https://blog.margrop.net/tag/%E7%99%BD%E8%99%8E%E9%9D%A2%E6%9D%BF/ Recent content in 白虎面板 on 魔都水滴 Hugo zh-CN Thu, 09 Jul 2026 10:30:00 +0800 https://blog.margrop.net/post/qinglong-to-baihu-safe-migration/ Thu, 09 Jul 2026 10:30:00 +0800 https://blog.margrop.net/post/qinglong-to-baihu-safe-migration/ <blockquote> <p><strong>先说结论</strong></p> <p>从青龙面板迁移到白虎面板，最危险的做法不是“不会迁”，而是“以为复制目录就等于迁移成功”。这次我在一台隔离 Docker 实验环境里实际跑了一遍：新建青龙容器，造了两条环境变量、两个定时任务和几份脚本；再把它们迁到一套全新白虎面板里，最后用 API 和白虎页面截图核对。</p> <p>最终可稳定迁移的是三类核心资产：<code>scripts</code> 脚本文件、环境变量、定时任务。真正需要转换的是：青龙的数字 ID 要变成白虎的字符串 ID；青龙任务里的 <code>task xxx.py</code> 要变成白虎能执行的命令；青龙的标签、启停状态、环境变量关系要写进白虎自己的表结构。迁移前必须备份白虎库，迁移时最好停掉白虎容器，迁移后必须做数量核对和页面验证。</p> <p>本文不展示任何真实内网地址、主机名、私有镜像仓库、真实 Cookie、真实 Token 或生产路径。截图来自实验环境，变量值也只使用脱敏样例。</p> </blockquote> https://blog.margrop.net/post/qinglong-baihu-panel-security/ Thu, 09 Jul 2026 10:00:00 +0800 https://blog.margrop.net/post/qinglong-baihu-panel-security/ <blockquote> <p><strong>先说结论</strong></p> <p>青龙面板曾经是很多人自托管定时任务的默认选择：跑脚本、管环境变量、看日志、定时同步仓库都很方便。但 2026 年初公开爆出的青龙面板致命漏洞，把一个老问题重新摆到台面上：<strong>定时任务面板不是普通网页，它往往握着脚本、变量、通知密钥和执行权限。一旦认证被绕过，攻击者看到的不是一个登录页，而是一台可以被调度的机器。</strong></p> <p>如果你只是新装一个轻量任务面板，我现在更建议优先评估白虎面板。白虎面板采用 Go + Vue3，主打轻量、高性能、低系统开销，并且官方 README 已经明确支持 Docker / Docker Compose 部署、Mise 运行时管理、仓库任务同步、执行日志和多渠道通知。它不是“青龙的一比一复制品”，但对很多个人脚本托管场景已经够用。</p> <p>如果你因为兼容旧脚本、历史任务或迁移成本，必须临时继续用青龙面板：<strong>不要把它直接暴露在公网。</strong> 至少在前面加 VPN、零信任访问、反向代理二次认证、IP allowlist、WAF 或其它访问控制。本文给出 Windows 11、Ubuntu 26.04、macOS 26 三套一键脚本，默认部署白虎；只有显式指定时才部署青龙，并且都会把面板放到 Basic Auth 保护后面。</p> </blockquote>