Thinking more...

電影流水帳(2026/01/01~2026/06/30)

2026-10-11T12:25:02.747+08:00

原文片名	台譯片名	IMDB	Wikipedia
The Equalizer 3	私刑教育3	https://www.imdb.com/title/tt10252944/	https://en.wikipedia.org/wiki/The_Equalizer_3
F1	F1	https://www.imdb.com/title/tt2355622/	https://en.wikipedia.org/wiki/F1_(film)
걸캅스	霹靂嬌鋒	https://www.imdb.com/title/tt10161238/	https://ko.wikipedia.org/wiki/%EA%B1%B8%EC%BA%85%EC%8A%A4
하모니	美麗的聲音	https://www.imdb.com/title/tt1588356/	https://ko.wikipedia.org/wiki/%ED%95%98%EB%AA%A8%EB%8B%88_(%EC%98%81%ED%99%94)
No Hard Feelings	珍愛硬起來	https://www.imdb.com/title/tt15671028/	https://en.wikipedia.org/wiki/No_Hard_Feelings_(2023_film)
The Grand Budapest Hotel	歡迎來到布達佩斯大飯店	https://www.imdb.com/title/tt2278388/	https://en.wikipedia.org/wiki/The_Grand_Budapest_Hotel

The Equalizer 3

私刑教育3，套路跟之前兩集差不多。故事一開始，主角 McCall 在一場槍戰下，受到重傷，輾轉到了義大利一個小鎮。在這裡，一個醫生沒問原因，就為他醫治。在復元的這段期間，他漫步在這個小鎮裡，慢慢愛上了這個小鎮。同時他也觀察到潛藏的危機，是的，這個小鎮被黑幫統治。在後續，他再次為了伸張正義，挺身而出對抗，最終大快人心，解決這些罪犯。

這一集是在義大利 Altomonte 拍攝的，可以看海，也可以爬山到觀景點看風景，取的景真的超漂亮，光看這個風景就值回票價了。

F1

妹妹因為某個原因，好像是買了 Apple TV ，還是手機之類的，所以有了 Apple TV 的免費訂閱，趁過年來看。

主角在多年前因為在賽車出了意外，從 F1 退了下來。他的好友在一些小賽事看到他，覺得可以再找他回 F1 車隊，於是就找了他回來。

他的作風老派且大膽，為車隊帶來新的氣息，慢慢的讓車隊有了得冠的希望。同隊的車手也從原本的態度做了轉變；車隊的技師也為了主角的風格而做了賽車的調整，讓車子更適合他的大膽風格。

最終，車隊取得冠軍。

我覺得這故事非常適合 Brad Pitt 的風格，Brad Pitt 特質跟主角特質就有某種程度的契合，演來絲絲入扣。

걸캅스

韓國電影，故事蠻搞笑的，也挺大快人心的。

被貶到警局便民窗口的趙智慧，還有因邁入婚姻而待在變民窗口的朴美英，在看到一個來報案，卻又不敢說的學生去自殺後，探明了女學生想自殺的原因。女學生想自殺，是因為去夜店遇到爛人下藥，導致被拍了裸照跟不雅影片，這些爛人拿照片跟影片要脅，女學生沒辦法。

智慧跟美英，還有同組的電腦高手，找了警局其他人幫忙，但沒人想理。三人看不下去，決定聯手找出爛人，進行處理。幸好皇天不負苦心人，三人慢慢抽絲剝繭，進而解決了案件。三人最後也因此調整了職位，取得勳章。

하모니

也是韓國電影，台灣這邊把故事翻拍，名稱是「陽光女子合唱團」，故事主軸是一樣的。

一群在女子監獄的女子，各有各的苦衷。女主角在入獄後才生下孩子，孩子受到眾人疼愛，只是孩子必須要滿 18 個月後送走。媽媽不捨，在知道成立合唱團有機會可以外出後，決定跟大家一起組成合唱團，來滿足這條件。

於是他們互相扶持，讓合唱團成立，並能把歌聲帶出去，進而讓女主角有機會可以外出見到孩子。蠻感人的故事，也難怪會拿來翻拍。

No Hard Feelings

珍妮佛勞倫斯在這部片放的很開。

一個年輕女子破產，老家要被拍賣，為了錢，他不惜在酒吧打工，甚至賣春。

後來有個有錢人家，為了讓孩子可以脫離處男，也想讓他多接觸人群，就找了這女子跟兒子約會。只是這女子跟這孩子接觸以後，兩人並沒有發生關係，反而產出了不一樣的火花。當然，這種故事在後面總是會有露餡的時候，孩子意外知道了父母以車子為代價，要這女子跟他發生關係。孩子自然是生氣的，鬧了一陣之後，冰釋前嫌，兩人也突破了各自的困境，繼續往前。

The Grand Budapest Hotel

再次重看。

我覺得很妙的電影，整個故事很荒謬，但看來又非常合理。

一開始是一個作家到飯店居留，遇到了飯店經理，攀談了起來。作家跟經理聊的剖愉快，只是經理有點感慨，作家問，經理說，想知道的話，今晚一起吃個飯。於是經理在吃飯的時候，把故事娓娓說出。

一個難民，進了飯店，做了飯店小僮，跟著飯店經理學習。這飯店經理手腕高明，處處留情，讓許多客人都回頭光顧。有一個大家族的貴婦非常有錢，她不想回家，只說這次回去，可能再也沒辦法回來了。

果然，他回去後，就被謀殺了。飯店經理跟飯店小僮去參加喪禮後，得知了貴婦的遺書，要把名畫留給他。大家族自然是不能接受，就派出殺手追殺律師、飯店經理。軍方單位也收到大家族的控訴，去找了飯店經理。飯店經理不甘束手就擒，就逃走，並帶了小僮去找大家族裡的管家，想知道真相。

最終，飯店經理跟小僮洗刷了冤屈，經理拿到畫，小僮跟心愛的人結婚。只是經理還是死了，小僮後來成了飯店的經理，照料著這家飯店。

然後再接到跟作家吃飯。

檔案離奇消失怎麼查？RHEL 8 auditd 刪檔稽核規則設定、驗證與注意事項

2026-10-10T11:10:07.415+08:00

問題情境：檔案不見了，但沒人承認

共用目錄裡的檔案被刪除，是維運上很常見、也很難事後追查的事件。檔案系統本身不會記錄「誰刪的」，shell history 可以被清除，也涵蓋不到腳本、排程與服務帳號的行為。

在 RHEL 8 上，要回答這個問題的標準做法是 Linux Audit（auditd）：由 kernel 在系統呼叫層級記錄事件，並保留「原始登入者」身分，即使對方用 sudo 或 su 切換過身分也追得到。

但 auditd 無法回溯。規則生效之前發生的刪除不會有任何紀錄，這是「預先佈署」的機制，而不是事後鑑識工具。

適用場景

共用資料目錄、設定檔目錄不定期出現檔案遺失，需要釐清是人為操作還是排程/程式行為
稽核或法遵要求對特定目錄保留異動軌跡
多人共用 sudo 權限的主機，需要還原到個人帳號

環境確認

RHEL 8 預設已安裝並啟用 auditd，多數情況下只需確認狀態：

rpm -q audit
sudo systemctl status auditd

若是最小化安裝或曾被移除，再補裝並啟用：

sudo dnf install audit -y
sudo systemctl enable --now auditd

設定稽核規則

臨時規則（立即生效，重開機後消失）

以監控 /data/important 為例：

sudo auditctl -a always,exit -F arch=b64 \
  -S unlink,unlinkat,rename,renameat,renameat2,rmdir \
  -F dir=/data/important \
  -F 'auid>=1000' -F 'auid!=4294967295' \
  -k important_delete

在命令列上，auid>=1000 一定要加引號。 否則 shell 會把 > 解讀為輸出重導，結果是規則載入失敗，並在目前目錄留下一個名為 =1000 的空檔案。

各參數的作用：

參數	作用
`-a always,exit`	在系統呼叫結束時一律產生稽核事件
`-F arch=b64`	比對 64 位元系統呼叫介面
`-S unlink,unlinkat,rmdir`	刪除檔案與目錄
`-S rename,renameat,renameat2`	搬移與改名（`mv` 移出目錄，效果等同刪除）
`-F dir=/data/important`	遞迴涵蓋該目錄下所有層級
`-F 'auid>=1000'`	只記錄一般使用者帳號（UID 1000 以上）
`-F 'auid!=4294967295'`	排除沒有登入身分的行程，可寫成 `auid!=unset`
`-k important_delete`	自訂關鍵字，供後續查詢與管理規則使用

永久規則

auditctl 下的規則只存在於本次開機。要永久生效，新增 /etc/audit/rules.d/50-important-delete.rules：

-a always,exit -F arch=b64 -S unlink,unlinkat,rename,renameat,renameat2,rmdir -F dir=/data/important -F auid>=1000 -F auid!=4294967295 -k important_delete
-a always,exit -F arch=b32 -S unlink,unlinkat,rename,renameat,renameat2,rmdir -F dir=/data/important -F auid>=1000 -F auid!=4294967295 -k important_delete

規則檔不經過 shell 解析，所以這裡不需要引號。b32 那一行是為了涵蓋以 32 位元介面發出的系統呼叫，避免留下可繞過的缺口。

載入並確認：

sudo augenrules --load
sudo auditctl -l

augenrules 會依檔名順序合併 rules.d 下的所有 .rules 檔，因此檔名前的數字決定規則順序。

驗證與查詢

以一般使用者登入後建立並刪除測試檔：

touch /data/important/audit-test
rm /data/important/audit-test

# 依 key 查詢，-i 會將 UID 轉成帳號名稱
sudo ausearch -k important_delete -i --start recent

一次刪除會產生一組紀錄，節錄示意如下：

type=PROCTITLE ... : proctitle=rm /data/important/audit-test
type=PATH ...      : item=1 name=/data/important/audit-test nametype=DELETE
type=CWD ...       : cwd=/home/alice
type=SYSCALL ...   : syscall=unlinkat success=yes auid=alice uid=root
                     tty=pts0 ses=12 comm=rm exe=/usr/bin/rm key=important_delete

判讀時看這幾個欄位：

欄位	意義
`auid`	原始登入帳號，經過 `sudo`、`su` 後仍不變，是追查的主要依據
`uid` / `euid`	執行當下的身分；`auid=alice uid=root` 表示 alice 透過 sudo 執行
`exe` / `comm`	實際執行刪除的程式，可分辨是 `rm`、`rsync` 還是某支腳本的直譯器
`proctitle`	完整命令列
`tty` / `ses`	終端機與登入工作階段，可對照 `/var/log/secure` 找出來源 IP
`name` + `nametype=DELETE`	被刪除的路徑

常用的查詢變化：

# 指定時間範圍
sudo ausearch -k important_delete -i --start today
# 只看特定檔案
sudo ausearch -k important_delete -i -f /data/important/report.xlsx

範圍與規則

auid 過濾條件要不要留

若使用 auid>=1000 加上 auid!=unset ，這是 RHEL 官方文件提供的指令範例，雜訊最少，但它會略過幾種很常見的「兇手」：

過濾條件	記錄得到	記錄不到
`auid>=1000` 且 `auid!=unset`	一般使用者（含其 sudo 操作、個人 crontab）	root 直接登入、root 的 crontab、systemd 服務、容器內行程
僅 `auid!=unset`	以上再加 root 直接登入與 root crontab	systemd 服務、daemon、容器內行程
不過濾 auid	所有行程	無，但需靠 `exe`、`comm`、`pid` 判斷來源，事件量也最大

實務上，檔案離奇消失的原因經常是清理腳本、logrotate、同步工具或應用程式本身。如果調查目標還不明確，建議先拿掉 auid 過濾，確認事件量可接受後再收斂。

系統呼叫規則與 watch 規則

這個寫法 -w /data/important -p wa -k important_delete，使用時，會有訊息，說這已經過時，改用系統呼叫寫法比較好。

寫法	優點	代價
`-a always,exit -S ...`	精準鎖定刪除與搬移，可加 auid 等條件	語法較長，需自行確認系統呼叫涵蓋範圍
`-w ... -p wa`	語法簡短，寫入與屬性變更一併記錄	事件量大，無法只針對刪除；較新的 audit 版本已不建議使用此寫法

只想回答「誰刪的」，系統呼叫規則較合適；若連內容被改寫也要追，再考慮擴大範圍。

監控範圍的界線

本文規則涵蓋的是「檔案從目錄中消失」。檔案被清空或覆寫（例如 > file、truncate）不屬於刪除，不會被記錄。有這類需求時要另外加入 truncate、ftruncate 以及帶寫入旗標的 open/openat，事件量會明顯上升。

實務踩坑與注意事項

1. 用 root 直接登入測試，結果查無資料
root 直接登入時 auid=0，會被 auid>=1000 排除，ausearch 回傳 <no matches>。這是規則如預期運作，不是規則失效。請改用一般帳號登入（之後再 sudo 也可以）進行驗證。

2. 無法用 systemctl 重啟 auditd
RHEL 8 的 auditd 拒絕 systemctl restart 與 stop，這是刻意的設計。調整 auditd.conf 後請用：

sudo service auditd restart

3. 規則被鎖定無法修改
若環境套用過 STIG 或 CIS 強化，規則結尾通常有 -e 2，此時任何新增或刪除都要重開機才生效。可用 sudo auditctl -s 檢查 enabled 是否為 2。自訂規則檔的檔名排序也必須在含 -e 2 的檔案之前。

4. 日誌保留量不足
預設每個檔案 8 MB、保留 5 份，總量約 40 MB。目錄異動頻繁時，證據可能在幾天內就被輪替掉。請依需求調整 /etc/audit/auditd.conf 的 max_log_file 與 num_logs，並確認 /var/log/audit 所在分割區的空間。

5. 有 root 權限的人可以改日誌
稽核紀錄存在本機，能刪檔的 root 同樣能動 audit.log。有法遵需求時，應將事件即時轉送到遠端日誌主機或 SIEM。

6. 網路檔案系統有盲區

本機是 NFS server：用戶端的刪除由 kernel 的 nfsd 處理，不經過系統呼叫，不會有紀錄，需到用戶端主機稽核。
透過 Samba 分享：刪除動作由 smbd 執行，auid 為 unset，會被過濾條件排除；即使不過濾，也只看得到 smbd。建議改用 Samba 的 full_audit 模組。

7. 目錄不存在或掛載時序
-F dir= 指向的路徑在載入規則時必須存在，否則該條規則載入失敗。若 /data 是獨立或網路掛載點，重開機後請再做一次驗證測試，確認規則確實作用在掛載後的檔案系統上。

8. 非 x86_64 架構
aarch64 沒有 unlink、rename、rmdir 這幾個舊式系統呼叫，規則需改為只列 unlinkat,renameat,renameat2。

9. 留意事件遺失
監控範圍大或刪除量高時，用 sudo auditctl -s 觀察 lost 與 backlog。lost 持續增加表示緩衝區不足，需調高 -b 或縮小規則範圍。

規則管理

查看目前生效的規則：

sudo auditctl -l

刪除單一條規則時，參數必須與新增時完全一致，只是把 -a 換成 -d：

sudo auditctl -d always,exit -F arch=b64 \
  -S unlink,unlinkat,rename,renameat,renameat2,rmdir \
  -F dir=/data/important \
  -F 'auid>=1000' -F 'auid!=4294967295' \
  -k important_delete

或者一次移除所有帶有該 key 的規則：

sudo auditctl -D -k important_delete

兩點提醒：

-D 不加 -k 會清空全部規則，在正式環境請特別小心。
上述指令只影響執行中的規則。若已寫入 rules.d，要一併刪除該檔案並重新執行 sudo augenrules --load，否則下次開機規則會回來。

小結

auditd 必須事先佈署，無法追查規則生效前的刪除。
auid 是追查的關鍵欄位，能穿透 sudo 與 su 還原到原始登入者。
auid 過濾條件決定「看得到誰」，調查初期寧可放寬。
規則上線後一定要實測，並同步處理日誌保留與遠端備份。

用 helm-diff 在升級前先看會改到什麼

2026-10-09T11:35:34.069+08:00

我管理 Helm chart 的慣例

每個 chart 我會開一個目錄，維護四個檔案：

init-repo.sh：加入 repo 的指令，記錄 repo 是怎麼加的。
upgrade.sh：安裝與升級的指令，通常是 helm upgrade --install，並用 --version 固定 chart 版本。
values.yaml：先用 helm show values <chart> 取得可調整的設定，再改成自己要的。不用 --set 是因為設定只存在指令列裡，事後很難回想當初設了什麼。
README.md：說明文件。

這些都是純文字檔，可以直接納入版本管理。

為什麼需要 helm-diff

最近用 Claude 整理自家的 k8s，發現有些 release 是早期直接下指令裝的，沒有照上面的慣例留下 values.yaml。要把它們補回來，得先確認「我補寫的 values.yaml 和叢集裡實際在跑的設定一致」，Claude 建議我裝 helm-diff 這個 plugin 來比對。

helm-diff 會把「chart 加上你的 values」算出來的 manifest，拿去和叢集裡該 release 目前的 manifest 比較，像 git diff 一樣列出差異。它只做比對，不會改動叢集。

安裝

Helm 4：

curl -sL https://github.com/databus23.gpg | gpg --import
gpg --list-keys --with-fingerprint EA17A2A206AFF8CD
# 指紋應為：C5645EF4 7482257A 1F806D2B EA17A2A2 06AFF8CD
helm plugin install https://github.com/databus23/helm-diff/releases/latest/download/helm-diff-linux-amd64.tgz

Helm 4 安裝 plugin 時預設會驗證來源證明（provenance），確認檔案確實由作者簽署、沒有被竄改，所以要先匯入作者的 GPG 公鑰，並核對指紋。只有直接指向 tarball 的網址才支援驗證。檔名裡的 linux-amd64 請依自己的作業系統與架構，到 releases 頁面挑對應的檔案。

Helm 3（需 3.18 以上）：

helm plugin install https://github.com/databus23/helm-diff

使用

升級前先看會改什麼。參數和 upgrade.sh 裡的 helm upgrade 保持一致即可：

helm diff upgrade ngf <chart> -n nginx-gateway --version <版本> -f values.yaml -C 3

-C 3 是只顯示差異前後 3 行，不加的話會印出完整 manifest。Secret 的內容預設會遮蔽。

rollback 前先看退回某個 revision 會改什麼：

helm diff rollback ngf 1 -n nginx-gateway

把手動安裝的 release 補回慣例

取出當初安裝時給的設定：helm get values ngf -n nginx-gateway -o yaml > values.yaml
用 helm list -n nginx-gateway 確認目前的 chart 版本，寫進 upgrade.sh。
執行上面的 helm diff upgrade。沒有任何輸出，就代表這份 values.yaml 和線上設定一致，可以放心納入版本管理。

其他常用的子指令

upgrade：升級會改什麼
rollback：rollback 會改什麼
revision：比較同一個 release 的兩個 revision，例如 helm diff revision ngf 1 2
release：比較兩個 release，例如 prod 和 staging

要注意 helm-diff 預設是和 Helm 記錄的上一版 manifest 比。如果有人用 kubectl edit 直接改過資源，要加 --three-way-merge 才會和叢集的實際狀態比對。

pre-commit

2026-10-04T15:47:49.984+08:00

在使用 Claude 時，Claude 建議我使用這工具搭配 gitleaks，可以在提交代碼前檢查是否有機敏資料會被提交到 git repository。

Claude 都這麼建議了，就試試吧。

在 Ubuntu 24.04 ，gitleaks 跟 pre-commit 都已經可以使用 apt 安裝。

sudo apt install gitleaks pre-commit

接下來就是配置。

目前我是先在一個 repository 測試，所以要先撰寫 .pre-commit-config.yaml

# See https://pre-commit.com for more information
# See https://pre-commit.com/hooks.html for more hooks
repos:
  - repo: https://github.com/pre-commit/pre-commit-hooks
    rev: v3.2.0
    hooks:
    -   id: trailing-whitespace
    -   id: end-of-file-fixer
    -   id: check-yaml
    -   id: check-added-large-files
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.24.2
    hooks:
      - id: gitleaks

在這裡，我使用 pre-commit 所提供的範例，剛好也是我常會用的

檢查行末空白
末行的EOF
yaml 格式
避免加入過大的檔案

再來是 gitleaks 的部份，這邊我有點猶豫的是語法，不確定我已經用 apt 安裝 gitleaks 了，是否還要加上 repo。後來想，先加上去再說，錯了再處理就好。但結果看起來是可以使用。

在編寫完成以後，執行以下指令安裝

pre-commit install

再來是 gitleaks 設定

# gitleaks 設定：沿用內建規則，再補上內建沒有的規則（#14）
[extend]
useDefault = true

# Tailscale key：tskey-<auth|client|api|scim|webhook>-<id>-<secret>
# 內建規則沒有涵蓋，見 work-diary/20261002-tailscale-oauth-secret.md
[[rules]]
id = "tailscale-key"
description = "Tailscale auth key / OAuth client secret / API key"
regex = '''\btskey-[a-z]+-[0-9A-Za-z]{6,}-[0-9A-Za-z]{16,}\b'''
keywords = ["tskey-"]

# Telegram bot token：<bot id>:AA<33 字元>（共約 46 字元）
# 內建的 telegram-bot-api-token 要求 token 前面有「telegr」，Alertmanager 的 `bot_token: <token>` 抓不到（#22）
[[rules]]
id = "telegram-bot-token-bare"
description = "Telegram bot token（不需要 telegram 關鍵字）"
regex = '''\b[0-9]{8,10}:AA[0-9A-Za-z_-]{33}\b'''
keywords = [":aa"]

然後就收工了。

pre-commit install 會把腳本寫到 .git/hooks/pre-commit ，讓 git commit 時，可以執行此腳本來檢查。

壓縮pdf

2026-09-15T20:57:46.814+08:00

MacOS的預覽程式本身就可以壓縮 pdf ，方法可以參考 Apple 官方網站的文章：https://support.apple.com/zh-tw/guide/preview/prvw1509/mac

開啟 pdf 以後，

選擇「檔案」>「輸出⋯」。
在「Quartz 濾鏡」彈出式選單中，選擇「減少檔案大小」。
儲存

這樣就可以了。

但….如果 pdf 已經壓縮過、包含向量圖、嵌入字型或特殊物件時，那麼反而可能得到反效果，檔案會變大。

我自己是有安裝 homebrew ，就想說是不是安裝什麼工具來作就好。

問了 AI ，他就說可以用 gs ，也就是 ghostscript 就可以解決。

先安裝

brew install ghostscript

接下來就執行 gs

gs \
  -sDEVICE=pdfwrite \
  -dCompatibilityLevel=1.4 \
  -dPDFSETTINGS=/ebook \
  -dNOPAUSE \
  -dQUIET \
  -dBATCH \
  -sOutputFile=output.pdf \
  input.pdf

把 input.pdf 跟 output.pdf 換掉就可以。

壓縮等級主要是調整 -dPDFSETTINGS= 參數，參數內容可以參考

參數	品質	檔案大小
/prepress	最高	最大
/printer	高	較大
/ebook	中	推薦
/screen	低	最小

ghostscript 還可以調整 pdf 內的圖片解析度

gs \
 -sDEVICE=pdfwrite \
 -dCompatibilityLevel=1.4 \
 -dColorImageDownsampleType=/Bicubic \
 -dColorImageResolution=150 \
 -dGrayImageDownsampleType=/Bicubic \
 -dGrayImageResolution=150 \
 -dMonoImageDownsampleType=/Subsample \
 -dMonoImageResolution=300 \
 -dNOPAUSE \
 -dQUIET \
 -dBATCH \
 -sOutputFile=output.pdf \
 input.pdf

其他的方法還有 pdfcpu, ocrmypdf ，這些我就沒測試了。

完整移除 pyenv

2026-09-12T08:56:07.849+08:00

我是用 homebrew 安裝 pyenv ，之前是用 pyenv 在管理 python 環境，但現在進入 AI 時代，AI 反倒不知道要載入哪個環境。

這邊後來是看到可以用 pipx 來安裝跟管理這種獨立的工具，再加上 uv 管理 python 專案更為方便，為此，乾脆就移除 pyenv 了。

若要先備份每個 python 套件，可以用以下腳本來進行

mkdir -p ~/pyenv-pip-backup

for venv in $(pyenv virtualenvs --bare | grep -v '/'); do
  echo "匯出 $venv ..."
  "$PYENV_ROOT/versions/$venv/bin/pip" freeze > ~/pyenv-pip-backup/"$venv".txt
done

這樣會把所有安裝過的套件備份到 ~/pyenv-pip-backup 目錄下。

然後用 homebrew 移除 pyenv。

brew uninstall pyenv

# 若有安裝 pyenv-virtualenv 這個 plugin（也常透過 brew 裝）
brew uninstall pyenv-virtualenv

再刪除 pyenv 檔案。

rm -rf "$(brew --prefix)/opt/pyenv" 2>/dev/null  # 保險起見清一下 opt 連結（通常不存在）
rm -rf ~/.pyenv

清理環境變數，先找看哪個檔案有

grep -n "pyenv" ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

通常內容是

export PYENV_ROOT="$HOME/.pyenv"
export PATH="$PYENV_ROOT/bin:$PATH"
eval "$(pyenv init -)"
eval "$(pyenv virtualenv-init -)"

把這些刪除掉。

最後關閉終端機，重新開，讓環境變數重新載入。

開完以後，用以下方式檢驗，照理說應該就都看不到了。

# 確認指令已消失
command -v pyenv
which pyenv

# 應該回傳「找不到指令」或空白

# 確認目錄已清空
ls -la ~/.pyenv 2>&1

# 應顯示 No such file or directory

# 確認 PATH 中已無 pyenv 蹤跡
echo $PATH | tr ':' '\n' | grep pyenv

# 應該沒有任何輸出

# 確認 brew 也不再列出
brew list pyenv 2>&1

將 pod 佈署到Control plane上

2026-09-02T05:36:13.098+08:00

一般來說，是無法佈署應用程式到 Control plane 上的，主要是要讓 Control plane 的資源儘量不受到排擠。這是因為 node 用了 annotation/taint 方式來做標記，這樣 scheduler 才知道這些 node 是不能放 pod 的。

在資源不夠的情況下，會想儘可能使用到所有 node 資源。這時候可以透過以下方式來處理

# Source - https://stackoverflow.com/a/72264143
# Posted by TheDHM, modified by community. See post 'Timeline' for change history
# Retrieved 2026-09-02, License - CC BY-SA 4.0

kubectl taint node <master-node> node-role.kubernetes.io/control-plane:NoSchedule-
kubectl taint node <master-node> node-role.kubernetes.io/master:NoSchedule-

要注意的地方，請先用 kubectl describe node來查看 taint 是打上哪一個，再看用哪一個指令。

參考資料：

https://stackoverflow.com/a/72264143

aur-malware-check

2026-06-27T08:27:43.540+08:00

Detection and analysis tools for the atomic-lockfile supply-chain attack on the Arch User Repository (AUR), generalized to a campaign-based architecture that handles multiple concurrent and historical attack waves (CHAOS RAT 2025, Russian spam packages, and future campaigns declared via campaigns.json).

簡單的說，有人把惡意代碼放到 AUR 已經沒維護的套件裏面，然後上傳。所以安裝了以後，就被惡意代碼植入了，也因為是 npm 套件的關係，相依性相對複雜，影響層面也較為廣泛。

社群因應此狀況，開了一個 repository 放檢測腳本：https://github.com/lenucksi/aur-malware-check

使用方法如下

# 安裝 uv
pacman -S uv

# 下載代碼
git clone https://github.com/lenucksi/aur-malware-check.git

# 進入目錄
cd aur-malware-check

# 建立 python venv 環境，並安裝模組
uv sync

# 執行
uv run python -m aur_check --refresh --list

其他使用方法可以參考 repository README.md 裡的 quickstart

如果發現了被植入惡意代碼，可以參考 repository 裡的 What to do If I Infected

保留系統：不要關機，改用可信媒體進行鑑識擷取。
重設所有憑證：Discord、GitHub、npm、Slack、Teams、SSH 金鑰、Vault token、雲端供應商金鑰。
檢查持久化：systemctl list-units --type=service --state=running（查看是否有不明服務）。
檢查 eBPF rootkit：ls -la /sys/fs/bpf/hidden_*
使用可信媒體清理：從 Arch ISO 開機，掛載檔案系統，移除惡意的 systemd 單元。
考慮重裝：rootkit 會讓系統失去可信度。
回報發現：https://lists.archlinux.org/archives/list/aur-general@lists.archlinux.org/

UxPlay

2026-04-06T09:10:20.914+08:00

之前是使用 RPiPlay ，讓家裡的 linux 桌機可以當作 Macbook Pro 的螢幕鏡像輸出。

去年電腦重灌，忘了裝上去，今年看的時候，發現 RPiPlay 停滯了，改推薦 uxplay 。上網找了文章，看介紹：

https://yowlab.idv.tw/wordpress/?p=2688

安裝方法可參考官方文件：https://github.com/antimof/UxPlay#running-uxplay

在 Ubuntu 24.04 已經內建，所以用 apt 就可以輕鬆安裝

sudo apt install uxplay

使用上很簡單，執行 uxplay 就可以。

uxplay

但我遇到偶爾會有畫面出不來的情況，上網查，說要調整輸出

這邊我是新增了 ~/.config/uxplayrc ，放入以下內容。

vs "autovideosink"
as 0

再重新啟動 uxplay

後續為了方便使用，我是把 uxplay 放到登入自動啟動的設定裡。

helm-dashboard

2026-04-06T08:53:00.002+08:00

可以管理 helm chart 的網頁工具。

https://github.com/komodorio/helm-dashboard

有兩種使用方式

指令列
用 helm 佈署到容器平台

指令列

安裝 (以下假定你已經安裝 helm)

helm plugin install https://github.com/komodorio/helm-dashboard.git

使用

helm dashboard -b --bind=0.0.0.0 -p 8080

這會在 port 8080 啟動一個網頁伺服器，然後就可以用瀏覽器存取了。

用 helm 佈署到容器平台

加入 helm repo

helm repo add komodorio https://helm-charts.komodor.io

更新 helm repo

helm repo update komodorio

取出 chart 可設定的參數

helm show values komodorio/helm-dashboard >values.yaml

修改 values.yaml，主要修改以下內容

ingress：我使用 tailscale ，所以 ingress 設為 tailscale
service：port 調整為 9090，這改不改沒關係
dashboard：因網頁介面內可以直接 upgrade chart，所以把 allowWriteActions 設為 true

ingress:
enabled: true
className: “tailscale”
hosts:
– host: “”
service:
port: 9090
dashboard:
allowWriteActions: true

安裝

helm upgrade --install helm-dashboard komodorio/helm-dashboard \
  --namespace helm-dashboard \
  --create-namespace \
  -f values.yaml

安裝以後，就可以使用 ingress 的 address 登入了。

畫面可參考：https://github.com/komodorio/helm-dashboard/blob/main/images/screenshot.png

電影流水帳(2024/08/01~2025/12/31)

2026-01-03T23:02:00.003+08:00

一口氣做個總結。

中文片名 (台灣譯名)	原文 / 英文片名	IMDb	英文維基百科 (Wiki)
死侍與金鋼狼	Deadpool & Wolverine	IMDB	Wikipedia
龍與地下城：盜賊榮耀	Dungeons & Dragons: Honor Among Thieves	IMDB	Wikipedia
終棘警探	Hot Fuzz	IMDB	Wikipedia
詐團圓	Scamsgiving	IMDB	N/A
尼羅河謀殺案 (2022)	Death on the Nile	IMDB	Wikipedia
王牌冤家	Eternal Sunshine of the Spotless Mind	IMDB	Wikipedia
吸血鬼特助：雷菲爾	Renfield	IMDB	Wikipedia
魔鬼總動員 (1990)	Total Recall	IMDB	Wikipedia
新幹線驚爆倒數 (2025)	Bullet Train Explosion (Netflix)	IMDB	Wikipedia
美國隊長：無畏新世界	Captain America: Brave New World	IMDB	Wikipedia
雷霆特攻隊	Thunderbolts	IMDB	Wikipedia
朱爾斯	Jules	IMDB	Wikipedia
私刑教育	The Equalizer	IMDB	Wikipedia
私刑教育2	The Equalizer 2	IMDB	Wikipedia
壞傢伙們 (韓)	나쁜 녀석들: 더 무비	IMDB	Wikipedia
白頭山：半島浩劫	백두산	IMDB	Wikipedia
騙徒 (韓)	꾼	IMDB	Wikipedia
猛毒最終章：最後一舞	Venom: The Last Dance	IMDB	Wikipedia
驚奇4超人：第一步	The Fantastic Four: First Steps	IMDB	Wikipedia
辣手神探 (港)	Hard Boiled	IMDB	Wikipedia
巨洪 (韓)	대홍수	IMDB	Wikipedia
奧本海默	Oppenheimer	IMDB	Wikipedia
愛愛愛上你	Anyone But You	IMDB	Wikipedia
當殺手戀愛時	Hit Man	IMDB	Wikipedia

Deadpool & Wolverine

死侍系列第3集，延續前面的黑色笑話風格。這次牽涉到時光變異局跟金鋼狼，死侍想加入時光變異局，時光變異局派給他任務，說因為金鋼狼死了，要找新的定錨者，豈料後來整個錯拍。死侍與金鋼狼落入 VOID ，VOID 是個奇妙的世界，被X教授的妹妹諾瓦掌管，在裏面遇到許多角色，像是霹靂火、金牌手等等的。兩人進去以後搞得天翻地覆，最終是發現了時光變異局悖論先生的陰謀。

沒有特別想重看。

Dungeons & Dragons: Honor Among Thieves

將 RPG 遊戲改編為電影的小品，我滿喜歡的。

主角本來是豎琴手，後來轉職為盜賊，跟幾個搭檔一起偷了蠻多東西。太太早逝，跟野蠻人女戰士一起撫養女兒長大。後來在偷到復活石版後，其中一個搭檔變心，轉而成了領主，並把他的女兒帶走。領主跟紅袍巫師結為同盟，各為其利。領主是要權力跟與財富，紅袍巫師則是要完成之前巫妖的術式。

接下來的冒險就是盜賊要找到女兒，他跟著野蠻人女戰士，遇到了德魯依、法師、聖騎士等人，一同冒險，找到了領主，並且擊敗了領主跟紅袍巫師，成功救回女兒。

最後，令人心碎的是，野蠻人女戰士在與紅袍巫師的戰役中，受了重傷。原本想要拿復活石版復活太太的盜賊，非常猶豫該不該救野蠻人女戰士，在與女兒溝通後，兩人都認同應該要救野蠻人女戰士，於是就讓野蠻人女戰士復活了，為整個冒險畫下了句點。

Hot Fuzz

這重看好幾次了，很有趣的故事，冰淇淋三部曲之一，是在講警察的故事。

尼可拉斯是個精實的警察，但在倫敦太過認真，反倒讓長官覺得困擾，於是將他調到鄉下的小市鎮去。

他在鄉下覺得太清閒，只能辦些小事，但慢慢的，他發現這個小鎮怪怪的，因為這個小鎮太平靜了。經過幾次兇殺案後，他終於發現，這個小鎮的社區巡視聯盟會為了要讓小鎮平靜，把惹事生非的人處理掉。尼可拉斯嚇到了，決定阻止社區巡視聯盟這樣做，就跟警長的兒子丹尼，一同阻止了社區巡視聯盟的人。

詐團圓

這在 2024 年春節時看的。

在美國的詐騙三人組王芸、Jason、華仔得知陶林企業董事長莊黃淑美來美國設展跟找兒子，就想辦法攀上關係。在設定為偶然的情況下，讓董事長遇到王芸跟 Jason，並把王芸角色設定為董事長兒子的妻子，Jason 則設定為孫子，在認祖歸宗後，兩人就跟董事長一同回到了台灣。

回到台灣以後，大家族裡的每個人都想，怎麼突然多了這兩人來分財產呢？就試著要拆穿他們。

結果最後，王芸跟 Jason 真的就是董事長兒子的妻子跟孩子，然後我不太記得了。

Death on the Nile

改編自克莉斯蒂推理女王的小說。

電影中規中矩，把該交代的都交代了。簡單的說，永遠不要假設兇手只有一個人。

Eternal Sunshine of the Spotless Mind

台譯片名真的是…不知道該怎麼說。

之前看過了，是因為 Netflix 又上了，特別又點開來看。

故事帶著淡淡的哀傷。男人和女人在一起，是必然還是偶然？如果你跟現在的愛人分手，完全遺忘了，那麼之後遇到，還有可能再一起嗎？

喬爾在某天早上上班，到了火車站，突然覺得自己必須要搭火車去蒙托克，就毅然決然請了假，上了火車。Montauk 在紐約東邊，查了一下路程，從曼哈頓搭火車過去差不多要兩小時多。喬爾在火車上巧遇了克蕾婷，緣份就是這麼令人難以捉摸，兩人陷入熱戀。沒多久，就又分手。

接下來的電影片段，開始交織著之前的殘光片影，娓娓道出整個事情的經過。

原來兩人之前就已經是一對，只是兩人分手後，喬爾與克蕾婷都去了失戀診所做了失憶手術，要讓自己忘記所有關於對方的事情。時間點不一樣，所以才導致了前面所說的再次相遇。

支線的霍華德博士與瑪麗的婚外情、派屈克與斯坦的失職，也讓整個故事更加的生動。

所以，愛情是什麼呢?

Renfield

黑色喜劇，超多血腥暴力畫面，超B級的。我是因為有尼可拉斯·凱吉而看的。剛剛看兩個主角，這麼巧都叫作尼可拉斯。

Renfield (尼可拉斯·霍特飾演)是吸血鬼 (尼可拉斯·凱吉飾演)的手下，經常需要出門幫主人找鮮血，超能力也是由吸血鬼賦予。後來他出門遇到了心儀的女子，開始有了不一樣的心態，想要離開吸血鬼。吸血鬼知道了，當然不想讓這麼忠心耿耿的手下離開，就開始了各種壓迫，而手下為了救心儀的女子也展開反抗。

印象中，最後是吸血鬼老闆步入墳墓做終。

Total Recall

剛好 Netflix 上了這片，趕緊來看這部科幻經典。(應該算吧，哈)

阿諾一直做去火星的夢，所以在某天，他就決定去能植入記憶的公司，做植入記憶，這樣就會以為自己去過火星。結果上了手術台還沒做，他就失控掙脫了。這下可好了，他以為自己是火星特工。回家路上被追殺，靠著不明所以的好身手，將這些人擊退。

他回到家以後，收到自己留下的線索，覺得必須去火星看看，就去了。到了火星，才發現有更大的陰謀，這些就是導致他自願植入記憶回到地球的原因。最後，事情真相大白。

故事有趣的地方在於記憶的部份，如果記憶可以植入，那麼阿諾所經歷的的一切到底是真還是假呢？很難說，這也是這部電影故事有趣的地方。

Bullet Train Explosion

找不到以前的推。

這部電影故事很單純，新幹線有炸彈，列車長、駕駛以及指揮中心等人要力保乘客安全。

這個部份我很喜歡，可以看到日本人實事求是的處事，在緊迫的時間裡，去推演跟找出最適解，就有點像是正宗哥吉拉那樣。

放炸彈的兇手也出人意表，讓人意想不到，他的過往也讓人心疼，最後是該救的人都救到了，順利落幕。

Captain America: Brave New World

雖然看過這部，但，沒什麼深刻的印象。

山姆成為美國隊長以後，獵鷹也有了新的繼任者。羅斯成了新的總統，請他們兩人去調查一些事情。去調查以後，發現這些人都是被控制的，對於做了什麼一無所知。

最後調查主謀是史登斯，之前他意外沾染浩克的血液，得到驚人的智力發展。羅斯總統因為心臟衰竭，請他研發藥物來治療，原本是答應史登斯在藥物研發成功後，就讓他離去，但羅斯擔心之後無法再獲得藥物，就不放人。史登斯因而不爽，才策劃了所有事情。

後來羅斯也因為藥物的關係，獲得了類似浩克的能力，可以變身為紅浩克。山姆在引他到櫻花樹，讓他回想起女兒以後，解除變身。

Thunderbolts

復仇者聯盟4以後，最喜歡的角色是黑寡婦的妹妹-葉蓮娜。

葉蓮娜在彈指事件以後，失去重心，感覺上不被需要了，所以不知道如何自處，就靠著持續接德芳亭派的任務撐下去。

在一次的任務中，他遇到了「前」美國隊長、幽靈、摹仿大師跟鮑伯，打的你死我活，這才發現都是德芳亭的陰謀。德芳亭派了大軍追殺他們，後來

幸運逃出之後，跟紅色衛兵會合。鮑伯留了下來，在四面楚歌的情況下，爆發了超能力。德芳亭看到他的潛力，將他捧為超級英雄。葉蓮娜等人則是去找德芳亭算帳，卻被鮑伯打退。後續是鮑伯的黑暗面浮現，一堆人都被他拉到虛無空間去。葉蓮娜自願進入空間，他知道鮑伯本性不壞，想救出他來。後來紅色衛兵等人也一同進去，合力解除了鮑伯的黑暗面。而德芳亭則趁勢把這些人組合為雷霆特攻隊，也就是新復仇者聯盟，掌握了權力。

這邊有打動我的地方是關於葉蓮娜感到失去重心的那段，不管是什麼人，即使受過特訓，都還是會有需要人去承接他的地方，也因此，在後面鮑伯黑化的時候，他才能去把鮑伯的良善面拉出來。

Jules

這片很有意思，是溫馨的小品。

三個老人家都很孤單，也想試著去社交，讓自己的老年生活不寂寞。

有一天，有個外星人掉到後院，改變了他們的生活，他們跟外星人變成了好朋友，三人有了共同的祕密，也成了好朋友。這段過程特別有趣，因為人家以為他們快要老人癡呆了，再加上他們三人的誤打誤撞，擦撞出不少笑料。美國是有特別的組織在調查外星人的，這次的墜落當然也在關注，所以後來三個老人掩護外星人修好飛船，就讓外星人回家去了。

The Equalizer

一個退役的特種保鑣，在過著他的退休生活。生活中遇到不平的事情，他看不慣，就出面處理。

故事很簡單，但看的就是那種打擊不平的爽感。

這次主要是拯救一個為生活所迫而被逼去賣淫的女子，還有幫助一個是有志考取警衛的同事。好像還有一個人，但我忘記了。

The Equalizer 2

基本概念跟前集一樣。

這次是幫助之前的同事，之前同事去德國調查案件，結果卻被殺死，經過調查，才發現是自己認識的人，也是前同事，於是就把他們解決了。

另外就是住在同社區的黑人少年，他把這個黑人少年拉住，讓他繼續往繪畫方向走，不要走到歧途，去幫人殺人。

나쁜 녀석들: 더 무비

壞傢伙們，馬東石的動作片。

一個警官找了三個罪犯一起辦案，結果案子愈查牽扯愈大，牽扯到警察局長跟國外的毒販，最後很颯爽的解決了。

백두산

白頭山-半島浩劫。

科學家跟政府說，火山要爆炸啦，這次的爆發會影響到整個半島。經過討論後，覺得應該可以在白頭山的礦場深處放置炸彈，就可以阻止火山爆發，所以政府就派了趙仁昌一行人去白頭山。

這組人奉命要先救出北韓的特務李俊平，因為他對北韓比較熟悉，所以需要他當嚮導。合作並不順利，李俊平一直想逃走去找女兒，幾次磨合下來，大家開始能夠有一致的口徑，前往白頭山。

俊平後來在普天找到女兒，但卻被美軍跟中國人包圍了。仁昌為了要讓俊平能帶路，啟用了核彈，嚇阻了美軍跟中國人。最後仁昌跟俊平兩人進入礦坑，放置核彈。俊平因為受了傷，決定捨命引爆核彈，讓仁昌離開，並要他好好照顧他女兒。仁昌開車離去，俊平引爆核彈，阻止了白頭山火山爆發。

電影最後，仁昌退役，跟太太還有剛滿一歲的兒子跟俊平的女兒一起吃飯，以溫馨的畫面作終。

꾼

騙徒。

這片是在 Youtube 車庫娛樂頻道上看的。

主角的父親因為一個詐騙事件而自殺，鄰居也因為跟著投資的關係，也都很慘。

轉眼經過十幾年。

有個檢察官朴希秀利用詐欺師在辦案，很有名氣，在高層也很吃的開。這時有個詐欺師黃智成出現了，被這個檢察官逮到。檢察官朴希秀發現智成在找的人跟他一樣，於是就利用他來找。

整個過程蠻刺激、緊張的，而且有抽絲剝繭的感覺。最後是一個蠻大的反轉，黃智成所找的對象其實不是朴希秀要找的人，你覺得會是誰呢？

Venom: The Last Dance

這次是遇到噬界獸，猛毒跟其他共生體一同對抗噬界獸的故事。

沒什麼印象。

The Fantastic Four: First Steps

我對這部漫威英雄電影的印象就是中規中矩，好看，但不到非常喜歡。

一開始就介紹了驚奇四超人的起源，然後直接帶入正題。銀色衝浪手來到地球，驚奇四超人透過銀色衝浪手得知有星球毀滅者，四人追蹤了訊號，前往星球毀滅者，試圖想要提早解決問題。但星球毀滅者的威能遠超過驚奇四超人想像，四人沒辦法應付，改為談判。星球毀滅者感應到蘇肚子裡的孩子，發現這孩子正是他所需要的，就提出了用孩子換取不吞食地球的要求，四人當然不肯，就逃回地球。

逃回地球以後，地球上的人以為事情解決了，但四人說明了情況後，地球人反倒怪起驚奇四超人，怎麼能因為孩子而不顧地球安危呢? 後來蘇再次說明了情況，總算取得大家的理解。李德想到或許可以利用之前的瞬移將地球轉移到安全的地方去，就出面說明，請所有人動員，在地球各地蓋了瞬移裝置。

在瞬疑裝置完成，要啟動時，銀色衝浪手來破壞，強尼追上衝浪手，跟衝浪手說聽懂了之前說的話，並且動之以情，期望衝浪手能幫助他們。衝浪手的心產生動搖，但她沒多說什麼，就這麼回去。

這時驚奇四超人又想到了新的計畫，因為還剩下一個瞬移裝置，他們想到可以直接把星球毀滅者瞬移到遙遠的地方去，爭取時間。那要怎麼吸引星球毀滅者來呢？他們想到可以把嬰兒放到瞬移裝置中間來吸引。

轉眼星球毀滅者也到了，驚奇四超人依計進行，但星球毀滅者實在很強大，並且看穿了四超人的手法，奪取了嬰兒。這時蘇發動母性的超強威能，硬是把星球毀滅者逼到裝置範圍裡，並要李德把嬰兒救走。星球毀滅者真的很強，進去以後，還可以掙脫，這時衝浪手出現，再次把星球毀滅者推進去。世界恢復和平，為之後的漫威電影再次埋下伏筆。

辣手神探

周潤發跟梁朝偉演的。

梁朝偉是警局派去的臥底，幹了不少壞事。周潤發是警察，發現梁朝偉其實也是。

後來就聯手把黃秋生的軍火組織給掀了。

這片聽說是吳宇森去好萊塢之前的最後一片，動作場面跟爆破場面毫不含糊，也可以看到年輕的毛舜筠跟梁朝偉，好看。

대홍수

巨洪。

原本以為是災難片，但看到中間的時候，從不斷的循環裡，就理解到，這其實是一部科幻片了。

簡單的說，小孩是為了情感實驗製作出來的複製人，媽媽則是一個實驗室的研究員，負責研究複製人的情感系統。這天的早上，媽媽剛被孩子叫醒，說外面有大游泳池。對，外面淹了大水，地球因為一顆大隕石擊中南極，導致海平面上升。媽媽帶著孩子逃走，但往下走不行，往上走又被逃難的人塞住。這時候有個男人呼喊了她，要他們往上走，說有直昇機會去接他們。後來終於逃到樓頂，直昇機接走媽媽，孩子被留在樓頂，男人則被射殺了。媽媽被帶到了太空船，發射到了外太空。太空船被隕石擊中，岌岌可危，媽媽說讓我來完成複製人的實驗。後面就是持續的循環三人遇到洪水逃上樓頂的過程。

故事沒有交代這個複製人情感實驗的用途是什麼，所以也無從得知重要性是什麼。

但這個循環的過程，其實跟爸爸與小孩相處是一樣的。媽媽懷胎十月，在懷胎時，就付出了情感。但對爸爸來說，要持續的相處，就會創造出愛的感覺跟親暱感。就跟電影裡的媽媽與小孩一樣，因為小孩是複製人，其實媽媽一開始對小孩子其實很陌生，也會排斥，但透過一次次的循環，媽媽也動了真感情。或許是因為這樣才會說這是情感實驗吧。

故事的最後，是媽媽理解了孩子的用心，以一個水裡的畫面做終，沒有多做解釋。

Oppenheimer

奧本海默的故事，類紀錄片的形式。

因為故事是交錯的敘事，我對不太起來。我的理解是，奧本海默一開始親共，後來沒了，但卻因為這樣被人陷害，被調查。這個調查的過程與他帶領小組研發核彈的過程交叉地敘述，交織在一起。

最後是奧本海默在投彈日本廣島後，深深覺得這個武器不應該被應用，走上反核的道路。

可能要多看幾次才會比較理解吧。

Anyone But You

愛情喜劇，改編自莎士比亞的「無事生非」。

Ben 跟 Bea 一見鍾情，但卻因為誤會以為對方不愛自己。過了幾年後，再次在好友的婚禮上相遇，被迫假扮情侶，試著打發掉彼此的父母，過程引發不少趣事。

最終兩人解開誤會，確認彼此的愛意，終成眷屬。

有看到花邊新聞，說戲外的兩人有擦出火花，但後續沒在追，也不知道怎麼了。女主角Sydney Bernice Sweeney是真的蠻漂亮的，也有不少花邊新聞。

Hit Man

故事很有意思。

蓋瑞是大學教授，兼差警局的工作。警局工作的內容主要是扮演誘餌，把可能會犯罪的人約出來，先做預防。

這次蓋瑞扮演了殺手，遇到了一個人妻，這個人妻因為丈夫是爛人，會打人，想殺掉他，所以約了殺手出來。

蓋瑞試著勸退他，並且約了幾次出來，然後他發現已經愛上她了。

後面的故事在蓋瑞不能說太多，持續跟人妻熱戀，又被警局同事嫉妒的情況下發展。不過印象中最後是皆大歡喜的樣子，蓋瑞跟人妻順利在一起，嫉妒的警局同事被幹掉，畫下了句點。

archlinux清理pacman package cache

2025-11-22T22:05:00.003+08:00

官方文件：https://wiki.archlinux.org/title/Pacman#Cleaning_the_package_cache

蠻簡單的，若要保留最後一個版本的套件，執行

sudo paccache -rk1

或是移除所有已經解除安裝套件的所有版本

sudo paccache -ruk0

要定期進行清理的話，就啟用 paccache.timer

sudo systemctl enable paccache.timer

然後修改 /etc/conf.d/pacman-contrib 裡的 PACCACHE_ARGS

PACCACHE_ARGS=-rk1

這樣就完成了。

Archlinux上的postgresql升級

2025-11-22T21:46:00.003+08:00

官方有說明，依照說明進行就可以：https://wiki.archlinux.org/title/PostgreSQL#Upgrading_PostgreSQL

但，我太久沒去注意，所以依照程序進行時，發現我舊的資料庫是 16，目前版本是 18。升級程序需要舊的 16 的檔案才可以，所以這邊紀錄過程：

取得資料庫檔案所使用的版本

cat /var/lib/postgres/data/PG_VERSION

停止服務

因為是服務無法啟動才發現 postgresql 需要升級，所以就不需要停止服務。

安裝新版的檔案

這步驟也跳過了，因為每次都是全機升級，所以已經安裝好了。

搬移檔案

主要是把原來的 /var/lib/postgres/data 更名，並建立新的資料目錄。

sudo mv /var/lib/postgres/data /var/lib/postgres/olddata
sudo mkdir /var/lib/postgres/data /var/lib/postgres/tmp
sudo chown postgres:postgres /var/lib/postgres/data /var/lib/postgres/tmp

改用 postgres 使用者身份建立資料庫

sudo -u postgres -H /bin/bash
cd /var/lib/postgres/tmp
initdb -D /var/lib/postgres/data --locale=C.UTF-8 --encoding=UTF8 --data-checksums

升級

一樣是 postgres 使用者身份，執行 pg_upgrade 來升級

pg_upgrade -b /opt/pgsql-16/bin -B /usr/bin -d /var/lib/postgres/olddata -D /var/lib/postgres/data

我是在這步驟出錯的，因為我已經升級到 18。 /opt/pgsql-16/bin 這個目錄是安裝 postgresql-old-upgrade 套件才會有的，通常安裝了 postgresql 18，postgresql-old-upgrade 裡面的檔案就是 /opt/pgsql-17/bin

參考了 Grok 的回答，對 postgresql-old-upgrade 進行降級了，先到 https://archive.archlinux.org/packages/p/postgresql-old-upgrade/ 下載舊版的檔案 postgresql-old-upgrade-16.10-1-x86_64.pkg.tar.zst ，然後安裝

sudo pacman -U postgresql-old-upgrade-16.10-1-x86_64.pkg.tar.zst

再次執行 pg_upgrade，會發現有以下錯誤

error while loading shared libraries: libicui18n.so.76
error while loading shared libraries: libicuuc.so.76

只能再次安裝 icu76，Grok 說可以用 yay 安裝，此時要離開 postgres 身份來安裝。

yay -Ss icu76

安裝後，再次切換為 postgres 使用者帳號執行 pg_upgrade，這時候是說少了 libLLVM.so.20.1。又再離開 postgres 身份，用以下指令安裝 llvm 20

yay -Syu llvm20

再切換為 postgres 身份，執行 pg_upgrade，就順利完成了。

啟動服務

執行 exit 離開 postgres 身份，檢查以下檔案，主要是跟之前 /var/lib/postgres/olddata 目錄下的做比對。

/var/lib/postgres/data/postgresql.conf
/var/lib/postgres/data/pg_hba.conf

設定改好以後，啟動 postgresql 服務。

sudo systemctl start postgresql

清理

切換為 postgres 身份，執行清理

/usr/bin/vacuumdb --all --analyze-in-stages --missing-stats-only
/usr/bin/vacuumdb --all --analyze-only

依照升級後的指令，執行

./delete_old_cluster.sh

刪除 olddata 跟 tmp

sudo rm -rf /var/lib/postgres/olddata
sudo rm -rf /var/lib/postgres/tmp

至此，大功告成。

電影流水帳(2024/06/01~2024/07/31)

2025-05-30T22:31:00.005+08:00

Seven (IMDB, Wikipedia)，台譯：火線追緝令。
Death on the Nile (IMDB, Wikipedia)，台譯：尼羅河謀殺案。

Seven

即將退休的警察 Somerset 跟一個剛到任、熱血的警察 David 一起辦詭異案件的故事。案件的凶手採用的手法挺殘忍的，經過精心設計，Somerset 發覺這可能跟宗教有關係，往這方面去追查。這邊讓我難忘的一段是 Somerset 拿了一筆錢去餐廳找了一個線人，之後才跟 David 解釋說，CIA 有在監控去圖書館借書的人，透過借閱紀錄去找到可能的凶手。乍聽之下很扯，因為在那個時間點，資訊科技並沒有像現在這麼進步，要進行這樣大規模的監控，其實很花費人力。但就陰謀論來說，其實還蠻合情合理。

最後的結局令人扼腕，David 跟他的家人落入凶手的算計之中，David 最後殺了凶手。

Death on the Nile

主角是白羅，這次案件是在尼羅河上。如果以為凶手是一個人的話，那麼可能會無法找出凶手是誰。跳脫「凶手只有一人」的既定印象以後，就可以依照線索來推斷，白羅就是這樣找出凶手的。整體來說，電影中規中矩，看來是想把阿嘉莎·克莉絲蒂推理女王的小說陸續搬上大螢幕，就來慢慢看囉。

Proxmox LXC設定

2025-03-08T22:04:00.005+08:00

LXC是輕量級的容器，Proxmox 直接提供了這功能，等於是可以拿 LXC 來當 VM，這樣可以更壓榨硬體的效能出來。

這邊主要是紀錄用的時候遇到的一些狀況：

Tailscale
podman

Tailscale

因為我 Proxmox 網路設定是用NAT，再加上沒有第二張網卡，所以就簡單用 Tailscale 讓外部可以連到 Proxmox 裡面的 LXC 跟 VM。VM 用 tailscale 沒什麼問題，但 LXC 就遇到不能用的情況。

這邊要在 lxc 容器設定 (Proxmox 主機裡的 /etc/pve/lxc/<id>.conf 裡加上以下內容

lxc.cgroup2.devices.allow: c 10:200 rwm
lxc.mount.entry: /dev/net/tun dev/net/tun none bind,create=file

podman

podman 本身就容器，等於是容器裡的容器，這邊要處理 rootless 的情況，一樣，在 lxc 容器設定 (Proxmox 主機裡的 /etc/pve/lxc/<id>.conf 加上以下內容

lxc.idmap: u 0 100000 165536
lxc.idmap: g 0 100000 165536

還有 /etc/subuid

root:100000:200000

跟 /etc/subgid

root:100000:200000

參考資料

https://forum.proxmox.com/threads/podman-in-rootless-mode-on-lxc-container.141790/

電影流水帳(2024/04/01~2024/05/31)

2025-01-30T16:20:00.004+08:00

Fast X (IMDB, Wikipedia)，台譯：玩命關頭10。
ゴジラ-1.0 (IMDB, Wikipedia)，台譯：哥吉拉-1.0。
The Union (IMDB, Wikipedia)，台譯：當我們盟在一起。
Page Eight (IMDB, Wikipedia)，台譯：第八頁。

Fast X

就動作片。從 6 以後，我就失去對這系列的興趣了。

這集其實我也沒完整看完，大致故事是第五集反派的手下，出來襲擊了第九集反派，取得他的資源，來打擊唐老大。唐老大的兒子被綁走，為了要救他兒子，所以團隊跟之前的敵人攜手合作。最後的鏡頭是在水壩那邊拍攝的，原本是探員的 Aimes 實際上是反派的人，唐老大陷入危機，水壩要爆炸了，唐老大迫不得已開車帶著孩子開下水壩，鏡頭就停在這裡，擺明要大家買單下一集。

ゴジラ-1.0

這片拍的很好，故事寫的很好，特效也很不錯。

時間點抓在二次大戰末的時候，飛機駕駛敷島其實是逃兵，他不想飛去自殺，獨自飛回島上的補給基地。飛回去後的隔天，就遇到了哥吉拉，他僥倖逃過一劫。

回到日本以後，戰後的蕭條打擊了整個日本，敷島遇到一個帶著孩子的女人，兩人一起展開了生活。原本以為日子可以隨著戰後的復甦，可以越走越順。可是，哥吉拉再次出現。敷島認清自己始終要面對，決定鼓起勇氣，找了以前的舊識，也找到飛機，再次向哥吉拉挑戰。挑戰的過程艱辛，但透過集體的計畫，最終讓哥吉拉沉入東京灣。

The Union

動作片。

男主角 Mike 是個工人，在小鎮生活著，原本以為就這樣了。在好友要結婚的前夕，高中的前女友 Roxanne 來找他，兩人聊的挺開心，原本以為會重續前緣，豈料才一轉眼，Mike 起身就到了倫敦。

原來 Roxanne 在高中畢業後就加入了特務組織，這次來是因為上個任務失敗，懷疑可能是有內鬼，需要生面孔，所以才找上他。Mike 的確不負前女友的眼光，有成為特務的潛力。經過訓練以後，開始了任務。但這任務並非想像中簡單，因為特務組織裡面發生的變化，有人有了二心。我記得反派是詐死的，他是 Roxanne 的男友 Nick。最終兩人克服了困難，解決了這個反派，也重續了前緣。

Page Eight

是因為看電影神搜推薦，所以才找來看的。這部電影沒有動作，可是男主角就是帥~

第一次看到這男主角是因為 About time，他飾演爸爸，就是他跟兒子說，我們家族可以讓時間倒回的。

Johnny 參加了一場會議，他注意到報告裡面的第八頁有古怪，所以展開了調查，並確信首相等高層有涉入。調查過程中，遭受阻攔，甚至自己的上司也死去。這期間遇到鄰居 Nancy，他也是個有故事的人，弟弟被誣賴而被定罪。Johnny 後來知道了，順勢利用這個，來處理第八頁的事件。最終並不算解決，而是透過利益的交換，達成了自身的安全，以及 Nancy 伸張正義的機會。

電影流水帳(2024/03/01~2024/03/31)

2025-01-28T21:14:00.002+08:00

重慶森林 (IMDB, Wikipedia)。
Spider-Man: Across the Spider-Verse (IMDB, Wikipedia)，台譯：蜘蛛人穿越新宇宙。
Wild (IMDB, Wikipedia)，台譯：那時候我只剩下勇敢。

重慶森林

因為想重看，就打開 Netflix 重看了。純粹只是想看梁朝偉跟王菲，沒什麼特別的理由。

兩個故事，第一個故事是失戀警察遇到快餐店打工女孩的故事，第二個故事是警察遇到毒品走私者的故事。

Spider-Man: Across the Spider-Verse

這集延伸多重宇宙的線，讓 Miles 再次遇到 Gwen ，兩個人都遇到關卡。Miles 的關卡是升學，然後遇到難纏的斑點人。Gwen 的關卡是被爸爸誤會，後來加入了維持多重宇宙秩序的蜘蛛人團隊。

故事的主線跟閃電俠一樣，都是主角改變了事件，影響了其他人，這也跟維持多重宇宙秩序的團隊相衝突。電影的最後還沒有結束，要等到第三集才會收尾。

Wild

我是因為這部電影知道有太平洋屋脊步道（Pacific Crest Trail) 的。這次是因為 Netflix 快下片，所以才趕緊看。

女主角因為母親死去，再加上自己的際遇，覺得這樣下去不行，就決定去走太平洋屋脊步道，想試著做些改變。從一開始什麼經驗都沒有，到慢慢熟練，遇到怪怪的人，遇到大火，要克服口渴，這樣的旅程的確改變了她，或者該說，她自己回想媽媽的期許跟自己的際遇，轉念想開了。

最後女主角有走完太平洋屋脊步道嗎？答案是沒有，她走到一個點就打開了自己的心結，就停止了。

我自己有因為這部電影去看了這本書步知道：PCT太平洋屋脊步道160天，看完作者的分享，真的是蠻嚮往的。

電影流水帳(2024/01/01~2024/02/28)

2025-01-27T08:14:00.001+08:00

2024年電影有在看，但都沒在寫，很多時間都放到公司的事情上了。本來已經想說就不要再寫了，但2024年快要年底的時候，翻翻自己在 blog 上寫的電影流水帳，覺得原來當時自己是這麼想的啊，就想，這應該還是要繼續寫才對。也還好都有紀錄看了什麼，所以趁2025年初趕緊補一下。

Black Adam (IMDB, Wikipedia)，台譯：黑亞當。
The Marvels (IMDB, Wikipedia)，台譯：驚奇隊長2。
FALL (IMDB, Wikipedia)，台譯：墜。
Mission: Impossible – Dead Reckoning (IMDB, Wikipedia)，台譯：不可能的任務-致命清算。

Black Adam

中規中矩的反英雄起源電影，把黑亞當的故事交代的很清楚。

正義聯盟發現有不明的力量反應前去卡哈達調查，就發現了黑亞當。經過一番交涉，黑亞當自願被捕。但卡哈達整個很亂，有個人為了讓惡魔沙巴克重生，出來亂搞，後來大家一起去阻止沙巴克。

我覺得故事安排不錯的地方是黑亞當的轉折，原本以為那個發怒大鬧遠古國家卡哈達的黑亞當是擁有超級力量的黑暗魔神，結果不是，他是卡哈達勇士「提斯-亞當」的父親。因為當時國王害怕「提斯-亞當」的力量，派了刺客去對付他們全家，而「提斯-亞當」在要死之前就把力量轉移給黑亞當。黑亞當家裡人都死了，就暴怒，屠殺了卡哈達國王的所有屬下。後面也是因為黑亞當想起自己孩子，他才出來幫助正義聯盟打倒惡魔沙巴克。

The Marvels

我覺得故事不太好，而且一開場就很突兀，他假設了觀眾都看過驚奇隊長、汪達幻視以及驚奇少女，所以沒看過，會有點難以理解。

故事就是驚奇隊長、驚奇少女跟莫妮卡因為某場意外而發生了量子糾纏，量子糾纏導致他們在使用能力時，會跟另外一個人交換位置，這次是驚奇隊長與克里人、史克魯爾人之前的恩怨而發生，最終是解決了這些事情，然後結束。

沒有什麼特別讓人印象深刻的地方。

FALL

故事很簡單，蠻有意思的，而且故事有轉折，讓人驚訝。

貝琪的先生死了，貝琪很悲傷，消沉了很久。杭特找了她一起去爬一個荒廢的電視塔，想藉此讓他忘記丈夫死去的傷痛。兩人一起去，就開始往上爬。爬到一半時，梯子斷裂，兩人陷入困境，是要冒險往下，或是繼續往上看手機是否有更好的訊號？後來兩人決定繼續往上，繼續往上的過程遇到補給被勾住；也試著發簡訊後，立刻丟手機下去，看是否能發出簡訊；還有就是看到遠方有人，發信號彈，車子卻被偷走。最後貝琪到了頂端，發現剛剛半路補給被勾住時，杭特就已經掛了，原來自己一直以為杭特還活著。這邊導演還安排了一個轉折，讓貝琪發現了自己丈夫跟杭特的一些事情。總之貝琪為了生存，他利用杭特的屍體當作手機緩衝，順利把簡訊發送給自己爸爸。爸爸收到簡訊，立刻安排人來營救，貝琪才因此脫困。

Mission: Impossible -Dead Reckoning

典型的「不可能的任務」動作片。

這次主要事件是關於「智體」，一個強大的人工智慧，疑似侵入了某潛艇，發射了魚雷打爆了另外一台潛艦。為了調查，伊森展開他的冒險。這集遇到 Grace ，是由海莉主演，海莉就是演美國隊長女友的那位，然後賜死了伊爾莎。最後飛車從懸崖上跳下來還有火車上的打鬥很精彩，大概就這樣。片尾的故事並沒有終結，勢必有下一集。

Sonatype Nexus3 資料庫遷移

2024-10-20T06:55:00.003+08:00

Nexus3 在 3.71 以後，決定不使用 OrientDB 了，要改用 h2 或 postgresql。

postgresql 是需要付費的，所以免費的選擇是使用 h2。

官方提供了遷移的方法：https://help.sonatype.com/en/orient-3-70-java-8-or-11.html

這邊整理一下我遇到的情況，我的環境是 archlinux ，安裝 nexus-oss 以後，程式放在 /usr/lib/nexus-oss，資料跟自訂設定都放在 /var/lib/nexus-oss。

第一步是先做備份。

我先建立 /var/lib/nexus-oss/backup 目錄，然後設定 owner 為 nexus。接著登入 nexus，進入 Admin，新增 Task 做備份 (請依照官方文件操作)。我把備份檔案放在 /var/lib/nexus-oss/backup 。

第二步是停止服務： sudo systemctl stop nexus-oss

第三步是進行 Migrate 。新版本要求使用 Java 11 以後的版本，所以這邊要注意，得使用跟啟動 nexus3 相應的 Java 版本來執行 Migrate。

ArchLinux 的 Java 版本可從 /usr/lib/jvm 下看到，或是用 archlinux-java status 指令察看，目前我的 nexus-oss 是用 java 11 啟動。

先切到 /var/lib/nexus-oss/backup 目錄下，執行以下指令

sudo /usr/lib/jvm/java-11-openjdk/bin/java -Xmx16G -Xms16G -XX:+UseG1GC -XX:MaxDirectMemorySize=28672M -jar /usr/lib/nexus-oss/bin/nexus-db-migrator.jar --migration_type=h2 --force=true

執行完成以後，會出現 nexus.mv.db 這個檔案。

P.S. 我本想用 Java 17 來做，但會有以下錯誤，說 Migrate fail：

module java.base does not "exports sun.nio.ch" to unnamed module

後來查了一些文章，才想到應該要用相應的 Java 版本。

第四步，把 nexus.mv.db 複製到 /var/lib/nexus-oss/db 目錄下，並設定 owner 為 nexus。

第五步，修改 /var/lib/nexus-oss/etc/nexus.properties ，增加

nexus.datastore.enabled=true

最後重新啟動，就可以了。

我後續是遇到密碼錯誤的情況，這邊再參考這篇 KB 來做：https://support.sonatype.com/hc/en-us/articles/213467158-How-to-reset-a-forgotten-admin-password-in-Sonatype-Nexus-Repository-3

我本來是依照 KB 作法，3個步驟都做了，但我後來發現只要做 Check for existing admin user 這個步驟就可以，只需要執行更新 security_user 資料表格的動作。

helm images

2024-07-13T16:03:00.005+08:00

適用情境，客戶是離線環境，沒辦法直接拉 container image，所以要先知道 helm chart 裏面用到的 container image，用這指令，就可以找到所有 helm chart 所使用到的 image，再用 skopeo/podman pull/docker pull 拉取下來，存為 tarball ，並帶到客戶端。

專案網址：https://github.com/nikhilsbhat/helm-images

安裝

安裝好 helm 以後，可以用以下指令安裝

helm plugin install https://github.com/nikhilsbhat/helm-images

使用

簡單說，就是拿 helm install 的指令來用，並改為 helm images get。

所以在配置好 helm repo 以後，就可以用 helm images 取得

例如 redis-operator

helm images get redis redis-operator/redis-operator

又例如 zabbix operator

helm images get zabbix zabbix-chart-7.0/zabbix-helm-chrt

就可以取得 container images 的網址。

題外話，應該要來熟悉一下 skopeo 怎麼用才是。

使用systemctl 啟用podman出現Failed to connect to bus

2024-06-21T08:55:00.003+08:00

在使用 sudo/su 切換身份以後，用以下指令去啟用/啟動 podman 服務，會出現以下錯誤

Failed to connect to bus: No such file or directory

查了以後，才知道是少了 DBUS 環境變數的問題：https://stackoverflow.com/questions/73814619/permission-denied-trying-to-use-rootless-podman-docker-compose-traefik-with

這個時候，只要查到 DBUS 的 socket 路徑，再去 export DBUS 環境變數即可

export DBUS_SESSION_BUS_ADDRESS=unix:path=/run/user/1000/bus
$ systemctl --user enable --now podman

啟用以後，會有 podman.sock 檔案，這個檔案的位置跟 root 身份的位置不一樣，會是在

/run/user/$UID/podman/podman.sock

這邊是要特別注意的。

終端機快速複製檔案內容到剪貼簿

2024-04-07T10:42:00.002+08:00

資料來源：How to copy and paste within a terminal in macOS or Linux?

在 MacOS 下，可以用 pbcopy/pbpaste

cat file.txt | pbcopy
pbpaste | tee foo.txt

在 Linux 下，要用 xsel，主要是參數 –input 跟 –output

# 複製到剪貼簿
cat file.txt | xsel --clipboard --input
xsel --clipboard --output | tee foo.txt

若要讓指令一致，可以用 alias

alias pbcopy='xsel --clipboard --input'
alias pbpaste='xsel --clipboard --output'

如何使用podman volume掛載nfs分享

2024-03-03T14:43:00.003+08:00

資料來源：Mount an NFS Share Using a Rootful Podman Volume (oracle.com)

在建立 volume 時，就可以指定 nfs 的資訊

sudo podman volume create --opt type=nfs --opt o=rw --opt device=10.0.0.150:/nfs-share nfsvol

在建立完成後，podman 會去掛載 nfs 分享，這部份可以使用 mount 查看到掛載到哪個資料夾。接下來 podman 就可以使用 -v 參數，去指定要使用剛剛建立的 volume ，容器啟動後，就可以使用了。

例如

sudo podman run -v nfsvol:/foo -it --rm oraclelinux:9 ls -al /foo

這就表示把建立好的 nfsvol ，掛載到容器裡面的 /foo ，應用程式就可以存取到了。

網站是用wordpress做的嗎？

2024-03-03T14:27:00.003+08:00

最近在幫朋友找 wordpress 佈景主題，所以在找是不是有工具可以分析網站，取得資訊。

結果就找到這篇：How to Discover Which WordPress Theme a Site is Using – GreenGeeks

這篇文章介紹了四個方法，其中一個方法是借助 IsItWP 這個網站。這個網站除了可以偵測網站是否用 wordpress 做的之外，也可以分析裡面用到的 plugin 或是 theme，真的是很方便。

其他兩個網站分別是

使用方法都很簡單，貼上要分析的網址就可以了。

最後一個萬不得已的方法就是看網頁原始碼了。

用trivy掃描KBOM

2024-02-18T15:54:00.004+08:00

KBOM = Kubernetes Bills Of Material，就是 Kubernetes 的物料清單。

trivy 是由 Aqua Security 所開發的一個掃描工具，現在支援了 KBOM，可以依據 Kubernetes 務料清單裡的軟體來進行掃描，並產出報告。

安裝可以從 https://github.com/aquasecurity/trivy 來下載安裝，有提供以下方式

Container image
Debian package
RPM package
Homebrew

安裝好以後，就可以使用了。

那要掃描 KBOM ，要先產出 kbom.json，用以下指令就可以產出。這邊要注意，執行 trivy 的電腦上必須已經放置 ~/.kube/config ，這樣 trivy 才能存取到 k8s cluster。

trivy k8s cluster --format cyclonedx --output kbom.json

有了 kbom.json 以後，就可以用以下指令產出報告

trivy sbom kbom.json

我的 k8s 報告如下

2024-02-18T15:29:26.693+0800	INFO	Vulnerability scanning is enabled
2024-02-18T15:29:26.694+0800	INFO	Detected SBOM format: cyclonedx-json
2024-02-18T15:29:26.720+0800	WARN	No OS package is detected. Make sure you haven't deleted any files that contain information about the installed packages.
2024-02-18T15:29:26.721+0800	WARN	e.g. files under "/lib/apk/db/", "/var/lib/dpkg/" and "/var/lib/rpm"
2024-02-18T15:29:26.721+0800	INFO	Detected OS: ubuntu
2024-02-18T15:29:26.721+0800	WARN	This OS version is not on the EOL list: ubuntu 22.04.3
2024-02-18T15:29:26.721+0800	INFO	Detecting Ubuntu vulnerabilities...
2024-02-18T15:29:26.721+0800	INFO	Number of language-specific files: 3
2024-02-18T15:29:26.722+0800	INFO	Detecting kubernetes vulnerabilities...
2024-02-18T15:29:26.728+0800	INFO	Detecting gobinary vulnerabilities...

kbom.json (ubuntu 22.04.3)

Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)


 (gobinary)

Total: 3 (UNKNOWN: 0, LOW: 0, MEDIUM: 3, HIGH: 0, CRITICAL: 0)

┌──────────────────────────────────┬─────────────────────┬──────────┬────────┬───────────────────┬────────────────┬──────────────────────────────────────────────────────────┐
│             Library              │    Vulnerability    │ Severity │ Status │ Installed Version │ Fixed Version  │                          Title                           │
├──────────────────────────────────┼─────────────────────┼──────────┼────────┼───────────────────┼────────────────┼──────────────────────────────────────────────────────────┤
│ github.com/containerd/containerd │ CVE-2023-25153      │ MEDIUM   │ fixed  │ 1.6.15            │ 1.5.18, 1.6.18 │ containerd: OCI image importer memory exhaustion         │
│                                  │                     │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2023-25153               │
│                                  ├─────────────────────┤          │        │                   │                ├──────────────────────────────────────────────────────────┤
│                                  │ CVE-2023-25173      │          │        │                   │                │ containerd: Supplementary groups are not set up properly │
│                                  │                     │          │        │                   │                │ https://avd.aquasec.com/nvd/cve-2023-25173               │
│                                  ├─────────────────────┤          │        │                   ├────────────────┼──────────────────────────────────────────────────────────┤
│                                  │ GHSA-7ww5-4wqc-m92c │          │        │                   │ 1.6.26, 1.7.11 │ containerd allows RAPL to be accessible to a container   │
│                                  │                     │          │        │                   │                │ https://github.com/advisories/GHSA-7ww5-4wqc-m92c        │
└──────────────────────────────────┴─────────────────────┴──────────┴────────┴───────────────────┴────────────────┴──────────────────────────────────────────────────────────┘

從報告可以看出軟體元件的版本跟漏洞報告。

如果不產出 kbom.json ，也可以用另外一個方式掃描

trivy k8s cluster --scanners vuln --report summary

不過這指令在我的 k8s cluster，會有問題，我猜想是我 k8s cluster 不夠力的關係，就先這樣吧。

trivy 也有 operator 可以安裝，有機會再來看看怎麼使用。

參考資料

Scanning KBOM for Vulnerabilities with Trivy