不知不觉间，已经一年没写博客了。看来写博客这活太重量级，还是微博上灌水省心啊。

之前在一个项目里用 Flask 开发其中的 Web 部分，有些小心得，插空整理出来放到博客上权当备忘。

里面的代码都来自实际项目。

from werkzeug.wsgi import DispatcherMiddleware

dummy_app = Flask(__name__)

@dummy_app.route('/')
def index():
    return redirect('/uc')

import uc.ucweb
import zs.zsweb

all_apps = ((None, dummy_app), ('/uc', uc.ucweb.app), ('/zs', zs.zsweb.app))

main_app = [app for (mp, app) in all_apps if not mp][0]
sub_apps = dict(((mp, app) for (mp, app) in all_apps if mp))
app = DispatcherMiddleware(main_app, sub_apps)

import defaultcfg

kwargs = {}
kwargs['instance_relative_config'] = True

try:
    instance_folder = os.environ['INSTANCE_FOLDER']
    kwargs['instance_path'] = instance_folder
except KeyError:
    pass

app_name = __name__.split('.')[0]

deploy_mode = 'production'
try:
    if os.environ['DEPLOY_MODE'].upper() == 'DEBUG':
        deploy_mode = 'debug'
except KeyError:
    pass

app = Flask(app_name, **kwargs)

app.config.from_object(defaultcfg)
app.config.from_pyfile('common_%s.py' % (deploy_mode), silent=True)
app.config.from_pyfile('%s_%s.py' % (app_name, deploy_mode), silent=True)

特权端口（也就是 1024 以下的低端口）是 Unix 系统里最似是而非的安全设计，没有之一。有时候我们希望一个服务程序能够监听在 80 之类的知名低端口（便利），但程序的整个生命周期又要避开 root 身份（安全）。这种对便利和安全的双重追求就让我们感到特权端口的设计是多么蛋疼了。

要解决这个问题，也有一些似是而非的通用办法。比如前置的应用层协议代理（例如 HTTP 反向代理），用户态端口转发（例如 rinetd/xinetd），或者本机防火墙做内核态转发。但这些方法还是有一定限制的，有时候并不合适。我们需要的是让非特权进程真正监听在低端口上。顺便说一下，有些人提到的 authbind/privbind 程序，还是要以 root 身份启动的，虽然程序运行起来之后比一般的 root+suid 方法安全一些，但并不够方便，也算似是而非了。

幸好一些主要的 Unix 类操作系统发展到当代还是有办法解决这个问题的。

FreeBSD 可以用下面的指令关闭特权端口：

# sysctl net.inet.ip.portrange.reservedlow=0 net.inet.ip.portrange.reservedhigh=0

这样非特权进程就能直接监听低端口了。如果需要做权限控制，比如以 uid=80 启动的用户只能听80 端口，那么还需要启动 mac_portacl 模块。具体见 [PORTACL] 。

Solaris 可以通过：

# /usr/sbin/usermod -K defaultpriv=basic,net_privaddr <user_name>

给特定的用户赋予监听特权端口的权限。但是，没有类似 FreeBSD 的全局选项，而且也没有端口权限控制（如有，请指正）。

NetBSD、 OpenBSD、 Dragonfly BSD 似乎没有相应的机制， OS/X 不知，还有待探索。

Linux 情况比较混乱，且待下回分解。

这星期遭遇一件很囧的事情。邮件服务器突然出毛病， SMTP 喂进去的信都塞住不发了。查看一下日志，原来是 ClamAV 罢工，造成邮件入队前的过滤暂时失败，于是堆在那里慢慢等重试。日志里说的主要意思是，最新的病毒特征库里有个无效的字符串。那个字符串的内容是要用户升级到 ClamAV 0.95 版引擎。原因是 ClamAV 开发组停止对老版本的维护，于是在新的特征库里加了这个字符串，这样可以阻止老版本引擎载入特征码，而且文字内容也能让用户得到提示。

又搜索了一下看 Debian 是怎么处理这个问题的。原来在月初已经有人报告过这个 bug / feature 了。在 Squeeze testing 里已经更新到 ClamAV 0.95 版本，但是 Lenny stable 还没有。这时想起还有个叫 Debian volatile 的玩意，其目的就是为了解决在 stable 发行版的更新周期慢和病毒特征码之类数据更新周期快的不河蟹问题。遂找了个源加入，更新，问题解决。

以前用 backports 和现在用 volatile 都是拜 ClamAV 所赐，囧。 Volatie 最大的问题是镜像太少，比以前抱怨的 bakcports 还要少，找个在教育网里速度较快的源太困难。

某域名十多年的邮件服务。期间硬件和软件换了好几次。近期将要停止服务。可能这次启用 SPF + greylisting 是我给此域名做的最后一次邮件服务配置了。

安装（Debian下）

$ sudo aptitude install postgrey postfix-policyd-spf-python

配置

• /etc/postfix/main.cf

[...]
policyd-spf_time_limit = 3600
smtpd_restriction_classes = mfrom_passed_spf
smtpd_recipient_restrictions =
        [...]
        reject_unauth_destination,
        # 一定要放 在reject_unauth_destination 后
        #否则会成为 open relay
        check_policy_service unix:private/policyd-spf,
        check_policy_service inet:127.0.0.1:60000,
        # 后续检查
        [...]
        permit
mfrom_passed_spf =
        # 后续检查
        [...]
        permit

使用 Postfix Restriction Class，只有 SPF 返回值不是 Pass （即 SPF 中性或临时错误）时才检查 greylisting 策略，这样可以减少 greylisting 延迟带来的用户体验变差。

• /etc/postfix-policyd-spf-python/policyd-spf.conf

[...]
Mail_From_reject = Fail
Mail_From_pass_restriction = mfrom_passed_spf

要注意 policyd-spf.conf 中字段名和值的大小写。

• /etc/postfix/master.cf

[...]
policyd-spf     unix    -       n       n       -       0       spawn
        user=policyd-spf argv=/usr/bin/policyd-spf

也许用 ppolicy 更合理一点，一个模块化的 policy server 完成多种功能，通过 Python 脚本来配置检查流程。不过看起来比较复杂，也不知道以后有没有机会玩了。

用于 Drupal6 的版本，加上了 Pygments 对代码做彩色语法显示。还是很简陋而且乱糟糟的，有很多地方要完善。

需要在主题的 style sheet 里设置菜色显示的颜色方案。 Acquia Marina 有个好处是可以把自己修改的设定加在 local.css 里这样升级的时候就安全了。

• local.css

#content {
    font-size: 133%;
}

#comments h2.comments {
    text-transform: none;
    font-variant: small-caps;
}

h2.title {
    text-transform: none;
    font-variant: small-caps;
}

pre {
    font-family: "Consolas", monospace;
}

.literal {
    text-decoration: none;
    background-color: #fbeddd;
    border-width: 0 0 1px 0;
    border-style: none none dashed none;
}

/* code-block highlight scheme for Pygments output */
.highlight {
    background-color: #ddedfb;
    border-style: solid;
    border-color: #0099cc;
    border-width: 1px 0 1px 0;
    margin: 1em 0;
    padding: 0.5em 1em;
}

/* css genetated from gen_pyg_style.py should be appended here*/

上面是针对自己的喜好改的 local.css 内容，代码彩色语法的 css 可以用下面的脚本生成，加在 local.css 后面。

• gen_pyg_style.py

#!/usr/bin/python
import sys
from pygments.formatters import HtmlFormatter
style='friendly'
if len(sys.argv) > 1:
    style = sys.argv[1]
print style
f = HtmlFormatter(style=style)
print f.get_style_defs()

另外 settings.php 最好也改一下

• settings.php

1 <?php
2 $db_url = '<database url...>';
3 $db_prefix = '';
4 $update_free_access = FALSE;
5 $conf = array(
6     'reverse_proxy' => TRUE,
7     'reverse_proxy_addresses' => array('x.y.z.w',),
8     'allow_insecure_uploads' => 1,
9 );

6、7 行是放在反向代理后面而本服务器又没做特别设置时的必要措施。8 行是因为 Drupal 默认会在上传文件时把多段扩展名加个下划线，譬如 .tar.gz 的改成 .tar_.gz 的样子，号称为了安全，但相当丑陋，我不需要这种安全。