网建优选

前几天介绍“自定义的WordPress数据库错误”的时候，有个读者留言询问WordPress完全静态化的插件，我今天就推荐一个插件，可以将WordPress实现部分静态，包括最主要的首页和文章页面，目录页目前还没有静态化。这个插件的名字叫cos-html-cache，安装这个插件需要虚拟主机支持mod_rewrite功能（Linux+Apache架构），先通过修改永久链接格式将WordPress的链接结构修改为“伪HTML”格式，然后启用这个插件可以将文章页生成完全的静态HTML文章。这个插件还不能支持全静态化，但是文章页和首页的访问是最大的，这种静态化也可以极大的提高系统的效率，减少对数据库的访问量。启用这个全静态插件后，对于某些需要访问数据库的WordPress插件，可能会使其无法运行，例如原始版本的WP-PostViews插件，可以参考我对于WP-PostViews的修改方法，将插件修改为JavaScript模式即可。WordPress的cos-html-cache插件为我们系统的静态化提供了非常好的解决方案，目前的版本是2.7.3。它可以将我们首页及文章（Post）进行静态化，使得访问速度大大提高，减少了服务器端的压力。不过对于页面、标签和分类，却不起作用。为了能够实现WordPress的标签和分类的静态化，需要修改一下这个插件的代码，修改方法是：找到下面这一行：if( substr_count($_SERVER['REQUEST_URI'], '.htm') || ( SCRIPT_URI == CosSiteHome) ){将其修改为：if( substr_count($_SERVER['REQUEST_URI'], 'page') || substr_count($_SERVER['REQUEST_URI'], 'tag') || substr_count($_SERVER['REQUEST_URI'], 'category') || substr_count($_SERVER['REQUEST_URI'], '.htm') || ( SCRIPT_URI == CosSiteHome) ){在下面这一行：if( substr_count($_SERVER['REQUEST_URI'], '../')) $is_buffer = false;的后面增加一行：if( substr_count($_SERVER['REQUEST_URI'], 'comment')) $is_buffer = false;找到下面这一行：add_action('get_footer', 'CosSafeTag');用//将其注释。总的来说，这个插件的工作效率比WP-Cache要高，对于系统的性能有很大的提高，建议大访问量的WordPress博客尝试安装一下这个静态化插件。cos-html-cache的下载地址是： http://wordpress.org/extend/plugins/cos-html-cache/

WordPress有一个很有用的功能，就是在线编辑主题功能，在多人博客WordPress MU中，这一功能因为安全性问题而被禁用，这里有一个方法，可以变相开通这一功能，而又不至于影响整个系统的安全性。具体的方法是，在最新的WordPress MU 2.8.4版本中，打开wp-admin\include\mu.php文件，搜索unset( $submenu['themes.php'][10] );一行，将其注释掉。接着，搜索if ( strpos( $_SERVER['PHP_SELF'], $page ) ) {一行，将这一行代码修改为if ( strpos( $_SERVER['PHP_SELF'], $page ) && !is_site_admin() ) {，保存退出。经过这样的修改，WordPress MU就可以使用在线编辑主题功能了，并且只有WPMU的管理员可以使用，其他普通用户没有权限使用，他们打开theme-editor.php时会提示“页面已被管理员禁用”，从而保证了整个系统的安全性。

IIS5的HTTP 500内部服务器错误是我们经常碰到的错误之一，它的主要错误表现就是ASP程序不能浏览但HTM静态网页不受影响。另外当错误发生时，系统事件日志和安全事件日志都会有相应的记录。一、发生缘由：由用户方面报告故障，说是该站点上所有的ASP页面均不能访问。本地运行asp文件，IE提示：HTTP 500 - 内部服务器错误Server Application ErrorThe server has encountered an error while loading an application during the processing of your request. Please refer to the event log for more detail information. Please contact the server administrator for assistance.查看日志文件：系统日志具体描述如下：DCOM 错误 无 10010 NT AUTHORITY\SYSTEM Myserver 服务器 {3D14228D-FBE1-11D0-995D-00C04FD919C1} 没有在限定的时间内用 DCOM 注册。二、原因分析曾经删除过SA，SAM文件是保存用户密码的数据库文件，删除后，所有的用户信息就会丢失，而相应的组信息也会随之丢失，虽然重新登录过系统，系统已经重新建立了SAM文件，也重新安装了IIS，IWAM帐号也已经重新建立，但是，原用户组中的特殊信息却没有被恢复。检查“开始”->“设置”->“控制面板”->“管理工具”->“组件服务”中，“控制台根目录”->“组件服务”->“计算机”->“我的电脑”->“COM+应用程序”中，有一个IIS Out-Of-Process Pooled Applications该应用程序的ID号即为{3D14228D-FBE1-11D0-995D-00C04FD919C1}，很多系统报错找不到应用程序{3D14228D-FBE1-11D0-995D-00C04FD919C1}之类的错误，就是因为该应用程序未能启动，打开该应用程序的属性，检查标识却为IWAM用户，右键启动，报错。把IWAM加入本地Users组中，也可正常启动。确定是因为IWAM用户无权访问该应用程序所致。三、解决办法1、修改IWAM_Myserver帐号密码，在“开始”->“设置”->“控制面板”->“管理工具”->“计算机管理”中，“系统工具”->“本地用户和组”->“用户”里面，一个IWAM_Myserver（Myserver为本地计算机名）的帐号内，右键更改密码，更改为一个自定义的密码即可，假设为“1234”；2、修改IIS内部IWAM_Myserver帐号密码，在c:\inetpub\adminscripts\目录下（IIS安装默认目录），输入：c:\inetpub\adminscripts>adsutil.vbs set w3svc/wamuserpass "1234" .修改成功后，系统有如下提示wamuserpass: (string) "******"3、在“开始”->“设置”->“控制面板”->“管理工具”->“计算机管理”中，“系统工具”->“本地用户和组”->“用户”里面，确认IWAM_My server用户只在GUEST组内，再在“本地用户和组”->“组”里面，右键点击Users组属性，添加进NT AUTHORITY\Authenticated Users和NT AUTHORITY\Interactive两个用户成员，确定。4、在IIS安装默认目录下输入：c:\inetpub\adminscripts>synciwam.vbs -v将COM+程序的用户改回为IWAM用户，重新启动IIS Out-Of-Process Pooled Applications应用程序，没有再报错了，再重启IIS，检查所有WEB站点服务，故障现象解除!至此，故障现象全部排除!通过此次故障的排查，得出几点需要注意的：1、事件日志的空间设置稍微放大一些，默认才512K，根据硬盘空间，适当放大一些，避免出现日志文件已满的情况；2、不要随便轻易清空事件日志中的事件记录，很多故障现象需要从这个里面下手找原因；3、所有返回的系统提示信息一定要注意仔细查看；4、IIS中的应用程序保护应为中或高，如为低，则所有ASP页面均以本地系统权限运行，安全性存在问题。5、COM+程序的用户权限和用户启动权限很重要，应注意检查。6、系统默认组有时有重要作用，不能轻易删除或修改。7、系统重要文件（如SAM）不可轻易删除，应尽可能采取妥善的解决方法。如使用外部程序修改注册表或SAM表信息以获得管理员权限。而不要删除该文件。

康盛的系列产品，包括Discuz、UCHome、Supesite都集成了同一个用户系统——UCenter，用户登录的密码也保存在UCenter中，对于其他系统集成或导出数据到UCenter系统，通常会遇到密码生成的问题，这里就讨论一下UCenter的用户密码算法规则和生成方法。密码通常使用MD5对用户密码HASH后保存在数据库中的方法，如果黑客拿到了这个HASH数值，那么可以采用字典的方式暴力破解，如果这个字典数据库足够大，并且字典比较符合人们的设置习惯的话，那很容易就能破解常见的密码，因此UCenter采用了salt来防止这种暴力破解，salt是一随机字符串，它与口令连接在一起，再用单向函数对其运算，然后将salt值各单向函数运算的结果存入数据库中。如果可能的salt值的数目足够大的话，它实际上就消除了对常用口令采用的字典式攻击，因为黑客不可能在数据库中存储那么多salt和用户密码组合后的HASH值。UCenter的创始人密码是保存在文件中的，打开uc下面/data/config.inc.php文件，里面的UC_FOUNDERPW保存的就是密码，而UC_FOUNDERSALT保存的是SALT数值，创始人密码的创建规则是：UC_FOUNDERPW=md5（md5（PASSWORD）.UC_FOUNDERSALT），就是先将密码MD5，然后添加salt，然后再次MD5，产生的HASH数值保存在config.inc.php文件中，因此修改UC_FOUNDERPW里面的数值就可以修改UCenter的创始人密码。UCenter的用户信息是保存在uc_members表中，在这个表中，每个用户都有一个不同的随机salt字段，表中的password字段为计算后的密码，密码计算规则是$password=md5（md5（$password）.$salt），也就是将用户的密码MD5后，添加salt，然后再MD5，保存在password字段中。因此，如果进行不同系统的数据转换，可以根据这个原理，将其他系统的用户名和密码计算后，导入UCenter的uc_members表中，实现用户的迁移。例如，如果原有系统使用的是md5（password）这样的算法保存密码，那就通过程序随机生成salt，然后计算两者累加后的md5，这样就很容易计算出这个用户在UCenter中的用户密码HASH值，从而实现用户的无缝迁移。不过，如果原有系统使用的是md5（password+salt）的方式保存的密码，那就无法实现密码的平滑迁移UCenter了，即使迁移，也只能人为将其UCenter的password增加一个salt才能使用，因此，我们在平时设计系统用户密码的时候，应该尽量采用md5（md5（password）+salt）的方式保存密码，这样才能方便的实现和UCenter的接口，并且保证了安全性，通常对于英文用户名来说，自建系统使用username来做salt是个简便的方法。