Linux安全环境搭建：从前端CSS师视角看系统防护艺术

　　跟产品经理吵完的第三天，我切进 Chrome DevTools 的 Network tab，盯着那串被重写八遍的 CSP header 看了四分钟十七秒——结果发现防火墙日志里根本没它。不是没生效，是压根没走那条路。我原以为只要 header 对得上 RFC，系统就认；结果它连看都不看，直接在 iptables 里把整个端口封成青铜器纹样。

　　去年国庆，我蹲在机房空调出风口底下改 fail2ban 的 jail.local，手边外卖盒里的冬瓜排骨汤洒了一滴，在键盘右下角 R 键和 Enter 键之间拉出半厘米油痕。那滴汤我到现在没擦，R 键已经卡了三个月，每次按下去要多使一分力，像按住一个将死的 div 的 :hover 状态。PM 下午三点发来截图说“用户登录页 502”，我回她：“你先确认下 Nginx 是不是在用 systemd 跑——不是那个 systemd，是带 cgroup v2 的那个。”她回了个问号。我点开终端窗口右上角的 tmux pane 切换标记，看到自己昨天写的 postinstall hook 里漏掉了 sebool -P httpd_can_network_connect 1 这行。这行我敢打包票：漏掉它，SELinux 就会把你写的全部 CORS 配置当成一张被裁错尺寸的雪碧图，既不报错也不渲染，只沉默地 padding-top: 9999px。

　　旁边同事端着保温杯去倒水，路过时顺手把我左屏壁纸——那张用 CSS radial-gradient 画的深空星云——切成了他刚 clone 下来的 Kali Linux 默认 GNOME 壁纸。我懒得动，右屏还挂着实时滚动的 audit.log tail -f，里面全是 avc: denied { name_connect } for pid=3487 comm="node" dest=3306 … 我数过，同一行出现三百七十二次，间隔均匀得像 Flexbox 里设了 justify-content: space-between 的导航栏。但奇怪的是，第两百零三行后面突然断了三十秒，auditctl 日志却显示守护进程没重启——后来查出来是 journalctl 的 ring buffer 溢出了。这事我说不准，反正它溢得比我们上次上线前没关掉的 console.log 还干脆。

　　优胜劣汰。不是修修补补凑合能用，是跑不通的配置当场跪，跪得比 Safari 里 display: contents + :before 再套伪元素还彻底。我见过后端把 /etc/hosts 里加了三十七行 127.0.0.1 localdev.，结果 DNSSEC 验证一开，整个域名解析直接返回 SERVFAIL；也见过测试提 bug 说“SSH 登录慢”，查到最后是 pam_faillock.so 读取 /var/log/faillog 太慢，因为磁盘是 ext2，inode 表碎片到连 ls /var/log 都要抖两下——这事儿谁管？没人管，但它就是不让你过。就像你写 .card:hover > .shadow { box-shadow: 0 0 12px rgba(0,0,0,.3); }，结果发现父级用了 will-change: transform，而那个 shadow 死活不渲染。不是你不写，是你写了，系统说：我不信你。

　　键盘 R 键又卡住了，我抬手、按键、松手——这次用了拇指侧面蹭过去。冬瓜汤那滴油已经干了，反光像一层没加 opacity 的 overlay。我忽然想起上周 PR review，后端往 nginx.conf 里硬塞了个 proxy_set_header X-Real-IP $remote_addr;，说“兼容老系统”。我批注：「这里不该信 $remote_addr，该信 X-Forwarded-For 且只取第一个非内网 IP，否则你防得住 CC 攻击防不住伪造头」。他回复：“那前端怎么传？” 我回：“不传，nginx 干。” 他过了三小时改掉，加了 set_real_ip_from 10.0.0.0/8。这事我没再看，但我信他加对了——不像去年双十一凌晨我亲眼看见某人 curl -H 'X-Forwarded-For: 1.1.1.1, 127.0.0.1' 把 admin 后台捅穿。那时候我还在调按钮禁用态的 opacity 过渡时长，调了十八毫秒。

　　工位双屏左边是黑底白字的 zsh history，右边是 VS Code，打开的文件叫 firewall-rules.css（对，我真这么命名）。里面只有两行注释：/ 不要删这行：-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT / 和 / 这行删了，你家前端会变公网入口 /。上周工资条下来，税前数字后多了一个零，我盯着看了两分钟，然后把它截了图，用 CSS mask-image 叠了层半透明 logo 发到内部群——群里没人问，只刷了一排 ????。CSS 命名我早就放弃了，现在一律用 BEM 加时间戳，比如 .btn--submit--2024-q3-oct。不是严谨，是怕三年后自己 grep 出来不认识。

文章配图，仅供参考

　　站长个人见解现在我的 /etc/sysctl.conf 里 net.ipv4.tcp_syncookies = 1 已经开了，但今天早上 audit.log 又爆了 new login session from ssh，UID 0，来源 IP 是 ::1。我点开 Chrome DevTools 的 Console tab，想输个 location.reload() 缓解一下，手悬在键盘上停了五秒——算了，先看看 /var/log/auth.log 里 last 三条有没有重复 UID。没有。那大概率是 crond 拉的某个监控脚本，不是 rootkit。大概率。我原以为安全环境是堆砌规则，结果它是种自然选择：写错的 sudoers 规则自动被拒绝加载，权限过大的 cap_add 直接让容器启不来，错误的 umask 让 key 文件 chmod 成 777 ——docker build 报错退出，一句废话都不多给。优胜劣汰，不讲道理。我现在连 /tmp 的 sticky bit 都不敢关，怕哪天 npm install 临时目录被谁恶意 symlink 到 /etc/shadow。

　　我打算明天重装一次最小化 CentOS，不装图形界面，不用 Docker，就用 systemd-run 跑一个单进程服务。至于前端调试？把 dev server 绑到 127.0.0.1:3000，再加个 socat 转发层，用 ssh -L 打洞——至少比暴露 webpack-hot-middleware 的 WebSocket 端口强。R 键又卡了。汤渍反光里，我看见自己右眼下方有颗刚冒出来的痘。先不管它。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!