银河麒麟系统 OpenSSH 升级至 10.x 实战避坑指南 银河麒麟系统 OpenSSH 升级至 10.x 实战避坑指南⚠️ 核心警告（操作前必读）绝对不要关闭当前的 SSH 连接窗口！ 必须保留一个已登录的旧会话作为“救生艇”，直到新终端测试连接成功为止，否则一旦配置错误将导致服务器失联。银河麒麟特性： 在重启 SSH 服务前必须执行 systemctl daemon-reload，否则会出现服务状态异常或配置不生效的提示。PAM 认证模块变更： 从 OpenSSH 10 以下版本升级，必须修改 PAM 加密模块配置（pam_stack.so 已被废弃），这是导致“密码正确却提示 Failed password”的通用致命错误。第一步：升级前准备与备份在操作前，务必备份当前的 SSH 配置文件，以便在出现问题时快速回滚。# 备份 sshd 配置文件 sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%F) # 进入 RPM 包所在目录（假设放在 /root/openssh/） cd /root/openssh/第二步：执行 RPM 升级使用 rpm 命令直接进行升级安装：sudo rpm -Uvh openssh-*.rpm第三步：修复 Host Key 权限（必做）OpenSSH 10.x 对安全性要求极高，如果主机密钥（Host Key）权限过于宽松，sshd 将直接拒绝启动。执行以下命令修正权限和属主：# 1. 确保私钥权限为 600 chmod 600 /etc/ssh/ssh_host_rsa_key chmod 600 /etc/ssh/ssh_host_ecdsa_key chmod 600 /etc/ssh/ssh_host_ed25519_key # 2. 确保对应的公钥权限为 644 chmod 644 /etc/ssh/ssh_host_rsa_key.pub chmod 644 /etc/ssh/ssh_host_ecdsa_key.pub chmod 644 /etc/ssh/ssh_host_ed25519_key.pub # 3. 确保属主正确 chown root:root /etc/ssh/ssh_host_*_key /etc/ssh/ssh_host_*_key.pub第四步：清理废弃配置项 (sshd_config)OpenSSH 10 彻底移除了对 SSHv1 协议及相关古老加密算法的支持。旧配置文件中的某些选项会导致 sshd 报错。💡 避坑经验：报错提示的行号（如 155行、157行）并不固定。不要盲目按行号删除，一定要用 sshd -t 命令动态查看报错。# 测试配置文件是否有语法错误或废弃选项 sudo sshd -t常见报错及修复方法：报错 1： /etc/ssh/sshd_config line 157: Deprecated option RhostsRSAAuthenticationsudo sed -i '/^RhostsRSAAuthentication/d' /etc/ssh/sshd_config报错 2： /etc/ssh/sshd_config line 155: Deprecated option RSAAuthenticationsudo sed -i '/^RSAAuthentication/d' /etc/ssh/sshd_config修复后，再次执行 sudo sshd -t，如果没有任何输出，则说明配置文件已完全合法。第五步：重载配置与启动服务（麒麟系统关键步）在银河麒麟系统中，由于 systemd 单元文件或 init 脚本发生了变更，必须重载 daemon 配置。# 1. 重载 systemd 管理器配置（银河麒麟必做！） sudo systemctl daemon-reload # 2. 启动/重启 sshd 服务 sudo systemctl restart sshd.service # 3. 查看服务运行状态 sudo systemctl status sshd.service确认状态为 active (running) 且 22 端口正常监听。第六步：修复 PAM 认证模块（🔥 核心重点）这是从 10 以下版本升级必须修改的部分！旧版系统使用 pam_stack.so，而该模块在现代系统中已被移除。如果不修复，查看日志（journalctl -xeu sshd）会看到 PAM unable to dlopen(/usr/lib64/security/pam_stack.so)，导致即使密码正确也无法登录。# 1. 备份旧的 PAM 配置 sudo cp /etc/pam.d/sshd /etc/pam.d/sshd.bak.$(date +%F) # 2. 写入 OpenSSH 10 兼容的标准 PAM 配置 sudo tee /etc/pam.d/sshd << 'EOF' #%PAM-1.0 auth required pam_sepermit.so auth substack password-auth auth include postlogin account required pam_nologin.so account include password-auth password include password-auth session required pam_selinux.so close session required pam_loginuid.so session optional pam_keyinit.so force revoke session include password-auth session include postlogin session required pam_selinux.so open env_params EOF第七步：最终验证1. 验证版本：ssh -V预期输出应包含 OpenSSH_10.x 字样。2. 验证连接（关键）：新开一个终端窗口，尝试 SSH 登录服务器。如果能成功输入密码并进入系统 $\rightarrow$ 升级成功。如果提示 Permission denied 或连接断开 $\rightarrow$ 立即回到保留的旧终端窗口，检查 /etc/pam.d/sshd 内容是否写入正确，或恢复备份文件。📝 总结与排错心得关于报错行号： sshd -t 报出的行号只是参考，核心是看它提示 Deprecated option 后面的参数名，用 sed 精准删除即可。关于通用错误： pam_stack.so 缺失是跨大版本升级的“通用错误”，只要是从低版本升到 10.x，这个 PAM 配置文件必须替换。关于 systemctl 警告： 如果启动时提示 Warning: The unit file... changed on disk，不要慌，这只是提醒你执行 systemctl daemon-reload，执行后重启服务即可消除。底线原则： 只要不关闭老的 SSH 会话，哪怕配置改错了、服务起不来，你依然有权限在旧窗口里把备份文件还原，从容救场。

Ungoogled Chromium Binaries 离线部署实战指南 Ungoogled Chromium Binaries 离线部署实战指南—— 跨发行版、多架构服务器环境下的"绿色版"精准获取与使用1. 为什么选择 Ungoogled Chromium Binaries？在离线、多发行版（EulerOS / Kylin / Ubuntu）、多版本且混合架构（x86_64 + ARM64）的服务器环境中部署 Chrome，官方 .deb/.rpm 包因对 glibc、NSS、GTK 等系统库的严格版本锁定而完全不可用。Ungoogled Chromium Binaries 是 ungoogled-software/ungoogled-chromium 主仓库官方推荐的预编译二进制分发页面。它专门解决了以下核心痛点：零/低系统依赖：Portable（便携）版本静态链接了大部分运行时库，不绑定特定版本的 glibc，真正实现"解压即用"。双架构全覆盖：同时提供 x86_64 和 aarch64 (ARM64) 构建，完美适配信创鲲鹏/飞腾及传统 Intel/AMD 服务器。去 Google 化：移除了所有 Google 私有服务、追踪器和 API 依赖，符合内网及信创环境的安全合规要求。免 Root 权限：无需系统级安装，普通用户即可运行，避免污染宿主系统环境。⚠️ 安全声明该页面的二进制由社区贡献者构建，非可重现构建（non-reproducible）。若用于高安全合规环境，建议在隔离环境中自行从源码审计构建。对于一般内网服务器自动化、渲染、截图等场景，此方案是当前兼容性最优解。2. 读懂下载页：没有搜索框，如何找到"绿色版"？很多用户首次打开该页面时会困惑：没有搜索框，也没有"绿色版/安装版"的中文标签。这是因为该页面遵循开源社区惯例，按 平台 + 架构 + 构建类型 分类。你需要建立以下概念映射：页面表格中的名称实际含义对应 Windows 概念是否推荐离线多系统环境Portable Linux 64-bit解压后直接运行的 tar.xz 包，自带依赖库✅ 真·绿色版强烈推荐Linux AppImage 64-bit自包含的 .AppImage 单文件✅ 绿色版推荐（仅 x86_64）Portable Linux 64-bit (musl)针对 Alpine/Void 等轻量系统的静态构建✅ 超级绿色版老旧系统兜底Debian/Ubuntu (unportable).deb 包，需 dpkg 安装，强依赖系统库❌ 安装版绝对不要用Fedora/RHEL (unportable).rpm 包，需 rpm 安装，强依赖系统库❌ 安装版绝对不要用💡 核心原则只认准 Portable 和 AppImage 字样。凡是带有 unportable、.deb、.rpm 后缀的，一律跳过。快速定位技巧页面为静态生成，无搜索功能。请使用浏览器 Ctrl+F 搜索以下关键词：x86_64 绿色版 → 搜索 Portable Linux 64-bitARM64 绿色版 → 搜索 Portable Linux 64-bit ARM 或 aarch64自包含单文件 → 搜索 AppImage3. 下载与离线部署全流程第一步：联网机下载访问 Ungoogled Chromium Binaries在表格中找到目标架构对应的 Portable 行，点击版本号链接（如 150.0.7871.128-1），跳转至 GitHub Release 页面。下载对应文件：目标架构文件名示例x86_64ungoogled-chromium-150.0.7871.128-1-linux-portable.tar.xzARM64ungoogled-chromium-150.0.7871.128-1-linux-arm64-portable.tar.xz务必同时下载中文字体（离线服务器无 CJK 字体必然乱码）：wget https://github.com/notofonts/noto-cjk/raw/main/Sans/SubsetOTF/SC/NotoSansSC-Regular.otf第二步：离线服务器部署将下载的文件通过 U 盘或内网传输至目标服务器后执行：# 1. 创建目录并解压（无需 root） mkdir -p /opt/chromium tar -xf ungoogled-chromium-*-portable.tar.xz -C /opt/chromium --strip-components=1 # 2. 放置字体 mkdir -p /opt/chromium/fonts cp NotoSansSC-Regular.otf /opt/chromium/fonts/ # 3. 赋予执行权限 chmod +x /opt/chromium/chrome # 4. 验证动态链接库完整性（应全部显示 found 或 static） ldd /opt/chromium/chrome第三步：运行测试/opt/chromium/chrome \ --headless=new \ --no-sandbox \ --disable-gpu \ --disable-dev-shm-usage \ --font-path=/opt/chromium/fonts \ --screenshot=/tmp/test.png \ https://example.com确认 /tmp/test.png 生成且中文渲染正常，即部署成功。4. 多架构统一启动脚本（生产环境推荐）在混合架构集群中，建议封装 wrapper 脚本自动适配，屏蔽底层差异：#!/bin/bash # /usr/local/bin/chrome-headless ARCH=$(uname -m) CHROME_DIR="/opt/chromium" FONT_DIR="${CHROME_DIR}/fonts" case "$ARCH" in x86_64) CHROME_BIN="${CHROME_DIR}/chrome-x86_64" ;; aarch64) CHROME_BIN="${CHROME_DIR}/chrome-aarch64" # ARM64 二进制缺失时回退到容器 if [ ! -f "$CHROME_BIN" ]; then exec docker run --rm \ -v "${FONT_DIR}:/usr/share/fonts/custom:ro" \ zenika/alpine-chrome \ --headless=new --no-sandbox --disable-gpu \ --disable-dev-shm-usage \ --font-path=/usr/share/fonts/custom \ "$@" fi ;; *) echo "Unsupported architecture: $ARCH" >&2 exit 1 ;; esac exec "$CHROME_BIN" \ --headless=new \ --no-sandbox \ --disable-gpu \ --disable-dev-shm-usage \ --font-path="$FONT_DIR" \ "$@"调用方式统一为：chrome-headless --screenshot=/tmp/output.png https://example.com5. 常见问题速查表问题现象根因解决方案GLIBC_2.xx not found宿主机 glibc 版本过低换用 musl Portable 构建，或使用容器方案中文显示方块/乱码缺少 CJK 字体添加 --font-path 指向 Noto Sans SC 或文泉驿字体Out of memory / 崩溃/dev/shm 空间不足必须加 --disable-dev-shm-usageRunning as root without --no-sandboxroot 用户运行加 --no-sandbox（容器内或 root 下必需）ARM64 无可用 Portable 构建社区未覆盖该架构使用 zenika/alpine-chrome ARM64 容器镜像替代ldd 显示大量 not foundPortable 版仍依赖少量系统库安装缺失基础库（如 libnss3），或换用完全静态构建6. 参考链接二进制下载页：https://ungoogled-software.github.io/ungoogled-chromium-binaries/主仓库（源码/补丁）：https://github.com/ungoogled-software/ungoogled-chromium容器替代方案：https://hub.docker.com/r/zenika/alpine-chromeCJK 字体下载：https://github.com/notofonts/noto-cjk

在联网机器上下载所有 RPM 包并在离线机器上安装所有软件 在联网机器上下载所有 RPM 包并在离线机器上安装所有软件下载1. 安装下载工具sudo dnf install -y dnf-utils2. 创建目录mkdir ~/openEuler-20.03-LTS-SP4 && cd ~/openEuler-20.03-LTS-SP43. 启用必要仓库（关键！）欧拉openEuler系统sudo dnf config-manager --set-enabled everything EPOLCentos8.5系统sudo dnf config-manager --set-enabled base AppStream3. 下载dnf download --resolve \ nginx \ redis \ docker \ java-1.8.0-openjdk \ java-1.8.0-openjdk-devel4. 验证ls -l *.rpm | wc -l5. 打包tar -czvf openEuler-24.03-LTS-x86_64.tar.gz *.rpm安装：1. 解压 RPM 包cd /tmp tar -xzvf offline-apps.tar.gz dnf deplist java-1.8.0-openjdk2. 安装所有软件（自动解决依赖顺序）sudo dnf install -y *.rpm# （如果系统只有 yum，没有 dnf，可用：） # sudo yum localinstall -y *.rpm3. 启动并启用服务sudo systemctl enable --now nginx sudo systemctl enable --now redis sudo systemctl enable --now docker4. 验证安装结果nginx -v # 应显示版本 redis-cli --version # 应显示版本 docker --version # 应显示版本 java -version # 应显示 OpenJDK 17 curl http://localhost # 应看到 nginx 欢迎页

nginx安装顺序之：麒麟V10系统安装nginx 1.查询并删掉旧包 rpm -qa | grep perl #查看当前以及安装的perl开头的安装包 rpm -e --nodeps perl-devel-5.28.0-434.ky10.x86_64 # 卸载命令 rpm -e --nodeps perl-libs-5.28.0-434.ky10.x86_64 # 卸载命令 rpm -e --nodeps perl-5.28.0-434.ky10.x86_64 # 卸载命令2.按顺序安装插件离线包 rpm -ivh perl-libs-5.28.3-3.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh perl-devel-5.28.3-3.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh perl-5.28.3-3.p01.ky10.x86_64.rpm --nodeps –force3.按照顺序安装 rpm -ivh gd-2.2.5-6.ky10.x86_64.rpm --nodeps --force rpm -ivh gperftools-libs-2.7-7.ky10.x86_64.rpm --nodeps --force rpm -ivh nginx-filesystem-1.16.1-9.p01.ky10.noarch.rpm --nodeps --force rpm -ivh nginx-mod-http-image-filter-1.16.1-9.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh nginx-mod-http-perl-1.16.1-9.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh nginx-mod-http-xslt-filter-1.16.1-9.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh nginx-mod-mail-1.16.1-9.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh nginx-all-modules-1.16.1-9.p01.ky10.noarch.rpm --nodeps --force rpm -ivh nginx-1.16.1-9.p01.ky10.x86_64.rpm --nodeps --force rpm -ivh nginx-mod-stream-1.16.1-9.p01.ky10.x86_64.rpm --nodeps –force4.启动nginxsystemctl start nginx.service #启动服务5.可能出现的问题使用rpm -ivh安装驱动包过程中提示“/sbin/ldconfig: /usr/ib64/ibLLVM-7.so is not a symbolic link”用root用户cd /usr/lib64 In sf libLLVM-7.0.0.so libLLVM-7.so6.下载地址https://update.cs2c.com.cn/NS/V10/V10SP2/os/adv/lic/base/x86_64/Packages/

OnlyOffice 9.0.4 前端定制记录：去除匿名命名弹窗、隐藏插件菜单、关闭页眉 Logo 链接 前言本文记录在 OnlyOffice DocumentServer Web 前端侧的定制修改，适用于 9.0.4 版本。修改基于统一 SDK api.js，对所有编辑器生效（文档/表格/演示/PDF/Visio）。一、修改目标关闭“输入用于协作的名称”匿名命名弹窗隐藏“插件”功能区选项卡，并禁用插件能力隐藏页眉左上角的 OnlyOffice Logo（去除跳转链接）二、变更文件与位置生产服务真实使用目录（按你的安装方式选择其一）：Docker: /var/www/onlyoffice/documentserver/web-apps/apps/api/documents/api.jsLinux 安装版: 同上路径Windows 安装版: C:\Program Files\ONLYOFFICE\DocumentServer\web-apps\apps\api\documents\api.js模板文件（务必同步）：api.js.tpl压缩文件（务必处理）：api.js.gz（可能还有 api.js.br）说明：OnlyOffice 实际加载的资源通常带有版本哈希前缀，例如 /9.0.4-xxxx/web-apps/.../api.js。重启/升级后该目录可能再生成，因此建议同时改模板并处理压缩文件，或在业务集成处直接传参覆盖（见文末“更稳妥做法”）。三、代码改动点（统一 SDK 默认配置）修改 DocsAPI.DocEditor.defaultConfig.editorConfig.customization：// 关闭匿名命名弹窗 anonymous: { request: false }, // 隐藏插件选项卡 layout: { toolbar: { plugins: false } }, // 完全禁用插件能力 plugins: false, // 隐藏页眉 Logo（无渲染自然无链接） logo: { visible: false }以上片段出现在：apps/api/documents/api.js 内 DocsAPI.DocEditor.defaultConfig 对象中同步到 apps/api/documents/api.js.tpl，避免重启后被模板覆盖四、同步到服务端并处理压缩文件 - 必须同步两处源码：api.js 与 api.js.tpl - 压缩资源处理（二选一）： ### 简便做法（回退用未压缩版） ```text # 删除压缩文件，让服务器回退到未压缩的 api.js # Linux rm api.js.gz rm api.js.br # Windows 资源管理器直接删除 api.js.gz（和 api.js.br，如果有） ``` ### 推荐做法（保持压缩以提升性能） Windows（7-Zip + Brotli）： ```text # 进入目录：.../web-apps/apps/api/documents/ 7z a -tgzip -mx=9 api.js.gz api.js # 若有 brotli .\brotli.exe -f -q 11 api.js -o api.js.br ``` Linux： ```text # 进入目录：.../web-apps/apps/api/documents/ gzip -c -9 api.js > api.js.gz brotli -f -q 11 api.js -o api.js.br # 如需 ``` 完成后： 重启 DocumentServer/容器/反向代理（示例：supervisorctl restart all 或重启容器/服务） 清浏览器与代理/CDN 缓存；或追加时间戳强刷： http:///web-apps/apps/api/documents/api.js?_ts=1690000000000 ## 五、验证步骤 1) 打开浏览器开发者工具 Network，搜索 api.js，确认实际请求路径（可能是带版本号的路径）。 2) 点开响应，搜索关键字： anonymous 且包含 ```text request: false layout.toolbar.plugins = false customization.plugins = false logo.visible = false ``` 3) 打开任一文档： 不再出现“输入用于协作的名称”弹窗 顶部“插件”选项卡消失 页眉左上角 Logo 不显示（无链接） ## 六、常见问题与排查 ### 修改后又“恢复默认”： 可能只改了非模板文件，重启后由 api.js.tpl 重新生成 可能改了非版本目录；服务端实际使用的是带版本目录 ### 浏览器仍旧显示老配置： 优先返回 .gz/.br，未处理压缩文件导致 浏览器/代理/CDN 缓存未清 ### 个别页面仍有“插件”按钮或弹窗： 该页面在 new DocsAPI.DocEditor(..., config) 显式传参覆盖了默认值

CentOS 麒麟V10 系统上安装 Java 1.8.0_241（即 Java 8 Update 241） 前言CentOS 系统上安装 Java 1.8.0_241（即 Java 8 Update 241），这是一个较旧但仍在企业中广泛使用的版本。由于 Oracle 从 Java 8u211 之后开始对商业用户收费，并限制公开下载，因此官方不再提供直接下载链接。开始安装# 1. 安装 OpenJDK 8 sudo yum install -y java-1.8.0-openjdk-devel # 2. 验证安装 java -version javac -version输出示例：openjdk version "1.8.0_xxx" OpenJDK Runtime Environment (...) OpenJDK 64-Bit Server VM (...)

银河麒麟V10 Ky10操作系统Openssh8.2升级到Openssh9.8 前言在配置远程SSH服务器时，出于安全性考虑，应避免使用诸如arcfour、aes128-cbc、blowfish-cbc、3des-cbc等弱加密算法。RFC 4253明确指出，arcfour算法存在诸多安全隐患，不建议使用。该算法在设计上存在漏洞，容易遭受密钥恢复攻击等安全威胁，攻击者可利用这些漏洞获取敏感信息，进而对服务器及相关数据造成严重破坏 。注意事项如果之前有对ssh进行加固处理，请查看是否有禁止以root用户登录升级前建议对服务器进行打快照处理，以备出现故障如需重启服务器请查看/etc/fstab中第一字段路径内是否有存在该设备或者文件，比如swap若不存在需将对应行前添加“#”进行注释，以防重启后无法启动服务器。该文件内容设备都是存在的正常的不用去操作。安装步骤上传安装包到服务器上 #解压安装包 tar -xvf ky10_openssh9.8p1.tar #进入安装包目录 cd ky10_openssh9.8p1 #授予相应权限 chmod +x install.sh #执行安装 sh install.sh安装完成后，检查是否安装成功ssh -V安装包{cloud title="天翼网盘（访问码：tti4）" type="default" url="https://cloud.189.cn/web/share?code=YZruayEzmyam" password=""/}{cloud title="蓝奏网盘" type="lz" url="https://daimafengzi.lanzout.com/i53oQ2uuuoxa" password=""/}{cloud title="123盘" type="default" url="https://www.123684.com/s/0ztiVv-t7Bod" password=""/}{cloud title="百度网盘" type="bd" url="https://pan.baidu.com/s/1Z6PQSEhIXU34iiPrDClbag?pwd=vu3y" password="vu3y"/}{cloud title="迅雷网盘" type="default" url="https://pan.xunlei.com/s/VOP-vLzfw9uE1nBZ2V96_ktmA1?pwd=cam4" password=""/}

Centos 7.x安装openjdk 11及JAVA 11的特性 安装软件包获取方式openjdk 的官网- 在官网上可以看到 openjdk11 本身最新版本为：11GA（11+28） - 点击 Source 按钮（https://hg.openjdk.java.net/jdk/jdk11），可以看到jdk11依赖的代码更新记录 - 点击左侧 tags ，可以看到 所有已发布的openjdk11版本centos 官网获取rpm包openjdk 11 可以运行在不同类型的操作系统中，在 centos 安装openjdk 11 的话，需要看 openjdk11 在 centos 中基于 openjdk 的官网 优化后且发布的版本。根据所需要操作系统查看对应最新版本，目前最新版本是：{cloud title="centos 7 x86_64" type="default" url="http://mirror.centos.org/centos/7/os/x86_64/Packages/" password=""/}{cloud title="centos 7 arm" type="default" url="http://mirror.centos.org/altarch/7/os/aarch64/Packages/" password=""/}安装查找安装包yum search java-11 # 安装jdk, 同时安装了依赖 java-11-openjdk-headless yum install java-11-openjdk.x86_64 # 安装开发工具 yum install java-11-openjdk-devel配置安装路径：/usr/lib/jvm/java-11-openjdk-11.0.12.0.7-0.el7_9.x86_64vi .bash_profile export JAVA_HOME=/usr/lib/jvm/java-11-openjdk-11.0.12.0.7-0.el7_9.x86_64 export CLASSPATH=$JAVA_HOME/lib:$CLASSPATH export PATH=$JAVA_HOME/bin:$PATH source .bash_profile验证查看 java 版本java -version