星之旅

一种不错的学习型个人开发者的持续集成方案：GitHub Action

Tue, 19 May 2026 00:00:00 GMT

我在传统行业上班，公司的部署流程偏老旧，加上我这台 PC 性能也一般，所以最近一直在折腾自动部署。

GitHub Action 和之前写过的 Drone 挺像的：开发者写一个 yml 配置文件，服务读取后从上到下依次执行。

GitHub 设置#

点击 new 之后：

图中都是预设，比如 Docker 的、Java 的，我们先随便点一个。

左边区域是编写的区域，右边是插件仓库，插件仓库提供了各种别人写好的插件，比如：FTP、SFTP、SSH、Docker。

YML 示例#

1
name: java CI
2

3
on:
4
  push:
5
    branches: [ main ]
6
    paths-ignore:
7
      - 'README.md'
8

9
jobs:
10
  build:
11
    runs-on: ubuntu-latest
12
    steps:
13
      - uses: actions/checkout@v2
14
      - name: Set up JDK 17
15
        uses: actions/setup-java@v2
16
        with:
17
          java-version: '17'
18
          distribution: 'adopt'
19
      - name: Validate Gradle wrapper
20
        uses: gradle/wrapper-validation-action@v1.0.4
21
      - name: Make Gradlew Executable
22
        run: chmod +x ./gradlew
23
      - name: Build with Gradle
24
        uses: gradle/gradle-build-action@v2.1.4
25
        with:
26
          arguments: build
27
      - uses: mr-smithers-excellent/docker-build-push@v5
28
        name: Build & push Docker image
29
        with:
30
          image: inyaa/inyaa-admin
31
          tags: latest
32
          registry: ccr.ccs.tencentyun.com
33
          dockerfile: Dockerfile
34
          username: ${{ secrets.DOCKER_HUB_USERNAME }}
35
          password: ${{ secrets.DOCKER_HUB_PASSWORD }}
36
      - name: executing remote ssh commands using password
37
        uses: appleboy/ssh-action@master
38
        with:
39
          host: ${{ secrets.HOST }}
40
          username: ${{ secrets.USERNAME }}
41
          password: ${{ secrets.PASSWORD }}
42
          port: ${{ secrets.PORT }}
43
          script: |
44
            docker stop $(docker ps -a | grep "inyaa-admin" | awk '{print $1}')
45
            docker rm -f $(docker ps -a | grep inyaa-admin | awk '{print $1}')
46
            docker rmi $(docker images | grep inyaa-admin | awk '{print $3}')
47
            docker run -d -p 8080:8080 --name inyaa-admin --network inyaa --network-alias inyaa-admin --volume=/data/nginx/html/sitemap:/home/sitemap ccr.ccs.tencentyun.com/inyaa/inyaa-admin:latest

展开收起

配置逐行看#

branches: [ main ] — 提交到 main 分支才会触发。paths-ignore 用来跳过不相关的文件变更，只改 README 就不会跑。

挨个说一下：

actions/checkout — 检出代码

actions/setup-java@v2 — 配 JDK 17，OpenJDK 用的 adopt 发行版

gradle/wrapper-validation-action + gradle/gradle-build-action — Gradle 打包流程，先校验 wrapper 再跑 build

mr-smithers-excellent/docker-build-push — 用 Dockerfile 打镜像，推到镜像仓库

appleboy/ssh-action — SSH 登录服务器执行部署脚本

追加说明#

服务器地址、密码这些敏感信息，都用 ${{ secrets.xxx }} 从 GitHub Secrets 里读取，在仓库 Settings 里设置：

从 Lucky 迁移到 Nginx：我的轻量级反向代理方案

Tue, 19 May 2026 00:00:00 GMT

Lucky 确实很方便。证书自动续订、DDNS、Web 服务代理这些东西，基本都能开箱即用，点几下就能跑起来。

但我最后还是换回了 Nginx。

原因也很简单，不是 Lucky 不好用，也不是它功能不够，而是它闭源。对我来说，这种承担家庭服务入口的东西，如果太黑盒，心里总归不太舒服。哪怕它现在用着没问题，我还是更愿意把入口放在一个透明一点、可控一点的方案上。

起初我试过 Nginx Proxy Manager（NPM），但它配置起来总觉得有点绕，尤其是服务和端口一多，就不太顺手。后来换成了 nginx-ui，感觉更适合我一点。界面够简洁，底层又还是 Nginx 这套东西，出了问题也比较好查。

部署 nginx-ui#

我是用 Docker Compose 部署的，配置如下：

1
services:
2
  npm:
3
    image: uozi/nginx-ui:latest
4
    restart: unless-stopped
5
    container_name: nginxui
6
    network_mode: host
7
    environment:
8
      TZ: Asia/Shanghai
9
    ports:
10
      - 7080:80
11
      - 7443:443
12
    volumes:
13
      - /opt/dockerfile/nginxui/conf:/etc/nginx
14
      - /opt/dockerfile/nginxui/nginx-ui:/etc/nginx-ui
15
      - /var/run/docker.sock:/var/run/docker.sock

展开收起

这里有个容易踩的点。

如果你用了 network_mode: host，那 ports 这两行其实不会生效，所以不能靠 7080:80 这种映射去改访问端口。

我这里的做法是直接挂载 /opt/dockerfile/nginxui/conf，然后去改里面的监听配置。虽然麻烦一点，但逻辑是直的，后面排查也不会绕晕。

防火墙配置#

之前用 Lucky 的时候，服务基本能直接访问，很容易让人忽略掉防火墙这件事。

但自己部署 nginx-ui 之后，这一步就得自己补上了。该放行的端口还是得手动放行，不然服务明明跑起来了，外面就是进不去。

去路由器或者系统里的 防火墙 → 通信规则，把需要的端口放开，比如 7080、7443，或者你后面实际改成的 HTTPS 端口。

image

配置 DDNS（以腾讯云 DNSPod 为例）#

如果你用的是内网穿透加 DDNS 这套方案，有个细节最好别漏。

检测本机 IP 的那个 URL，记得加进代理软件的直连列表里。不然请求可能会先绕进代理，最后拿到错误的出口 IP。

这个问题不大，但很烦。因为它看起来像是 DDNS 偶尔抽风，实际上是请求路径跑偏了。

image

腾讯云子账号权限配置#

我用的子账号，只给了一套最小权限的策略。在 腾讯云控制台 → 访问管理 → 策略 里新建一个：

1
{
2
    "statement": [
3
        {
4
            "action": [
5
                "dnspod:DescribeDomainList",
6
                "dnspod:DescribeRecordFilterList",
7
                "dnspod:DescribeRecordList",
8
                "dnspod:CreateRecord",
9
                "dnspod:ModifyRecord",
10
                "dnspod:DeleteRecord"
11
            ],
12
            "effect": "allow",
13
            "resource": [
14
                "*"
15
            ]
16
        }
17
    ],
18
    "version": "2.0"
19
}

展开收起

然后把子账号的 SecretId 和 SecretKey 填到 nginx-ui 的凭证管理里：

image

配域名的时候就能直接选到它了：

image

反向代理配置这件事，还是 Nginx 更让我安心#

用了 nginx-ui 之后，我最大的感受不是它有多强，而是它更让我安心。

每一个监听端口、域名和转发规则都能拆开看，证书挂在哪、请求转到哪，也都更直观。对我来说，这种透明感比少点几下鼠标更重要。

我这边比较常见的场景，大概就是这些：

443 转发到内网 HTTPS 服务
不同二级域名分别反代到不同本地端口
使用 Let’s Encrypt 自动签发证书
配合 DDNS 实现公网访问家庭服务

这些事 Lucky 也不是不能做。

只是我最后还是更愿意把入口放在 Nginx 这套开源、标准、可控的方案里。说到底，这次迁移不是为了追求更复杂的配置，而只是因为我自己不喜欢闭源的东西。

使用 PowerDesigner 从 MySQL 反向工程生成物理数据模型并优化展示

Tue, 19 May 2026 00:00:00 GMT

把已有数据库结构反向导入 PowerDesigner 生成物理数据模型（PDM），再批量替换成中文名、按前缀自动分模块——这几步下来，模型就好读多了。

1. 新建 PDM 并连上数据库#

新建一个 Physical Data Model 文件，然后点菜单 Database → Configure Connections，左边选 Connection Profiles：

image

2. 配 MySQL 连接#

点左上角 + 新建 MySQL 连接：

image

填上主机、端口、用户名、密码和目标库名：

image

填完点 Test Connection 测通，没问题就保存。

3. 从数据库反向生成模型#

点 Database → Update Model from Database 打开选项窗口。

操作顺序：先点右侧 取消全选箭头（→|）清空默认勾选，再点左侧 选择数据库箭头（|←）选目标库，最后点 全选箭头（→|）选中所有表：

image

按上面步骤操作后，点确定就导入到 PDM 了：

image

4. 批量把英文名替换成中文注释#

PowerDesigner 默认显示英文名。如果数据库表字段已经写了中文 Comment，可以用脚本一次性替换过来。

路径：Tools → Execute Commands → Edit/Run Script

粘贴并运行以下脚本：

1
Option Explicit
2
ValidationMode = True
3
InteractiveMode = im_Batch
4

5
Dim mdl ' 当前模型
6

7
Set mdl = ActiveModel
8
If (mdl Is Nothing) Then
9
    MsgBox "当前没有打开的模型！"
10
ElseIf Not mdl.IsKindOf(PdPDM.cls_Model) Then
11
    MsgBox "当前模型不是物理数据模型（PDM）！"
12
Else
13
    ProcessFolder mdl
14
End If
15

16
Private Sub ProcessFolder(folder)
17
    On Error Resume Next
18
    Dim Tab
19
    For Each Tab In folder.Tables
20
        If Not Tab.IsShortcut Then
21
            If Tab.Comment <> "" Then Tab.Name = Tab.Comment
22
            Dim col
23
            For Each col In Tab.Columns
24
                If col.Comment <> "" Then col.Name = col.Comment
25
            Next
26
        End If
27
    Next
28

29
    Dim view
30
    For Each view In folder.Views
31
        If Not view.IsShortcut And view.Comment <> "" Then
32
            view.Name = view.Comment
33
        End If
34
    Next
35

36
    Dim f
37
    For Each f In folder.Packages
38
        If Not f.IsShortcut Then
39
            ProcessFolder f
40
        End If
41
    Next
42
End Sub

展开收起

跑完之后，模型里的表名、字段名、视图名就都换成中文了。

5. 按前缀自动分组并创建模块图表#

还能根据表名前缀（比如 act_、sys_）自动创建模块图表，把对应的表归进去。

路径一样：Tools → Execute Commands → Edit/Run Script，跑这个：

1
Option Explicit
2

3
Dim mdl, prefixMap, d, prefix, diagName
4
Dim tab, sym, symExists, diagram, tabCode
5
Dim createdCount, movedCount
6

7
Set mdl = ActiveModel
8

9
If mdl Is Nothing Then
10
    MsgBox "请在物理数据模型中运行此脚本！", vbExclamation
11
ElseIf mdl.ClassName <> "Physical Data Model" Then
12
    MsgBox "当前模型不是物理数据模型（PDM），请检查！", vbCritical
13
Else
14
    Set prefixMap = CreateObject("Scripting.Dictionary")
15
    prefixMap.Add "act_", "活动模块"
16
    prefixMap.Add "sys_", "系统模块"
17

18
    createdCount = 0
19
    movedCount = 0
20

21
    For Each prefix In prefixMap.Keys
22
        diagName = prefixMap(prefix)
23
        Set diagram = Nothing
24

25
        For Each d In mdl.PhysicalDiagrams
26
            If d.Name = diagName Then
27
                Set diagram = d
28
                Exit For
29
            End If
30
        Next
31

32
        If diagram Is Nothing Then
33
            Set diagram = mdl.PhysicalDiagrams.CreateNew()
34
            diagram.SetNameAndCode diagName, prefix & "diagram"
35
            createdCount = createdCount + 1
36
        End If
37

38
        For Each tab In mdl.Tables
39
            tabCode = LCase(tab.Code)
40
            If LCase(Left(tabCode, Len(prefix))) = LCase(prefix) Then
41
                symExists = False
42

43
                For Each sym In diagram.Symbols
44
                    If Not sym.Object Is Nothing Then
45
                        If sym.Object Is tab Then
46
                            symExists = True
47
                            Exit For
48
                        End If
49
                    End If
50
                Next
51

52
                If Not symExists Then
53
                    diagram.AttachObject(tab)
54
                    movedCount = movedCount + 1
55
                End If
56
            End If
57
        Next
58

59
        If Not diagram Is Nothing Then
60
            diagram.AutoLayout
61
        End If
62
    Next
63

64
    MsgBox "处理完成！" & vbCrLf & _
65
           "新创建模块图表：" & createdCount & " 个" & vbCrLf & _
66
           "新增表符号总数：" & movedCount & " 个", vbInformation
67
End If

展开收起

其他模块也一样，在 prefixMap.Add 里加一行就行：

1
prefixMap.Add "user_", "用户模块"
2
prefixMap.Add "order_", "订单模块"

执行后 PowerDesigner 会自动创建对应的模块图表，把匹配前缀的表归进去并自动布局：

image

总结#

跑完这五步，就能从 MySQL 反向生成 PDM、把英文名换成中文注释、按前缀自动分模块。接手上古系统或者做数据库文档标准化的时候特别好用，建议把脚本存下来，下个项目直接复用。

Spring Security 自定义后台权限过滤的方案

Tue, 19 May 2026 00:00:00 GMT

大概思路#

方案有好几种，比如注解式的 @PreAuthorize("hasRole('ROLE_admin') and hasAnyRole('ROLE_user')")，或者在配置里写 hasRole。

我的其中一种思路#

1
@Service
2
@RequiredArgsConstructor
3
public class InyaaAccessDecisionManager implements AuthorizationManager<RequestAuthorizationContext> {
4

5
    private final SecurityMetadataSource securityMetadataSource;
6

7
    @Override
8
    public AuthorizationDecision check(Supplier<Authentication> authentication, RequestAuthorizationContext context) {
9
        Collection<ConfigAttribute> collection = this.securityMetadataSource.getAttributes(context);
10
        // 遍历角色
11
        for (ConfigAttribute ca : collection) {
12
            // ① 当前url请求需要的权限
13
            String needRole = ca.getAttribute();
14
            if ("ROLE_ANY".equals(needRole)) {
15
                return new AuthorizationDecision(true);
16
            } else {
17
                // ② 当前用户所具有的角色
18
                Collection<? extends GrantedAuthority> authorities = authentication.get().getAuthorities();
19
                for (GrantedAuthority authority : authorities) {
20
                    if ("ROLE_ANONYMOUS".equals(authority.getAuthority())) {
21
                        return new AuthorizationDecision(false);
22
                    } else {
23
                        return new AuthorizationDecision(true);
24
                    }
25
                }
26
            }
27
        }
28
        return new AuthorizationDecision(false);
29
    }
30
}

展开收起

1
@Service
2
@RequiredArgsConstructor
3
public class InyaaFilterInvocationSecurityMetadataSource implements FilterInvocationSecurityMetadataSource {
4

5
    private final CacheService cacheService;
6

7
    /***
8
     * 返回该url所需要的用户权限信息
9
     *
10
     * @param object: 储存请求url信息
11
     * @return: null：标识不需要任何权限都可以访问
12
     */
13
    @Override
14
    public Collection<ConfigAttribute> getAttributes(Object object) throws IllegalArgumentException {
15
        HttpServletRequest request = ((RequestAuthorizationContext) object).getRequest();
16
        Map<String, Collection<ConfigAttribute>> cacheMap = cacheService.getConfigAttributeMap();
17
        for (String url : cacheMap.keySet()) {
18
            if (new AntPathRequestMatcher(url).matches(request)) {
19
                return cacheMap.get(url);
20
            }
21
        }
22
        throw new AccessDeniedException("当前访问没有权限！");
23
    }
24

25
    @Override
26
    public Collection<ConfigAttribute> getAllConfigAttributes() {
27
        return null;
28
    }
29

30
    @Override
31
    public boolean supports(Class<?> aClass) {
32
        return FilterInvocation.class.isAssignableFrom(aClass);
33
    }
34
}

展开收起

AuthorizationManager<RequestAuthorizationContext> 主要是对角色的验证，他加载 FilterInvocationSecurityMetadataSource 接口的数据。而 FilterInvocationSecurityMetadataSource 接口主要是做权限的匹配，其中我用到了缓存来加载所有的权限，然后通过 URL 去匹配。

而缓存内的加载大致如下：

1
public Map<String, Collection<ConfigAttribute>> getConfigAttributeMap() {
2
    if (AuthCache.size() < 1) {
3
        List<InyawSysApi> list = inyawSysApiDao.findAll();
4
        for (InyawSysApi api : list) {
5
            List<ConfigAttribute> configAttributeList = new ArrayList<>();
6
            ConfigAttribute configAttribute;
7
            switch (api.getType()) {
8
                case 0 -> configAttribute = new SecurityConfig("ROLE_ANY");
9
                case 1 -> configAttribute = new SecurityConfig("ROLE_LOGIN");
10
                case 2 -> {
11
                    InyawSysRole role = inyawSysRoleService.getById(api.getId());
12
                    configAttribute = new SecurityConfig(role.getRoleKey());
13
                }
14
                default -> throw new IllegalStateException("错误的类型: " + api.getType());
15
            }
16
            configAttributeList.add(configAttribute);
17
            AuthCache.put(api.getUrl(), configAttributeList);
18
        }
19
    }
20
    return AuthCache;
21
}

展开收起

其余就不多解释了，代码水平也一般。大概就是 API 表的 type 字段决定权限类型——当时没想好具体的权限表设计，实际也没这个需求。

最后是配置类#

1
http
2
    .authorizeHttpRequests((authorize) -> authorize
3
        .anyRequest().access(inyaaAccessDecisionManager)
4
    )
5
    .csrf(AbstractHttpConfigurer::disable)
6
    .oauth2ResourceServer(httpSecurityOAuth2ResourceServerConfigurer ->
7
        httpSecurityOAuth2ResourceServerConfigurer.jwt(Customizer.withDefaults()))
8
    .sessionManagement((session) ->
9
        session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
10
    .exceptionHandling((exceptions) -> exceptions
11
        .authenticationEntryPoint(new BearerTokenAuthenticationEntryPoint())
12
        .accessDeniedHandler(new BearerTokenAccessDeniedHandler())
13
    );

这个配置类基本是官方 Demo 的 JWT 方案，真正管权限的也就 csrf 前面那几行。