本文章仅提供思路进行学习交流，具体代码因为合规问题暂不提供。
前提条件： 要访问的目标网站必须支持 ECH，并且其 CDN 的 IP 没有被全面封锁。
适用范围： 本文主要针对托管在 Cloudflare (CF) 上的网站，其他 CDN 原理类似。
核心架构： 自建智能 DoH + ECH 加密握手 + 选择性中继代理
知己知彼——防火墙是如何阻断连接的？1. DNS 污染（最常见）原理： 拦截 UDP 53 端口的明文 DNS 查询。
过程： 当你查询 x.com 时，防火墙识别到黑名单域名，不等上游真正返回结果，直接抢答一个虚假 IP。你连上假 IP，自然访问失败。
解决方案：使用 DoH (DNS over HTTPS)
2. IP 黑名单封禁原理：防火墙维护着一张黑名单 IP 列表（可能是全端口封禁，也可能仅封 443 端口）。
过程：只要发现你的 TCP 数据包目标 IP 在名单内，直接丢弃或发送 RST 包重置，导致三次握手失败。
解决方案：使用 中继代理 改变目标 IP
3. SNI 检测原理：在传统的 TLS 握手阶段（不带 ECH），ClientHe ...
问题复现使用CloudFlareWorkers部署的图床系统，想使用EdgeOne加速Workers，但直接使用EdgeOne加速Workers提供的默认域名会出现522报错。我一开始以为和Vercle一样是回源HOST的问题，但研究发现实际上不是。
CFWorkers是会检测域名的，如果域名没有托管到CF就会直接522报错。
解决方案我发现可以使用一个托管在CF的域名作为中转域名，绕开CFWorkers的域名检测，实现使用EO加速。
给托管在CF上的域名添加一个解析记录作为中转域名，值随便填写，但是一定要开启小云盾。
添加 Workers 路由用中转域名绑定要加速的 Workers，注意是添加路由，不是在Workers里面直接绑定域名，一定要使用路由！！！
使用EdgeOne加速中转域名，注意回源方式HTTPS，回源地址和回源HOST要填写中转域名。
其他解决方案，我在网上查的好像可以使用自定义主机名功能实现，但是我试了半天也没成功，感兴趣的可以研究一下，现在的方案就是在尝试的过程中发现的。
总结CFWorkers会检测域名，但我们可以使用中转域名的方式绕过。
必须要有一个托管在 ...
需求分析我目前博客的图片都是存在博客的images文件夹里面的，每次在Typora写完文章要发布的时候都要重新整理图片路径太麻烦了，并且直接把图片都放到博客里面也不是长久之计。
我的需求
主打白嫖，能省就省
数据自主可控
有密码只能我一个人使用
在Typora里面添加图片可以自动上传到图床并替换好链接
有网页管理页面，我可以通过网页上传图片
方案我想到的方案是使用 Cloudflare R2 对象存储 +CloudflareWorkers + EdgeOne +PicList
Cloudflare R2 对象存储会给每个用户10G空间，用来存图片绰绰有余。
EdgeOne 用来缓存照片，可以有效降低 Cloudflare R2 的请求命中率。
CloudflareWorkers 用来构建网页，有现成的项目可以直接修改实现。
PicList软件用于在Typora里面添加图片自动上传到图床并替换好链接。
部署教程准备三个域名(三个子域名也可以，但主域名必须托管到CF)，其中一个必须托管到CF(免费域名也可以)
一.准备CF存储桶并且配置加速链接第一步添加R2对象存储
存储桶名称：随 ...
适用场景：你手动修改了 node_modules 内部第三方包源码，重装依赖、换电脑迁移会丢失改动。
什么是 patch‑package直接修改 node_modules 只是临时效果，执行 npm install 就会被官方原版覆盖。 patch‑package 对比你修改前后代码，生成 patches/*.patch 补丁文件，提交进仓库；执行 npm install 自动把你的修改打回去，实现换电脑、重装依赖改动不丢失。
Hexo 博客迁移电脑不再复制庞大、容易出错的 node_modules。
一、旧电脑生成补丁步骤1、安装 patch‑package进入你的 Hexo 项目根目录（package.json所在文件夹）执行：
npm install patch-package --save-dev
2、修改 package.json scripts，增加 postinstall{ "name": "hexo-site", "version": "0.0.0", " ...
问题复现使用Vercel部署的Twikoo并且启用了EdgeOne加速，开启了海内外分流，出现无法获取用户真实IP的问题，获取到的是CDN的IP。
问题根源Vercel Hobby/Pro 会过滤、重写外部传入的 HTTP 头：
EO‑Connecting‑IP：EO 内置头，Vercel 直接丢弃
X‑Forwarded‑For：Vercel 会重写覆盖，只能拿到 EO 节点 IP，所以 TwikooIP 属地错误
解决方案EdgeOne 控制台配置使用「真实客户端 IP 头部」：
开关打开
头部名称：Eo‑Client‑Ip
保存，等待 2‑5 分钟配置全网生效
EO 会自动把访客真实 IP 填入这个自定义头部，不需要手动写变量。
Vercel‑Twikoo 配置
环境变量 TWIKOO_IP_HEADERS 值（严格复制，小写 + 合法 JSON）
["headers.eo-client-ip"]
保存环境变量后必须点 Redeploy 重新部署 Vercel 项目，只保存不部署不会生效。
场景：分流
架构：
国内用户 → EdgeOne ...
背景与核心原理
使用背景：Claude Code 默认仅支持 Anthropic 官方模型接口，不兼容市面上多数 API 中转站常用的 OpenAI 协议。
工作机制：CC Switch 在本地充当“同声传译”。Claude Code 将原生请求发给本地 CC Switch 代理，CC Switch 将其转换为 OpenAI 协议格式，并携带真实的 API Key 转发给远端中转站。
第一步：在 CC Switch 中配置服务商在 CC Switch 软件界面中添加供应商，使用自定义配置：
请求地址：填写中转站基础域名，绝对不要以 /v1 结尾
完整 URL 开关：开启。
API Key：填写你真实的 sk-xxx 密钥。
上游格式：选择 OpenAI Chat Completions (需开启路由) 。
认证字段：选择 ANTHROPIC_AUTH_TOKEN 。
模型映射：将对应模型的“实际请求模型”填为中转站支持的名称（如 gpt-5.6-sol）。
启用路由：打开路由总开关，确保该配置处于“使用中”，并记下软件界面显示的“服务地址”。
第二步：检查是否开启 ...
今天在备份博客的时候遇到了一个问题，主题目录无法提交到github仓库，最终发现是git仓库嵌套问题
什么是 Git 仓库嵌套?一个 git 仓库里面，放了另一个完整 git 仓库。 也就是父仓库文件夹里面，某个子文件夹内部藏了一个 .git 文件夹。
你的主仓库(父git，有/.git)└── themes/anzhiyu ← 这个文件夹里面又有一个 /.git
这就是仓库嵌套。父 git 会把这个子文件夹识别成一个特殊的 git 指针，不会读取子文件夹里面任何文件。
怎么产生的？
git clone 地址 themes/anzhiyu clone 下来的项目自带内部.git
复制粘贴另一个 git 项目的整个文件夹过来，没删掉里面的.git
重点：哪怕你后来把子文件夹内部的 .git 删除了，父 git 的索引缓存还会记住它曾经是嵌套仓库，问题依旧存在！GitHub 显示蓝色箭头文件夹。
现象
本地文件全都在，磁盘上看得见；
git add 子文件夹，执行后 git commit → nothing to commit, working tree clean，提交 ...
一、目标搭建企业域名邮箱，防止域名被伪造发送钓鱼邮件，同时提升邮件送达率，降低被反垃圾系统误判为垃圾邮件的概率。
二、阶段 1：基础邮箱部署（前置）在企业邮箱服务商（腾讯 / 阿里企业邮等）创建域名邮箱，绑定域名。 配置 MX 记录：指定接收邮件的服务器，实现域名收信，是邮箱工作的基础。
MX 只负责接收邮件，不做发件身份校验，没有防伪造能力。
DNS 避坑：根域名@不能配置 CNAME。DNS 协议规定：如果根域名设置 CNAME，则同域名下 MX、TXT、A 记录全部失效，导致收邮件失败。子域名不受此限制，可以同时配置 CNAME+MX。 根域名网站解析需求请使用 A 记录，不要使用 CNAME。
三、阶段 2：DNS 域名身份认证配置（核心，防域名伪造）作用：给收件服务器提供身份核验规则，证明这封邮件是否是域名所有者授权发出。一共 3 项核心 TXT 记录。
SPF（发件服务器 IP 授权） 功能：声明哪些服务器 IP、服务商有权使用本域名发送邮件。
DKIM（邮件电子签名） 功能：发信服务器用私钥对邮件头部 + 正文签名；收件服务器使用 DNS 里的公钥校验邮件，确认邮件 ...
今天安装openclaw对接qq机器人遇到了一个问题，直接运行
openclaw plugins install @tencent-connect/openclaw-qqbot@latest
这个脚本，会出现下面这个提示
npm install failed:
npm 安装依赖失败，尝试了很多次都会提示这个(之前运行这个脚本就没遇到这个情况，很玄学) 。
经过了一天的折腾，找到了问题所在和解决方案
问题核心原因1. OpenClaw 内置安装机制的「过度限制」OpenClaw 的 plugins install 命令不是简单调用 npm install，而是加了多层校验：
检测插件代码中的 child_process（Shell 执行）、环境变量读取等行为，即使是插件正常功能，也会触发「安全拦截」；
内置的 npm 执行环境被限制了权限 / 超时时间，一旦依赖下载稍慢或编译耗时，就会直接判定「npm install failed」；
临时目录（/tmp/openclaw-plugin-*）的权限 / 生命周期管控严格，手动操作稍慢就会被自动清理。
2. 服务器基础环境不匹配
Nod ...
在修复博客欢迎卡片api接口的时候，想使用腾讯地图的接口，但是直接使用会出现跨域问题，搭建中转又太麻烦，在网上找到了一个很老的技术JSONP，完全符合我的需求。
JSONP（JSON with Padding）是一种非常经典、通用的前端跨域“黑客技巧”（Hack）。
被逼出来的方案：同源策略与漏洞浏览器有一个铁律叫同源策略 (Same-Origin Policy)：如果两个页面的域名、协议或端口不同，前端直接用 fetch 或 AJAX 去请求对方的数据，浏览器就会报错拦截（也就是我们常说的 CORS 跨域报错）。
但在早期，前端工程师们发现了一个“官方漏洞”： 虽然 AJAX 被限制了，但是 HTML 里带有 src 属性的标签是不受跨域限制的！
你可以毫无阻碍地加载别人域名的图片：<img src="别人家的.jpg">
也可以加载别人域名的 CSS：<link href="别人家的.css">
最关键的是，你可以加载并执行别人域名的 JS 脚本：<script src="别人家的.js" ...
