专题 · XB 现场笔记

可读的证据优先于仪表盘

Tue, 18 Aug 2026 00:00:00 +0000

监控仪表盘很方便，但方便不等于证据。本文论证：对小型静态服务，“站点是否健康"最可审计的形式，是一组运维者能阅读、能重跑、能粘进报告里的纯文本事实——而不是一个聚合的面板。

区别很重要，因为两者回答的问题不同。仪表盘是众多样本之上的透镜，调教成让你看到趋势。探针是对公共边缘的一次单一、可复现的观察。当任务是证明一次发布或诊断一个具体请求时，探针是保真度更高的产物。

仪表盘的聚合正是风险所在

仪表盘把成千上万条原始观察折成一系列聚合面板：平均延迟、错误率、可用性百分比。聚合正是审计线索变薄的地方。一个"99.98% 可用"的数字不会告诉你哪个请求失败、哪个请求头错了、今天的发布是否有被服务。除非你在别处保留原始日志，否则它是一个抹掉了产生它的证据的摘要。

对"边缘服务的是我暂存的那棵树"这种信心属性，仪表盘用错了工具。这个属性由一次确定性的观察回答，而一条终端命令就能精确回答一次。

一条可以读的探针

站点附带一个小的只读辅助脚本 downloads/check-http-headers.sh，以纯文本打印被服务的响应：

HTTP/2 200
content-type: text/html; charset=utf-8
content-security-policy: default-src 'self'; …; script-src 'none'; …

人读这一行，立刻同时知道三件事：状态是 200、类型是 HTML、无脚本策略确实在服务。把它与说"边缘 OK"的面板对比——面板要求你信任生成它的东西；请求头这一行本身就是证据。证书也用同样方式判定：把 notAfter 读成一个日期，而不是面板上的一个颜色。

用可核验的语句取代信号缺失

本站偏好的不是仪表盘，而是在构建期间强制的契约，和发布窗口内一组确定性的命令。大致是：

离线检查校验产物（每一条内部链接、每一个 SVG、无脚本边界、校验和）。
一条针对公共边缘的只读探针，一次调用确认状态、响应头与证书。
一份字节清单把被服务的树与暂存的树挂钩，使"与暂存一致"成为哈希值而非感觉。

每一处都是一个运维者能粘进 issue 或 changelog、未来的审计者能重跑的句子。它们都不需要面板才能被理解。

什么时候你确实需要仪表盘

这一切不是说观测无意义。如果你运维很多实例、聚合容量、或观察长期趋势，仪表盘是看清全局的正确视图。论断更窄：当问题只是"这一棵发布在公共边缘是否健康"时，答案存在于一次可复现的终端读取里，在它上面再叠一个面板只会增加延迟与聚合丢失，而不增加证据。

决策启发式很简单：如果一条语句可以用一条命令检查、且其输出就是证明，就优先命令；只有在你真正需要聚合处才保留仪表盘。这能让站点自己的操作故事与站点的内容一样可审计。

来源

curl 文档，从单次调用读取响应头，已核验 2026-08-18。
十二要素方法：日志，把日志当作运维者可读的事件流，已核验 2026-08-18。
OpenTelemetry：可观测性基础，可观测性即高基数、带上下文的数据，已核验 2026-08-18。

缓存校验是两只钟，不是一项新鲜度设置

Fri, 14 Aug 2026 00:00:00 +0000

缓存是引入静默正确性 bug 最容易的地方，因为缓存看起来一直正确，直到它提供了与源不一致的字节。能把这个心智模型维持清楚的，是把每个缓存都视为解码两只独立的钟，而不是一个过期值。

条件请求携带两类信息，把它们混为一谈就是陈旧内容上线的方式。一只是新鲜度——一个响应可以不询问就重用多久。另一只是校验——客户端如何询问它的副本是否仍然最新。本文通过本站点的实际响应来读这两只钟，并说明各自真正的用途。

新鲜度：多久不需要请求就能信任一个字节

新鲜度是决定一个请求是否直接从缓存命中的钟。它通常以 Cache-Control（max-age）或 Expires 日期表达。在新鲜度窗口内，缓存直接返回存储的响应，从不接触源。它的工作是降低延迟与源负载；代价是在窗口内可能提供略微落后于源的版本。

对静态站点，新鲜度窗口与不可变产物是吻合的：一次发布替换整棵树，因此短的新鲜度加一个校验器是安全、平淡的默认值。关键是新鲜度本身无法在过期后检测陈旧内容——那是第二只钟的工作。

校验：客户端如何询问"它仍然是最新的吗？"

当新鲜度过期，客户端并不一定重新下载整个资源。校验就是条件请求：发送存储的标识，源要么返回新的表示，要么返回一个状态表明存储的副本仍然有效。HTTP 定义的两个标识是 ETag（一个不透明校验器，通常由实体的字节派生）和 Last-Modified（一个时间戳校验器）。

本站的活动响应把两只钟都具体展示出来：

etag: "dkx84jwth7nkc9e"
last-modified: Mon, 24 Aug 2026 00:00:00 GMT

针对该 ETag 的条件 If-None-Match 请求产生 304 Not Modified——校验器一致，因此客户端复用缓存副本而不重新下载正文。这就是第二只钟完成其工作：一次廉价的往返，而不是一次完整传输。

为什么新鲜度与校验相互独立

两者必须分开理解，因为彼此并不蕴含。一个响应可以处于新鲜状态无需校验，然而校验标识仍然重要，为新鲜度过期那一刻做准备。反之，你也可以有强校验器，但一个导致几乎不变的资源做不必要重新验证的新鲜度策略。对静态文件，两者容易协调设定：短或公用的新鲜度、从产物字节派生的强 ETag，以及新鲜度一过客户端就走的重新验证路径。

要警惕的失败模式是把两者折叠成"缓存过期了，所以重新下载"。那忽略了校验器，把每过一次期都变成一次完整传输。压缩后的产物让往返变小——本页 HTML 只传输几千字节——但浏览器校验器的原则（缓存拒绝陈旧，同时避免冗余的完整正文传输）与大小无关。

值得断言的契约

一旦能分开命名新鲜度与校验，发布检查就能断言两者：被服务的响应头同时包含 etag 与 last-modified；新鲜度窗口足够短以保证诚实；当校验器匹配时，条件请求返回 304。这三项检查描述了一个既不会静默提供长久陈旧字节、也不会浪费带宽的缓存。这是一个比仪表盘曲线更弱的证明词，而这正是它应该进决策日志而非监控图的原因。

来源

MDN：HTTP 缓存，过期与校验作为不同机制，已核验 2026-08-14。
MDN：HTTP ETag，条件请求校验，已核验 2026-08-14。
RFC 9111：HTTP Caching，缓存过期与校验规则，已核验 2026-08-14。

零 JavaScript 静态站是可辩护的选择

Thu, 13 Aug 2026 00:00:00 +0000

静态站点不需要 JavaScript 才能站得住脚；<script> 标签的缺席本身就可能是重点。本文论证一个在线内容站点通过策略关闭脚本通道的工程依据，并用本站实际提供的请求头来证明这一论断。

论证分三部分：你删掉的攻击面；让删除可被观察的契约；以及确实该放弃这一层的情况。

你没有脚本通道，就删掉了一整类威胁面

一个不执行自身或第三方脚本的页面，一次性移除整类失败与滥用。跨站脚本存在于能运行注入代码的文档中；一个根本不能运行代码的文档，注入没有任何可升级的落点。第三方统计与挂件因为根本没有 <script> 标签可以嵌入而消失。浏览器包依赖漂移带来的供应链风险也随之消失，因为没有包。每一类都是有限、可命名的表面——也就是"小系统"那种"选择你能说清的边界"的特性。

这不是声称站点"安全"，而是声称攻击面更窄，并且关键的是更容易推理，因为它是靠构造枚举的，而不是靠审计枚举的。

让边界可强制执行的响应头

口味不是策略。这里的区别是，无脚本契约是由服务器强制执行的，而不是靠开发者的自觉。本站的活动响应带：

content-security-policy: default-src 'self'; base-uri 'self'; form-action 'none'; frame-ancestors 'none'; object-src 'none'; script-src 'none'; style-src 'self'; img-src 'self' data:

其中 script-src 'none' 指令是可强制执行的部分。即使某个未来的发布在页面里漏进一个多余的 <script>，浏览器也拒绝执行它。因此"没有 JavaScript"是一项被服务的契约，每次构建都由校验器检查（script-free），而不是一次希望。这就是"我们不用 JS"和"公共边缘拒绝运行 JS"的区别。

移除之后静态结构带来的好处

没有脚本之后，内容模型回归到更接近已发布文档的东西。缓存更简单，因为静态文件有稳定的字节身份和一个 ETag，而不是一个可变的 DOM。在终端里读线上 HTML、用"查看源代码"、或索引整棵树都很直接，因为产量就是磁盘上的普通文件。这是这个站点接受的交换：没有交互状态、没有客户端渲染、没有需要视图模型的反馈。对文档与运维站点而言，这是正确的取舍，值得写下来。

什么时候"零 JS"的论断是错的

这是一层功能，不是一张纯净的标签。一个真正需要客户端交互的站点——实时仪表盘、文档编辑器、支付流程——不应该为了迁就约束就扭曲成提供静态 HTML 再硬塞变通方案。错误的应用是削足适履地把产品切成适应约束的形状。正确的应用是认识到：用来阅读、检索、归档的内容，从"成为文档"中收益；只有在文档本身不足时才需要脚本。

对这一性质，被服务的响应头就是证据，任何一次发布都可以通过读取公共边缘复现它。这正是偏好与已部署的决策之间的差别。

来源

MDN：内容安全策略（script-src），禁用脚本执行的指令，已核验 2026-08-13。
PortSwigger：什么是跨站脚本（XSS）？，脚本无法运行时被移除的攻击类别，已核验 2026-08-13。
OWASP：内容安全策略，CSP 作为纵深防御控件，已核验 2026-08-13。