spec:replicas: 3 副本数selector: 选择器，通过它指定该控制器管理哪些podmatchLabels: Labels匹配规则app: nginx-podtemplate: 模板，当副本数量不足时，会根据下面的模板创建pod副本metadata:labels:app: nginx-podspec:containers:- name: nginximage: nginx:1.17.1 运行 kubectl create -f rs.yaml 获取replicaset kubectl get replicaset -n dev 2、扩缩容 刚刚我们已经用第一种方式创建了一个replicaSet，现在就基于原来的rs进行扩容，原来的副本数量是3个，现在我们将其扩到6个，做法也很简单，运行编辑命令 第一种方式: scale 使用scale命令实现扩缩容，后面--replicas=n直接指定目标数量即可kubectl scale rs pc-replicaset --replicas=2 -n dev 第二种方式：使用edit命令编辑rs 这种方式相当于使用vi编辑修改yaml配置的内容，进去后将replicas的值改为1，保存后自动生效kubectl edit rs pc-replicaset -n dev 3、镜像版本变更 第一种方式：scale kubectl scale rs pc-replicaset nginx=nginx:1.71.2 -n dev 第二种方式：edit 这种方式相当于使用vi编辑修改yaml配置的内容，进去后将nginx的值改为nginx:1.71.2，保存后自动生效kubectl edit rs pc-replicaset -n dev 4、删除rs 第一种方式kubectl delete -f rs.yaml 第二种方式 ,如果想要只删rs，但不删除pod，可在删除时加上--cascade=false参数（不推荐）kubectl delete rs pc-replicaset -n dev --cascade=false 2、Deployment k8s v1.2版本后加入Deployment；这种控制器不直接控制pod，而是通过管理ReplicaSet来间接管理pod；也就是Deployment管理ReplicaSet，ReplicaSet管理pod；所以 Deployment 比 ReplicaSet 功能更加强大 当我们创建了一个Deployment之后，也会自动创建一个ReplicaSet 功能 支持ReplicaSet 的所有功能 支持发布的停止、继续 支持版本的滚动更新和回退功能 配置模板 新建文件 apiVersion: apps/v1 版本号kind: Deployment 类型 metadata: 元数据name: rs名称 namespace: 所属命名空间 labels: 标签controller: deployspec: 详情描述replicas: 3 副本数量revisionHistoryLimit: 3 保留历史版本的数量，默认10，内部通过保留rs来实现paused: false 暂停部署，默认是falseprogressDeadlineSeconds: 600 部署超时时间（s），默认是600strategy: 策略type: RollingUpdate 滚动更新策略rollingUpdate: 滚动更新maxSurge: 30% 最大额外可以存在的副本数，可以为百分比，也可以为整数maxUnavailable: 30% 最大不可用状态的 Pod 的最大值，可以为百分比，也可以为整数selector: 选择器，通过它指定该控制器管理哪些podmatchLabels: Labels匹配规则app: nginx-podmatchExpressions: Expressions匹配规则- {key: app, operator: In, values: [nginx-pod]}template: 模板，当副本数量不足时，会根据下面的模板创建pod副本metadata:labels:app: nginx-podspec:containers:- name: nginximage: nginx:1.17.1ports:- containerPort: 80 1、创建和删除Deployment 创建pc-deployment.yaml，内容如下： apiVersion: apps/v1kind: Deployment metadata:name: pc-deploymentnamespace: devspec: replicas: 3selector:matchLabels:app: nginx-podtemplate:metadata:labels:app: nginx-podspec:containers:- name: nginximage: nginx:1.17.1 创建和查看 创建deployment，--record=true 表示记录整个deployment更新过程[root@k8s-master01 ~] kubectl create -f pc-deployment.yaml --record=truedeployment.apps/pc-deployment created 查看deployment READY 可用的/总数 UP-TO-DATE 最新版本的pod的数量 AVAILABLE 当前可用的pod的数量[root@k8s-master01 ~] kubectl get deploy pc-deployment -n devNAME READY UP-TO-DATE AVAILABLE AGEpc-deployment 3/3 3 3 15s 查看rs 发现rs的名称是在原来deployment的名字后面添加了一个10位数的随机串[root@k8s-master01 ~] kubectl get rs -n devNAME DESIRED CURRENT READY AGEpc-deployment-6696798b78 3 3 3 23s 查看pod[root@k8s-master01 ~] kubectl get pods -n devNAME READY STATUS RESTARTS AGEpc-deployment-6696798b78-d2c8n 1/1 Running 0 107spc-deployment-6696798b78-smpvp 1/1 Running 0 107spc-deployment-6696798b78-wvjd8 1/1 Running 0 107s 删除deployment 删除deployment，其下的rs和pod也将被删除kubectl delete -f pc-deployment.yaml 2、扩缩容 deployment的扩缩容和 ReplicaSet 的扩缩容一样，只需要将rs或者replicaSet改为deployment即可，具体请参考上面的 ReplicaSet 扩缩容 3、镜像更新 刚刚在创建时加上了--record=true参数，所以在一旦进行了镜像更新，就会新建出一个pod出来，将老的old-pod上的容器全删除，然后在新的new-pod上在新建对应数量的容器，此时old-pod是不会删除的，因为这个old-pod是要进行回退的； 镜像更新策略有2种 滚动更新（RollingUpdate）：（默认值），杀死一部分，就启动一部分，在更新过程中，存在两个版本Pod 重建更新（Recreate）：在创建出新的Pod之前会先杀掉所有已存在的Pod strategy：指定新的Pod替换旧的Pod的策略， 支持两个属性：type：指定策略类型，支持两种策略Recreate：在创建出新的Pod之前会先杀掉所有已存在的PodRollingUpdate：滚动更新，就是杀死一部分，就启动一部分，在更新过程中，存在两个版本PodrollingUpdate：当type为RollingUpdate时生效，用于为RollingUpdate设置参数，支持两个属性：maxUnavailable：用来指定在升级过程中不可用Pod的最大数量，默认为25%。maxSurge： 用来指定在升级过程中可以超过期望的Pod的最大数量，默认为25%。 重建更新 编辑pc-deployment.yaml,在spec节点下添加更新策略 spec:strategy: 策略type: Recreate 重建更新 创建deploy进行验证 变更镜像[root@k8s-master01 ~] kubectl set image deployment pc-deployment nginx=nginx:1.17.2 -n devdeployment.apps/pc-deployment image updated 观察升级过程[root@k8s-master01 ~] kubectl get pods -n dev -wNAME READY STATUS RESTARTS AGEpc-deployment-5d89bdfbf9-65qcw 1/1 Running 0 31spc-deployment-5d89bdfbf9-w5nzv 1/1 Running 0 31spc-deployment-5d89bdfbf9-xpt7w 1/1 Running 0 31spc-deployment-5d89bdfbf9-xpt7w 1/1 Terminating 0 41spc-deployment-5d89bdfbf9-65qcw 1/1 Terminating 0 41spc-deployment-5d89bdfbf9-w5nzv 1/1 Terminating 0 41spc-deployment-675d469f8b-grn8z 0/1 Pending 0 0spc-deployment-675d469f8b-hbl4v 0/1 Pending 0 0spc-deployment-675d469f8b-67nz2 0/1 Pending 0 0spc-deployment-675d469f8b-grn8z 0/1 ContainerCreating 0 0spc-deployment-675d469f8b-hbl4v 0/1 ContainerCreating 0 0spc-deployment-675d469f8b-67nz2 0/1 ContainerCreating 0 0spc-deployment-675d469f8b-grn8z 1/1 Running 0 1spc-deployment-675d469f8b-67nz2 1/1 Running 0 1spc-deployment-675d469f8b-hbl4v 1/1 Running 0 2s 滚动更新 编辑pc-deployment.yaml,在spec节点下添加更新策略 spec:strategy: 策略type: RollingUpdate 滚动更新策略rollingUpdate:maxSurge: 25% maxUnavailable: 25% 创建deploy进行验证 变更镜像[root@k8s-master01 ~] kubectl set image deployment pc-deployment nginx=nginx:1.17.3 -n dev deployment.apps/pc-deployment image updated 观察升级过程[root@k8s-master01 ~] kubectl get pods -n dev -wNAME READY STATUS RESTARTS AGEpc-deployment-c848d767-8rbzt 1/1 Running 0 31mpc-deployment-c848d767-h4p68 1/1 Running 0 31mpc-deployment-c848d767-hlmz4 1/1 Running 0 31mpc-deployment-c848d767-rrqcn 1/1 Running 0 31mpc-deployment-966bf7f44-226rx 0/1 Pending 0 0spc-deployment-966bf7f44-226rx 0/1 ContainerCreating 0 0spc-deployment-966bf7f44-226rx 1/1 Running 0 1spc-deployment-c848d767-h4p68 0/1 Terminating 0 34mpc-deployment-966bf7f44-cnd44 0/1 Pending 0 0spc-deployment-966bf7f44-cnd44 0/1 ContainerCreating 0 0spc-deployment-966bf7f44-cnd44 1/1 Running 0 2spc-deployment-c848d767-hlmz4 0/1 Terminating 0 34mpc-deployment-966bf7f44-px48p 0/1 Pending 0 0spc-deployment-966bf7f44-px48p 0/1 ContainerCreating 0 0spc-deployment-966bf7f44-px48p 1/1 Running 0 0spc-deployment-c848d767-8rbzt 0/1 Terminating 0 34mpc-deployment-966bf7f44-dkmqp 0/1 Pending 0 0spc-deployment-966bf7f44-dkmqp 0/1 ContainerCreating 0 0spc-deployment-966bf7f44-dkmqp 1/1 Running 0 2spc-deployment-c848d767-rrqcn 0/1 Terminating 0 34m 至此，新版本的pod创建完毕，就版本的pod销毁完毕 中间过程是滚动进行的，也就是边销毁边创建 4、版本回退 更新 刚刚在创建时加上了--record=true参数，所以在一旦进行了镜像更新，就会新建出一个pod出来，将老的old-pod上的容器全删除，然后在新的new-pod上在新建对应数量的容器，此时old-pod是不会删除的，因为这个old-pod是要进行回退的； 回退 在回退时会将new-pod上的容器全部删除，在将old-pod上恢复原来的容器； 回退命令 kubectl rollout： 版本升级相关功能，支持下面的选项： status 显示当前升级状态 history 显示 升级历史记录 pause 暂停版本升级过程 resume 继续已经暂停的版本升级过程 restart 重启版本升级过程 undo 回滚到上一级版本（可以使用–to-revision回滚到指定版本） 用法 查看当前升级版本的状态kubectl rollout status deploy pc-deployment -n dev 查看升级历史记录kubectl rollout history deploy pc-deployment -n dev 版本回滚 这里直接使用--to-revision=1回滚到了1版本， 如果省略这个选项，就是回退到上个版本kubectl rollout undo deployment pc-deployment --to-revision=1 -n dev 金丝雀发布 Deployment控制器支持控制更新过程中的控制，如“暂停(pause)”或“继续(resume)”更新操作。 比如有一批新的Pod资源创建完成后立即暂停更新过程，此时，仅存在一部分新版本的应用，主体部分还是旧的版本。然后，再筛选一小部分的用户请求路由到新版本的Pod应用，继续观察能否稳定地按期望的方式运行。确定没问题之后再继续完成余下的Pod资源滚动更新，否则立即回滚更新操作。这就是所谓的金丝雀发布。 金丝雀发布不是自动完成的，需要人为手动去操作，才能达到金丝雀发布的标准； 更新deployment的版本，并配置暂停deploymentkubectl set image deploy pc-deployment nginx=nginx:1.17.4 -n dev && kubectl rollout pause deployment pc-deployment -n dev 观察更新状态kubectl rollout status deploy pc-deployment -n dev　 监控更新的过程kubectl get rs -n dev -o wide 确保更新的pod没问题了，继续更新kubectl rollout resume deploy pc-deployment -n dev 如果有问题，就回退到上个版本回退到上个版本kubectl rollout undo deployment pc-deployment -n dev Horizontal Pod Autoscaler 简称HPA，使用deployment可以手动调整pod的数量来实现扩容和缩容；但是这显然不符合k8s的自动化的定位，k8s期望可以通过检测pod的使用情况，实现pod数量自动调整，于是就有了HPA控制器； HPA可以获取每个Pod利用率，然后和HPA中定义的指标进行对比，同时计算出需要伸缩的具体值，最后实现Pod的数量的调整。比如说我指定了一个规则：当我的cpu利用率达到90%或者内存使用率到达80%的时候，就需要进行调整pod的副本数量，每次添加n个pod副本； 其实HPA与之前的Deployment一样，也属于一种Kubernetes资源对象，它通过追踪分析ReplicaSet控制器的所有目标Pod的负载变化情况，来确定是否需要针对性地调整目标Pod的副本数，也就是HPA管理Deployment，Deployment管理ReplicaSet，ReplicaSet管理pod，这是HPA的实现原理。 1、安装metrics-server metrics-server可以用来收集集群中的资源使用情况 安装git[root@k8s-master01 ~] yum install git -y 获取metrics-server, 注意使用的版本[root@k8s-master01 ~] git clone -b v0.3.6 https://github.com/kubernetes-incubator/metrics-server 修改deployment, 注意修改的是镜像和初始化参数[root@k8s-master01 ~] cd /root/metrics-server/deploy/1.8+/[root@k8s-master01 1.8+] vim metrics-server-deployment.yaml按图中添加下面选项hostNetwork: trueimage: registry.cn-hangzhou.aliyuncs.com/google_containers/metrics-server-amd64:v0.3.6args:- --kubelet-insecure-tls- --kubelet-preferred-address-types=InternalIP,Hostname,InternalDNS,ExternalDNS,ExternalIP 2、安装metrics-server [root@k8s-master01 1.8+] kubectl apply -f ./ 3、查看pod运行情况 [root@k8s-master01 1.8+] kubectl get pod -n kube-systemmetrics-server-6b976979db-2xwbj 1/1 Running 0 90s 4、使用kubectl top node 查看资源使用情况 [root@k8s-master01 1.8+] kubectl top nodeNAME CPU(cores) CPU% MEMORY(bytes) MEMORY%k8s-master01 289m 14% 1582Mi 54% k8s-node01 81m 4% 1195Mi 40% k8s-node02 72m 3% 1211Mi 41% [root@k8s-master01 1.8+] kubectl top pod -n kube-systemNAME CPU(cores) MEMORY(bytes)coredns-6955765f44-7ptsb 3m 9Micoredns-6955765f44-vcwr5 3m 8Mietcd-master 14m 145Mi... 至此,metrics-server安装完成 5、 准备deployment和servie 创建pc-hpa-pod.yaml文件，内容如下： apiVersion: apps/v1kind: Deploymentmetadata:name: nginxnamespace: devspec:strategy: 策略type: RollingUpdate 滚动更新策略replicas: 1selector:matchLabels:app: nginx-podtemplate:metadata:labels:app: nginx-podspec:containers:- name: nginximage: nginx:1.17.1resources: 资源配额limits: 限制资源（上限）cpu: "1" CPU限制，单位是core数requests: 请求资源（下限）cpu: "100m" CPU限制，单位是core数 创建deployment [root@k8s-master01 1.8+] kubectl run nginx --image=nginx:1.17.1 --requests=cpu=100m -n dev 6、创建service [root@k8s-master01 1.8+] kubectl expose deployment nginx --type=NodePort --port=80 -n dev 7、查看 [root@k8s-master01 1.8+] kubectl get deployment,pod,svc -n devNAME READY UP-TO-DATE AVAILABLE AGEdeployment.apps/nginx 1/1 1 1 47sNAME READY STATUS RESTARTS AGEpod/nginx-7df9756ccc-bh8dr 1/1 Running 0 47sNAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGEservice/nginx NodePort 10.101.18.29 <none> 80:31830/TCP 35s 8、 部署HPA 创建pc-hpa.yaml文件，内容如下： apiVersion: autoscaling/v1kind: HorizontalPodAutoscalermetadata:name: pc-hpanamespace: devspec:minReplicas: 1 最小pod数量maxReplicas: 10 最大pod数量 ，pod数量会在1~10之间自动伸缩targetCPUUtilizationPercentage: 3 CPU使用率指标，如果cpu使用率达到3%就会进行扩容；为了测试方便，将这个数值调小一些scaleTargetRef: 指定要控制的nginx信息apiVersion: /v1kind: Deploymentname: nginx 创建hpa [root@k8s-master01 1.8+] kubectl create -f pc-hpa.yamlhorizontalpodautoscaler.autoscaling/pc-hpa created 查看hpa [root@k8s-master01 1.8+] kubectl get hpa -n devNAME REFERENCE TARGETS MINPODS MAXPODS REPLICAS AGEpc-hpa Deployment/nginx 0%/3% 1 10 1 62s 9、 测试 使用压测工具对service地址192.168.5.4:31830进行压测，然后通过控制台查看hpa和pod的变化 hpa变化 [root@k8s-master01 ~] kubectl get hpa -n dev -wNAME REFERENCE TARGETS MINPODS MAXPODS REPLICAS AGEpc-hpa Deployment/nginx 0%/3% 1 10 1 4m11spc-hpa Deployment/nginx 0%/3% 1 10 1 5m19spc-hpa Deployment/nginx 22%/3% 1 10 1 6m50spc-hpa Deployment/nginx 22%/3% 1 10 4 7m5spc-hpa Deployment/nginx 22%/3% 1 10 8 7m21spc-hpa Deployment/nginx 6%/3% 1 10 8 7m51spc-hpa Deployment/nginx 0%/3% 1 10 8 9m6spc-hpa Deployment/nginx 0%/3% 1 10 8 13mpc-hpa Deployment/nginx 0%/3% 1 10 1 14m deployment变化 [root@k8s-master01 ~] kubectl get deployment -n dev -wNAME READY UP-TO-DATE AVAILABLE AGEnginx 1/1 1 1 11mnginx 1/4 1 1 13mnginx 1/4 1 1 13mnginx 1/4 1 1 13mnginx 1/4 4 1 13mnginx 1/8 4 1 14mnginx 1/8 4 1 14mnginx 1/8 4 1 14mnginx 1/8 8 1 14mnginx 2/8 8 2 14mnginx 3/8 8 3 14mnginx 4/8 8 4 14mnginx 5/8 8 5 14mnginx 6/8 8 6 14mnginx 7/8 8 7 14mnginx 8/8 8 8 15mnginx 8/1 8 8 20mnginx 8/1 8 8 20mnginx 1/1 1 1 20m pod变化 [root@k8s-master01 ~] kubectl get pods -n dev -wNAME READY STATUS RESTARTS AGEnginx-7df9756ccc-bh8dr 1/1 Running 0 11mnginx-7df9756ccc-cpgrv 0/1 Pending 0 0snginx-7df9756ccc-8zhwk 0/1 Pending 0 0snginx-7df9756ccc-rr9bn 0/1 Pending 0 0snginx-7df9756ccc-cpgrv 0/1 ContainerCreating 0 0snginx-7df9756ccc-8zhwk 0/1 ContainerCreating 0 0snginx-7df9756ccc-rr9bn 0/1 ContainerCreating 0 0snginx-7df9756ccc-m9gsj 0/1 Pending 0 0snginx-7df9756ccc-g56qb 0/1 Pending 0 0snginx-7df9756ccc-sl9c6 0/1 Pending 0 0snginx-7df9756ccc-fgst7 0/1 Pending 0 0snginx-7df9756ccc-g56qb 0/1 ContainerCreating 0 0snginx-7df9756ccc-m9gsj 0/1 ContainerCreating 0 0snginx-7df9756ccc-sl9c6 0/1 ContainerCreating 0 0snginx-7df9756ccc-fgst7 0/1 ContainerCreating 0 0snginx-7df9756ccc-8zhwk 1/1 Running 0 19snginx-7df9756ccc-rr9bn 1/1 Running 0 30snginx-7df9756ccc-m9gsj 1/1 Running 0 21snginx-7df9756ccc-cpgrv 1/1 Running 0 47snginx-7df9756ccc-sl9c6 1/1 Running 0 33snginx-7df9756ccc-g56qb 1/1 Running 0 48snginx-7df9756ccc-fgst7 1/1 Running 0 66snginx-7df9756ccc-fgst7 1/1 Terminating 0 6m50snginx-7df9756ccc-8zhwk 1/1 Terminating 0 7m5snginx-7df9756ccc-cpgrv 1/1 Terminating 0 7m5snginx-7df9756ccc-g56qb 1/1 Terminating 0 6m50snginx-7df9756ccc-rr9bn 1/1 Terminating 0 7m5snginx-7df9756ccc-m9gsj 1/1 Terminating 0 6m50snginx-7df9756ccc-sl9c6 1/1 Terminating 0 6m50s DaemonSet 简称DS，ds可以保证在集群中的每一台节点（或指定节点）上都运行一个副本，一般适用于日志收集、节点监控等场景；也就是说，如果一个Pod提供的功能是节点级别的（每个节点都需要且只需要一个），那么这类Pod就适合使用DaemonSet类型的控制器创建。 DaemonSet控制器的特点： 每当向集群中添加一个节点时，指定的 Pod 副本也将添加到该节点上 当节点从集群中移除时，Pod 也就被垃圾回收了 配置模板 apiVersion: apps/v1 版本号kind: DaemonSet 类型 metadata: 元数据name: rs名称 namespace: 所属命名空间 labels: 标签controller: daemonsetspec: 详情描述revisionHistoryLimit: 3 保留历史版本updateStrategy: 更新策略type: RollingUpdate 滚动更新策略rollingUpdate: 滚动更新maxUnavailable: 1 最大不可用状态的 Pod 的最大值，可以为百分比，也可以为整数selector: 选择器，通过它指定该控制器管理哪些podmatchLabels: Labels匹配规则app: nginx-podmatchExpressions: Expressions匹配规则- {key: app, operator: In, values: [nginx-pod]}template: 模板，当副本数量不足时，会根据下面的模板创建pod副本metadata:labels:app: nginx-podspec:containers:- name: nginximage: nginx:1.17.1ports:- containerPort: 80 1、创建ds 创建pc-daemonset.yaml，内容如下： apiVersion: apps/v1kind: DaemonSet metadata:name: pc-daemonsetnamespace: devspec: selector:matchLabels:app: nginx-podtemplate:metadata:labels:app: nginx-podspec:containers:- name: nginximage: nginx:1.17.1 运行 创建daemonset[root@k8s-master01 ~] kubectl create -f pc-daemonset.yamldaemonset.apps/pc-daemonset created 查看daemonset[root@k8s-master01 ~] kubectl get ds -n dev -o wideNAME DESIRED CURRENT READY UP-TO-DATE AVAILABLE AGE CONTAINERS IMAGES pc-daemonset 2 2 2 2 2 24s nginx nginx:1.17.1 查看pod,发现在每个Node上都运行一个pod[root@k8s-master01 ~] kubectl get pods -n dev -o wideNAME READY STATUS RESTARTS AGE IP NODE pc-daemonset-9bck8 1/1 Running 0 37s 10.244.1.43 node1 pc-daemonset-k224w 1/1 Running 0 37s 10.244.2.74 node2 2、删除daemonset [root@k8s-master01 ~] kubectl delete -f pc-daemonset.yamldaemonset.apps "pc-daemonset" deleted Job 主要用于负责批量处理一次性(每个任务仅运行一次就结束)任务。当然，你也可以运行多次，配置好即可，Job特点如下： 当Job创建的pod执行成功结束时，Job将记录成功结束的pod数量 当成功结束的pod达到指定的数量时，Job将完成执行 配置模板 apiVersion: batch/v1 版本号kind: Job 类型 metadata: 元数据name: rs名称 namespace: 所属命名空间 labels: 标签controller: jobspec: 详情描述completions: 1 指定job需要成功运行Pods的次数。默认值: 1parallelism: 1 指定job在任一时刻应该并发运行Pods的数量。默认值: 1activeDeadlineSeconds: 30 指定job可运行的时间期限，超过时间还未结束，系统将会尝试进行终止。backoffLimit: 6 指定job失败后进行重试的次数。默认是6manualSelector: true 是否可以使用selector选择器选择pod，默认是falseselector: 选择器，通过它指定该控制器管理哪些podmatchLabels: Labels匹配规则app: counter-podmatchExpressions: Expressions匹配规则- {key: app, operator: In, values: [counter-pod]}template: 模板，当副本数量不足时，会根据下面的模板创建pod副本metadata:labels:app: counter-podspec:restartPolicy: Never 重启策略只能设置为Never或者OnFailurecontainers:- name: counterimage: busybox:1.30command: ["bin/sh","-c","for i in 9 8 7 6 5 4 3 2 1; do echo $i;sleep 2;done"] 关于重启策略设置的说明：（这里只能设置为Never或者OnFailure） 如果指定为OnFailure，则job会在pod出现故障时重启容器，而不是创建pod，failed次数不变 如果指定为Never，则job会在pod出现故障时创建新的pod，并且故障pod不会消失，也不会重启，failed次数加1 如果指定为Always的话，就意味着一直重启，意味着job任务会重复去执行了，当然不对，所以不能设置为Always 1、创建一个job 创建pc-job.yaml，内容如下： apiVersion: batch/v1kind: Job metadata:name: pc-jobnamespace: devspec:manualSelector: trueselector:matchLabels:app: counter-podtemplate:metadata:labels:app: counter-podspec:restartPolicy: Nevercontainers:- name: counterimage: busybox:1.30command: ["bin/sh","-c","for i in 9 8 7 6 5 4 3 2 1; do echo $i;sleep 3;done"] 创建 创建job[root@k8s-master01 ~] kubectl create -f pc-job.yamljob.batch/pc-job created 查看job[root@k8s-master01 ~] kubectl get job -n dev -o wide -wNAME COMPLETIONS DURATION AGE CONTAINERS IMAGES SELECTORpc-job 0/1 21s 21s counter busybox:1.30 app=counter-podpc-job 1/1 31s 79s counter busybox:1.30 app=counter-pod 通过观察pod状态可以看到，pod在运行完毕任务后，就会变成Completed状态[root@k8s-master01 ~] kubectl get pods -n dev -wNAME READY STATUS RESTARTS AGEpc-job-rxg96 1/1 Running 0 29spc-job-rxg96 0/1 Completed 0 33s 接下来，调整下pod运行的总数量和并行数量 即：在spec下设置下面两个选项 completions: 6 指定job需要成功运行Pods的次数为6 parallelism: 3 指定job并发运行Pods的数量为3 然后重新运行job，观察效果，此时会发现，job会每次运行3个pod，总共执行了6个pod[root@k8s-master01 ~] kubectl get pods -n dev -wNAME READY STATUS RESTARTS AGEpc-job-684ft 1/1 Running 0 5spc-job-jhj49 1/1 Running 0 5spc-job-pfcvh 1/1 Running 0 5spc-job-684ft 0/1 Completed 0 11spc-job-v7rhr 0/1 Pending 0 0spc-job-v7rhr 0/1 Pending 0 0spc-job-v7rhr 0/1 ContainerCreating 0 0spc-job-jhj49 0/1 Completed 0 11spc-job-fhwf7 0/1 Pending 0 0spc-job-fhwf7 0/1 Pending 0 0spc-job-pfcvh 0/1 Completed 0 11spc-job-5vg2j 0/1 Pending 0 0spc-job-fhwf7 0/1 ContainerCreating 0 0spc-job-5vg2j 0/1 Pending 0 0spc-job-5vg2j 0/1 ContainerCreating 0 0spc-job-fhwf7 1/1 Running 0 2spc-job-v7rhr 1/1 Running 0 2spc-job-5vg2j 1/1 Running 0 3spc-job-fhwf7 0/1 Completed 0 12spc-job-v7rhr 0/1 Completed 0 12spc-job-5vg2j 0/1 Completed 0 12s 2、删除 删除jobkubectl delete -f pc-job.yaml CronJob 简称为CJ，CronJob控制器以 Job控制器资源为其管控对象，并借助它管理pod资源对象，Job控制器定义的作业任务在其控制器资源创建之后便会立即执行，但CronJob可以以类似于Linux操作系统的周期性任务作业计划的方式控制其运行时间点及重复运行的方式。也就是说，CronJob可以在特定的时间点(反复的)去运行job任务。可以理解为定时任务 配置模板 apiVersion: batch/v1beta1 版本号kind: CronJob 类型 metadata: 元数据name: rs名称 namespace: 所属命名空间 labels: 标签controller: cronjobspec: 详情描述schedule: cron格式的作业调度运行时间点,用于控制任务在什么时间执行concurrencyPolicy: 并发执行策略，用于定义前一次作业运行尚未完成时是否以及如何运行后一次的作业failedJobHistoryLimit: 为失败的任务执行保留的历史记录数，默认为1successfulJobHistoryLimit: 为成功的任务执行保留的历史记录数，默认为3startingDeadlineSeconds: 启动作业错误的超时时长jobTemplate: job控制器模板，用于为cronjob控制器生成job对象;下面其实就是job的定义metadata:spec:completions: 1parallelism: 1activeDeadlineSeconds: 30backoffLimit: 6manualSelector: trueselector:matchLabels:app: counter-podmatchExpressions: 规则- {key: app, operator: In, values: [counter-pod]}template:metadata:labels:app: counter-podspec:restartPolicy: Never containers:- name: counterimage: busybox:1.30command: ["bin/sh","-c","for i in 9 8 7 6 5 4 3 2 1; do echo $i;sleep 20;done"] cron表达式写法 需要重点解释的几个选项：schedule: cron表达式，用于指定任务的执行时间/1 <分钟> <小时> <日> <月份> <星期>分钟 值从 0 到 59.小时 值从 0 到 23.日 值从 1 到 31.月 值从 1 到 12.星期 值从 0 到 6, 0 代表星期日多个时间可以用逗号隔开； 范围可以用连字符给出；可以作为通配符； /表示每... 例如1 // 每个小时的第一分钟执行/1 // 每分钟都执行concurrencyPolicy:Allow: 允许Jobs并发运行(默认)Forbid: 禁止并发运行，如果上一次运行尚未完成，则跳过下一次运行Replace: 替换，取消当前正在运行的作业并用新作业替换它 1、创建cronJob 创建pc-cronjob.yaml，内容如下： apiVersion: batch/v1beta1kind: CronJobmetadata:name: pc-cronjobnamespace: devlabels:controller: cronjobspec:schedule: "/1 " 每分钟执行一次jobTemplate:metadata:spec:template:spec:restartPolicy: Nevercontainers:- name: counterimage: busybox:1.30command: ["bin/sh","-c","for i in 9 8 7 6 5 4 3 2 1; do echo $i;sleep 3;done"] 运行 创建cronjob[root@k8s-master01 ~] kubectl create -f pc-cronjob.yamlcronjob.batch/pc-cronjob created 查看cronjob[root@k8s-master01 ~] kubectl get cronjobs -n devNAME SCHEDULE SUSPEND ACTIVE LAST SCHEDULE AGEpc-cronjob /1 False 0 <none> 6s 查看job[root@k8s-master01 ~] kubectl get jobs -n devNAME COMPLETIONS DURATION AGEpc-cronjob-1592587800 1/1 28s 3m26spc-cronjob-1592587860 1/1 28s 2m26spc-cronjob-1592587920 1/1 28s 86s 查看pod[root@k8s-master01 ~] kubectl get pods -n devpc-cronjob-1592587800-x4tsm 0/1 Completed 0 2m24spc-cronjob-1592587860-r5gv4 0/1 Completed 0 84spc-cronjob-1592587920-9dxxq 1/1 Running 0 24s 2、删除cronjob kubectl delete -f pc-cronjob.yaml pod调度 什么是调度 默认情况下，一个pod在哪个node节点上运行，是通过scheduler组件采用相应的算法计算出来的，这个过程是不受人工控制的； 调度规则 但是在实际使用中，我们想控制某些pod定向到达某个节点上，应该怎么做呢？其实k8s提供了四类调度规则 调度方式 描述 自动调度 通过scheduler组件采用相应的算法计算得出运行在哪个节点上 定向调度 运行到指定的node节点上，通过NodeName、NodeSelector实现 亲和性调度 跟谁关系好就调度到哪个节点上 1、nodeAffinity ：节点亲和性，调度到关系好的节点上 2、podAffinity：pod亲和性，调度到关系好的pod所在的节点上 3、PodAntAffinity：pod反清河行，调度到关系差的那个pod所在的节点上 污点（容忍）调度 污点是站在node的角度上的，比如果nodeA有一个污点，大家都别来，此时nodeA会拒绝master调度过来的pod 定向调度 指的是利用在pod上声明nodeName或nodeSelector的方式将pod调度到指定的pod节点上，因为这种定向调度是强制性的，所以如果node节点不存在的话，也会向上面进行调度，只不过pod会运行失败； 1、定向调度-> nodeName nodeName 是将pod强制调度到指定名称的node节点上，这种方式跳过了scheduler的调度逻辑，直接将pod调度到指定名称的节点上，配置文件内容如下 apiVersion: v1 版本号kind: Pod 资源类型metadata: name: pod-namenamespace: devspec: containers: - image: nginx:1.17.1name: nginx-containernodeName: node1 调度到node1节点上 2、定向调度 -> NodeSelector NodeSelector是将pod调度到添加了指定label标签的node节点上，它是通过k8s的label-selector机制实现的，也就是说，在创建pod之前，会由scheduler用matchNodeSelecto调度策略进行label标签的匹配，找出目标node，然后在将pod调度到目标node； 要实验NodeSelector，首先得给node节点加上label标签 kubectl label nodes node1 nodetag=node1 配置文件内容如下 apiVersion: v1 版本号kind: Pod 资源类型metadata: name: pod-namenamespace: devspec: containers: - image: nginx:1.17.1name: nginx-containernodeSelector: nodetag: node1 调度到具有nodetag=node1标签的节点上 本篇文章为转载内容。原文链接：https://blog.csdn.net/qq_27184497/article/details/121765387。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...时候需要把某个特殊的请求重新导向到别的地方去。这时候，我们就需要用到API端点路由重定向功能。这篇文章将向你介绍如何使用Go-Spring实现这一功能。 二、什么是API端点路由重定向功能？ API端点路由重定向功能是指在接收到某个特定请求后，将其转发到另一个URL上。这种功能呀，一般就是在处理一些特殊状况时派上用场，比如你登录页面需要跳转的时候，或者遇到错误页面需要引导换个页面的时候，它就发挥了大作用。 三、如何使用Go-Spring实现API端点路由重定向功能？ 下面我们将通过一个简单的例子来演示如何使用Go-Spring实现API端点路由重定向功能。 首先，我们需要创建一个新的Go项目，并添加Spring Boot依赖： go // main.go package main import ( "net/http" "github.com/gorilla/mux" "github.com/spring-projects/go-spring-boot/spring-boot/v2" ) func main() { app := springboot.New() app.SetPort(8080) router := mux.NewRouter() router.HandleFunc("/api/user/{id}", GetUser).Methods("GET") app.Run(router) } func GetUser(w http.ResponseWriter, r http.Request) { id := mux.Vars(r)["id"] if id == "1" { http.Redirect(w, r, "/api/user/2", http.StatusFound) } else { http.NotFound(w, r) } } 在这个例子中，我们创建了一个新的Go项目，并添加了Spring Boot依赖。然后，我们在main.go文件中定义了一个HTTP服务器，并设置了端口为8080。 接着，我们创建了一个路由处理器函数GetUser，它会接收到来自/api/user/{id}路径的GET请求。如果用户ID是1，那么我们就使用http.Redirect方法将请求重定向到/api/user/2。否则，我们就返回一个404 Not Found的状态码。 最后，我们调用app.Run(router)方法启动服务器，并开始监听来自8080端口的请求。 四、结论 通过上面的例子，你应该已经了解了如何使用Go-Spring实现API端点路由重定向功能。其实呢，这只是个入门级别的小栗子，实际上，你完全可以按照自己的小心思，定制更多五花八门的重定向规则，让它们更贴合你的需求。总的来说，API端点路由重定向这个功能可真是个宝贝疙瘩，它实实在在地帮我们在管理API的各种请求和响应时更加游刃有余。这样一来，咱们的系统就像长了翅膀一样，既灵活又具有超强的扩展性，让咱的工作效率嗖嗖往上涨！ 希望这篇文章能对你有所帮助！如果你有任何问题或者想要进一步了解Go-Spring的相关知识，欢迎随时联系我！

...tml路径下，同时设置数据库连接信息。是不是比传统的安装方式简洁多了？ 不过，单独使用Docker虽然强大，但对于不熟悉命令行的人来说还是有点门槛。这时候就需要一些辅助工具来帮助我们更好地管理和调度容器了。 --- 3. Portainer 可视化管理Docker的好帮手 Portainer绝对是我最近发现的一颗“宝藏”。它的界面非常直观，几乎不需要学习成本。不管是想看看现有的容器啥情况，还是想启动新的容器，甚至连网络和卷的管理，都只需要动动鼠标拖一拖、点一点就行啦！ 比如，如果你想快速创建一个新的MySQL容器，只需要打开Portainer的Web界面，点击“Add Container”，然后填写几个基本信息即可： yaml image: mysql:5.7 name: my-mysql ports: - "3306:3306" volumes: - /data/mysql:/var/lib/mysql environment: MYSQL_ROOT_PASSWORD: rootpassword 这段YAML配置文件描述了一个MySQL容器的基本参数。Portainer会自动帮你解析并生成对应的Docker命令。是不是超方便？ 另外，Portainer还有一个特别棒的功能——实时监控。你打开页面就能看到每个“小房子”（就是容器）里用掉的CPU和内存情况，而且还能像穿越空间一样，去访问别的机器上跑着的那些“小房子”（Docker实例）。这种功能对于运维人员来说简直是福音！ --- 4. Rancher 企业级的容器编排利器 如果你是一个团队协作的开发者，或者正在运营一个大规模的服务集群，那么Rancher可能是你的最佳选择。它不仅仅是一个Docker管理工具，更是一个完整的容器编排平台。 Rancher的核心优势在于它的“多集群管理”能力。想象一下，你的公司有好几台服务器，分别放在地球上的不同角落，有的在美国，有的在欧洲，还有的在中国。每台服务器上都跑着各种各样的服务，比如网站、数据库啥的。这时候，Rancher就派上用场了！它就像一个超级贴心的小管家，让你不用到处切换界面，在一个地方就能轻松搞定所有服务器和服务的管理工作，省时又省力！ 举个例子，如果你想在Rancher中添加一个新的节点，只需要几步操作即可完成： 1. 登录Rancher控制台。 2. 点击“Add Cluster”按钮。 3. 输入目标节点的信息（IP地址、SSH密钥等）。 4. 等待几分钟，Rancher会自动为你安装必要的组件。 一旦节点加入成功，你就可以直接在这个界面上部署应用了。比如，用Kubernetes部署一个Redis集群： bash kubectl create deployment redis --image=redis:alpine kubectl expose deployment redis --type=LoadBalancer --port=6379 虽然这条命令看起来很简单，但它背后实际上涉及到了复杂的调度逻辑和网络配置。而Rancher把这些复杂的事情封装得很好，让我们可以专注于业务本身。 --- 5. Traefik 反向代理与负载均衡的最佳拍档 最后要介绍的是Traefik，这是一个轻量级的反向代理工具，专门用来处理HTTP请求的转发和负载均衡。它最厉害的地方啊，就是能跟Docker完美地融为一体，还能根据容器上的标签，自动调整路由规则呢！ 比如说，你有两个服务分别监听在8080和8081端口，现在想通过一个域名访问它们。只需要给这两个容器加上相应的标签： yaml labels: - "traefik.enable=true" - "traefik.http.routers.service1.rule=Host(service1.example.com)" - "traefik.http.services.service1.loadbalancer.server.port=8080" - "traefik.http.routers.service2.rule=Host(service2.example.com)" - "traefik.http.services.service2.loadbalancer.server.port=8081" 这样一来，当用户访问service1.example.com时，Traefik会自动将请求转发到监听8080端口的容器；而访问service2.example.com则会指向8081端口。这种方式不仅高效，还极大地减少了配置的工作量。 --- 6. 总结 找到最适合自己的工具 好了，到这里咱们已经聊了不少关于服务器管理工具的话题。从Docker到Portainer，再到Rancher和Traefik，每一种工具都有其独特的优势和适用场景。 我的建议是，先根据自己的需求确定重点。要是你只想弄个小玩意儿，图个省事儿快点搞起来，那用Docker配个Portainer就完全够用了。但要是你们团队一起干活儿，或者要做大范围的部署，那Rancher这种专业的“老司机工具”就得安排上啦！ 当然啦，技术的世界永远没有绝对的答案。其实啊，很多时候你会发现，最适合你的工具不一定是最火的那个，而是那个最合你心意、用起来最顺手的。就像穿鞋一样，别人觉得好看的根本不合脚，而那双不起眼的小众款却让你走得又稳又舒服！所以啊，在用这些工具的时候，别光顾着看，得多动手试试，边用边记下自己的感受和想法，这样你才能真的搞懂它们到底有啥门道！ 好了，今天的分享就到这里啦！如果你还有什么问题或者想法，欢迎随时留言交流哦～咱们下次再见啦！