OpenWebUI 是一个开源的 WebUI 项目，它提供了一个统一的界面来访问各种 AI 模型，其自建部署非常简单，拿 docker compose 基本上几下就好了。

services:
  open-webui:
    image: ghcr.io/open-webui/open-webui:main
    container_name: open-webui
    restart: unless-stopped
    ports:
      - "28880:8080"
    environment:
      - WEBUI_SECRET_KEY=xxxxxxxxx
      - OAUTH_PROVIDER_NAME=${OAUTH_PROVIDER_NAME}
      - OAUTH_CLIENT_ID=${OAUTH_CLIENT_ID}
      - OAUTH_CLIENT_SECRET=${OAUTH_CLIENT_SECRET}
      - OPENID_PROVIDER_URL=${OPENID_PROVIDER_URL}
      - OAUTH_SCOPES=${OAUTH_SCOPES}
      - ENABLE_OAUTH_ROLE_MANAGEMENT=true
      - ENABLE_OAUTH_GROUP_MANAGEMENT=true
      - ENABLE_OAUTH_SIGNUP=true
      - ENABLE_SIGNUP=false
      - ENABLE_LOGIN_FORM=true
      - DEFAULT_USER_ROLE=user
      - WEBUI_URL=${WEBUI_URL}
      - OFFLINE_MODE=true
      - ENABLE_OLLAMA_API=false
      - ENABLE_OPENAI_API=false
    volumes:
      - ./data:/app/backend/data

大段的部署就不写了，按官方文档。这里只零散记录一些小问题和技巧。

php-imagick 不支持 SVG 的警告

此实例中的 php-imagick 模块不支持 SVG。为了获得更好的兼容性，建议安装它

某个版本还误作“简易安装”……

博主 Athenavi 在这里说了一个方法，就是安装sudo apt-get install librsvg2-bin，然后在/etc/ImageMagick-6/policy.xml中适当地方加入：

proxifier的配置文件位置在 C:\Users\[changanmatu]\AppData\Roaming\Proxifier4\Profiles\xxxx.ppx，具体是哪个文件以界面设置为准。

全局常开用法

proxifier一般有两种使用模式，一种是需要个别用的时候开一下，把需要用的程序加入规则，用完关掉。这个时候其他程序能不能正常访问网络并不重要。

另一种是全局常开，一般思路是把各种不需要proxifier的访问行为携程规则，设置direct，然后最后留一条全局的，导向某个服务器。这个用法虽然理论上省心，但实际上前置direct规则的设置不是那么容易。

有一些软件的授权跟MAC地址有保定关系，典型的如略旧版本的Creo，即使破解，也必须在许可证文件中填入一个本机存在的网卡的MAC地址。

这时候的方法之一，是安装一个KM-TEST虚拟网卡，安装方法不再赘述。然后这个虚拟网卡就成为了一个不变的MAC地址，不会因为硬件更替而是的许可证失效，在 Windows To Go 这样的环境下相当好用。

如果想让MAC地址好看一些，可以在设备管理器中虚拟网卡的属性处修改MAC地址，就一个文本框，格式是001122334455这样的，没有任何连字符。但是，这个东西还有额外的讲究：一般只能以02开头，否则也没有任何提示，但起效的地址还是自动生成的哪个随机值。

最近折腾了一些异地组网的东西。主要是节点小宝和EasyTier。

用起来都不复杂，并且节点小宝的穿透成功率达到了灵异级，我怀疑是用了用户间P2P或者有一些跟运营商相关的PY，否则实在没法解释其性能，但即使是这样也没啥不好的。实在敏感的数据用虚拟机隔离加HTTPS也就是了。

相对而言，EasyTier的穿透成功率中规中矩，在家庭网络环境下还是以中继为主。好处是这东西有自组织P2P，可以把多个便宜的VPS并联起来用。

更正，上面一句是刚装好时写的，刚才回去看，发现 EasyTier 中原本几个显示relay的节点，现在都变成了 p2p，也是神奇。

OnlyOffice文档服务的单独安装

大文件问题的解决

只读模式

就我而言，搞OnlyOffice主要是为在线预览，以及缩略图生成等，基本上不会在线编辑。 虽然OnlyOffice现在的兼容性做的很好了，但还是没达到让我放心编辑文件的程度，毕竟本地又不是没有巨硬版。

同时，OnlyOffice又有一个无法关闭的“自动保存”功能，默认情况下基本上是打开之后就开始保存，不小心点一下键盘就是一个新版本存上去的， 倒不是可惜这点硬盘，主要是担心他给我一保存，把一些文件里面的格式弄坏了，或者图片变成低分辨率了，公式无法编辑了等等。

安装

手动配置十分麻烦，并且官方貌似已经弃疗，给出的文档明显缺东西， 并且要求使用一个最近几个版本中早已不再发布的openkm-6.x.x-community-tomcat-bundle.zip。 因此奉劝大家不要以身试法。

现在的方法是，安装openjdk 8， 然后下载官方给的OKMInstaller.jar文件，然后：

基础安装

1. 安装anaconda或者miniconda，我个人比较喜欢后者
2. 创建一个新的独立环境，比如说conda create -n thelab
3. 进入这个环境，conda install jupyterlab
4. conda install jupyterlab-language-pack-zh-CN中文包
5. conda install jedi-language-server pyright python-lsp-server texlab若干附加包，反正硬盘很便宜。

个人维护的话，特点是精力欠缺，维护周期和时间得不到保证，尤其是周期，这个其实很致命。 很多事情可能每天能抽十分钟出来看看也许就避免了，但很多时候就是懒得看。

安全体系结构的设计

1. 缩小暴露面积

   a. 能缩进内网就缩内网，用frp、端口映射一类的转外网；

   b. 能不开的端口就不开，能合并的合并。合并端口是为了降低管理难度；

   c. 善用IP封锁，比如一些肯定是给自己用的东西，就把国外IP封掉。

2. 孤立运行环境，是软件就有漏洞，避免出了漏洞一窝端

   a.不要吝啬虚拟机，该装就装，不相关服务不要塞到一起，那点CPU跟数据比不值钱

   b.能用docker就用

3. 凡事多考虑：要是这一层措施失效了咋办？

4. 可以考虑开Guacamole这样的中心服务器，然后关掉面向其他方向的ssh访问。但中心这台Guacamole一定要保护好，TOTP啥的都给开了。

code-server是第三方构建的vscode网页版，在有公网服务器的情况下， 可以实现从任意浏览器访问自己的开发环境。 并且对弱网络的优化也是比较到位的，基本上感受不到延迟， 全屏之后跟微软版本的vscode感受不出来区别。

缺点是，这毕竟是个第三方的东西，微软把一些高价值的玩意儿自己圈起来了， 典型的像msvc调试器，pylance语言服务器，code-server是用不起来的。 但即使除去这些，功能已经比较惊艳了。