注册参考

申请ApiKey

登陆openai后，去Api Keys管理申请key

Pip安装Openai

pip install openai

编写Python程序

import os
import openai
openai.api_key = "sk-xxxxxx" ## apikeys

question="How to earn billions?"

print(f'Question : {question}')
response = openai.Completion.create(
    model="text-davinci-003",
    prompt=question,
    temperature=1,
    max_tokens=1024,
    top_p=1,
    n=1,
    frequency_penalty=0.0,
    presence_penalty=0.0
)
if 'choices' in response:
    if len(response['choices']) > 0:
        answer = response['choices'][0]['text']
    else:
        answer = 'Sorry!'
else:
    answer = 'Sorry!'
        
print(f'Answer : {answer}')

定义虚拟世界

3D建模

常规建模

通过对模型的矢量定义建模

标准化建模

将部分组件标准化，通过简单的拼装实现复杂世界的建模；

目前主要的建模组件，可以在10分钟内构建一个大约20平米的可交互空间

成熟度：4

主要的技术实现：

• 沙盒建模游戏：如Roblox、Minecraft
• 3D引擎：Unreal Engine、Unity

渲染

基本视野渲染

本质上是将空间直角坐标系的建模，渲染为以双眼为原点的极坐标系，再合并角度采样并输出为平面坐标。

高级渲染让世界更真实

基本视野渲染是以眼睛为出发点，向外直线扩散，将直线碰到的实体像素信息转化为可见的像素，这种方式简单的认为是每个物体都在发光，光沿着直线传递到人的眼睛。但真实世界，眼睛的成像是由光源发出的光，经过不同物体表面的反射，最终传入到人的眼睛的，非光源只会反射自身不会发光，这就造成了直极坐标转化的方式无法表达很多真实世界的细节，如物品的阴影，水的倒影，水底的折射等等，造成人很容易的区分出真实世界和模拟世界

成熟度：2

主要的技术实现：
光线追踪：是记录光的轨迹参与3D还原渲染的技术，这需要经过无比庞大的计算，目前的计算能力也只能追踪个位数的光源和有限个反射数量的光。这是目前的VR走向真实瓶颈之一

人与虚拟的链接

视觉连接

清晰度

PPD (Pixels Per Degree) 角分辨率，指视场角中的平均每 1° 夹角内填充的像素点的数量。
PPD = 单眼成像外接圆的直径像素点数量 ÷单眼成像的对角线的视场角 FOV。

人类视网膜模PPD的极限为70，通常在50

成熟度：3

但是目前主流的技术离这个目标相差甚远，以4K的VR显示器来讲，假如FOV=110度，PPD只有19.6，甚至不如两块1080P的电脑显示器。

相信随着工艺的提升，未来一定会有视网膜VR产生

参考https://m.paoka.com/info/478

景深

景深是指当焦距对准某一点时，其前后都仍可清晰的范围；根据凸透镜原理，固定的焦距决定了能成实像的距离，由于人类的视觉处理的宽容度，前后一定范围仍然是“感觉清晰”的，这个就是景深，景深同样受瞳孔大小等影响。
所以景深是决定视觉真实度的关键因素，现在主流VR的平面显示器类似于照片，只能现实出一个固定景深的视觉信号，眼球的晶状体是动态的调整焦距的，这样就会产生真实与虚拟的差异

图片来自网络

成熟度：2

主要的技术实现：

• 模拟景深：通过捕获人眼睛焦点，动态计算景深的成像，转化为平面显示器像素点
  • Oculus正在研发中的解决方案即将会在Siggraph大会上展示，名为“focal surface display（焦平面显示）”。这项技术旨在更准确地模拟我们人类眼睛的工作原理
• 光场：通过光纤矩阵替代平面显示器素点矩阵，投影完整光场

无论哪种技术，都需要庞大的计算量，尤其是光场技术，这同样也是目前的VR走向真实瓶颈之一

不只有视觉

方位感

成熟度：4

主要的技术实现：

• 相对定位：将标记物放在活动区的周围，发出电波或超声波，由人佩戴的设备检测距离而计算出位置，结合陀螺仪，精确定位；
• 视觉定位：由人佩戴的摄像头或固定的摄像头，通过视觉计算定位，这种技术的精度对算法有要求，但可识别上限更高，不依赖佩戴的设备，可以精确识别人的每一块肌肉的动作，包括表情。
• 混合定位

听觉

通过声音在空间的传播，结合空间定位的人耳的朝向和距离，模拟耳朵听到的声音和时间差，分别向双耳朵传递，还原真实声音。

成熟度：5

空间声学已非常成熟。

主要的技术实现：

• Dolby
• DTS:X

触觉及力回馈

成熟度：1

主要的技术实现：
力反馈手套：Dexmo
Dexmo是世界上最便携的力反馈手套，为研究者，企业和消费者而生。它所提供的自然、直觉的触感可以让每一个人都能亲密地触碰真正的沉浸式VR世界。

嗅觉

成熟度：1

主要的技术实现：
气味模拟：Architecture of Scent
OVR Technology工作室推出名为Architecture of Scent（AOS）的VR气味模拟系统重为130g，可模拟250种气味，从而大大提升VR体验的沉浸感 ；Architecture of Scent结合了硬件、软件和气味套件，并旨在精确复制数字世界中的复杂感官体验

部分资料来自网络，

安装Kroki

使用Docker安装Kroki

version: '3'
services:
  kroki:
    image: 'yuzutech/kroki:latest'
    container_name: kroki
    restart: always
    ports:
      - '8000:8000'

配置Ghost的Nginx

location /kroki/ {
        proxy_pass http://kroki:8000/;
}

Ghost配置

在code-injection 的Site Footer中加入以下脚本

<script>
let plantumlCodes=$("code.language-plantuml")
plantumlCodes.each(function(index,element){
    let _this=$(this);
    let renderBody=_this.parent()
    $.ajax({
        url: "/kroki/plantuml/svg",
        headers: {          
            Accept: "image/svg+xml",
            "Content-Type": "text/plain; charset=utf-8"   
        },
        data: _this.html(),
        method: "POST",
        success: function (result) {
            renderBody.empty();
            renderBody.get(0).appendChild(result.children[0]);
        }
    })
})
</script>

验证

class A
class B extends A

Overall

关于Dell U3219Q是否闪屏

权威

TUV确实可以查到U329Q的Flicker Free证书
https://www.certipedia.com/quality_marks/1419058750?locale=en&certificate_number=50501761

TUV的Flicker Free的标准也有官方的解释

Flicker Free

• TÜV Rheinland has tested this product to ascertain whether the display produces visibly and invisible flicker for the human eye and therefore strains the eye of the user.
• TÜV Rheinland has defined a catalogue of tests, which sets out minimum standards at various frequency ranges. The test catalogue is based on internationally applicable standards or standards common within the industry and exceeds these requirements.
• The product has been tested in the laboratory according to these criteria.
• The keyword "Flicker Free" confirms that the device has no visible and invisible flicker defined in this standard within the range of 0 - 3000 Hz under various brightness settings.

可以看到，TUV的认证如果没有问题，那应该是没有3000hz以下的闪烁的。

但从rtings的测试看，它确是一块PWM屏，https://www.rtings.com/monitor/reviews/dell/u3219q

Flicker-Free No
PWM Dimming Frequency 200 Hz
Unfortunately, this Dell monitor is not flicker-free. There is a very high-frequency flicker, as well as a 200Hz wobble. The high-frequency flicker isn't noticeable, but the 200Hz wobble can be noticed on our moving RTINGS logo pattern when the backlight is turned down. If you find that flicker is bothering you then set the backlight to 100% where there is no noticeable flicker.

按rtings的说法，它用了一个非常高的频率，但会出现一个200hz的抖动。

测试

刚好手上有几个设备做为对比，一个是比较老的三星U28D590，这个显示器在30亮度以上是DC调光，30以下是240hz的PWM调光，另一台是索尼的85x95j电视，这个是720hz的PWM调光

慢镜头测试

手上只有比较老的iPhone XS Max，支持240的录制，分别对U28D590，85x95j，U3219Q录制回放。

可以看到U28D590在高亮度下是看不到闪烁的，而在低亮度切换为PWM调光后可以明显捕捉到刷新的条纹。

使用PWM调光的85x95j由于频率比较高，240的慢镜头下是看不到闪烁的。

而U3219Q非常特别，首先它在黑白以及纯色下是看不到闪烁的，而在灰色下，可以看到闪烁，这种闪烁又不像U28D590的PWM调光一样，能捕捉到刷新条纹，更神奇的只有灰色下可以拍出闪烁，纯白纯黑都不会。所以rtings的200hz的抖动的说法很可能成立的，但是这个闪烁不仅仅在低亮度下能捕获，在最高亮度，按rtings的测试应该是无闪烁的，也可以捕捉到。

它太特殊了，还是要进一步验证

相机快门

tftcentral关于PWM解释(http://tftcentral.co.uk/articles/pulse_width_modulation)里也提到了一种方法，使用相机快门拍摄移动的物体，手上刚好有5D3的单反，我专门制作了一条3px的灰色线条

使用1/10的快门匀速移动拍摄，可以看到
U28D590在DC调光下呈现出一个均匀的长方体

而在PWM调光下呈现出来是一排线，线的数量乘以快门刚好是240

85x95j由于是PWM调光同样是一排线，数量乘以快门是720，也说明至少720以下的PWM是可以被这种方法捕获的。

U3219Q无论在高亮度还是低亮度下均为长方体


甚至也看不出来有亮度的变化，理论上200hz的抖动在这种拍摄下应该会呈现出有渐变条纹的方块，但它居然非常的均匀

总结

可以确定一点，U3219Q肯定不会是720hz以下的PWM调光，这也是它为什么能获得TUV认证的原因，至于有没有200hz的抖动，我也很难确定，但从慢镜头看，应该是有一定的不稳定存在的，为什么只在灰色下面捕捉到，以及为什么在最高亮度按rtings的测试应该是无闪烁的也能捕捉到，这个迷题超出我的认知了。

总体上说，U3219Q肯定用了一种非常特别的调光方式，和它同面板的LG 32UN99使用DC调光明显烧屏，而后继型号32UL950换成了PWM 240hz调光，U3219Q的调光或许是这块面板的最佳选择。

基础安装配置

初始化

网线接入第一个网口（只能第一个网口），通过浏览器访问控制台，初始化配置

开启硬件NAT

开启NAT需要使用SSH登陆，帐户为在初始化设置的管理员账户

show ubnt offload

configure
set system offload hwnat enable
commit
save

sudo reboot

高级配置

UPNP

UPNP可以让你的设备点对点通信，以及自动的NAT穿透

以下配置仅适配PPPOE模式，不适配DHCP模式

show ubnt offload

sudo su
configure
set service upnp2 wan pppoe0
set service upnp2 listen-on switch0
set service upnp2 nat-pmp enable
set service upnp2 secure-mode enable
commit
save
exit

sudo reboot

DDNS

配置DDNS

vi /config/scripts/aliddns/aliddns_erx.sh

#!/bin/sh

aliddns_ak=ak  #ak
aliddns_sk=sk #sk
aliddns_name=home
aliddns_domain=xxx.online
aliddns_type=A
aliddns_dns=223.5.5.5
aliddns_record_id=""
aliddns_ttl=600
aliddns_version=1.0


now=`date`

die () {
    echo $1

}

file_name="/tmp/aliddns_$aliddns_name.$aliddns_domain.$aliddns_type.id";

if [ -f "$file_name" ];then
aliddns_record_id=`cat $file_name`;
else
aliddns_record_id=""
fi

ip=`ip addr show dev pppoe0 |awk -F" " 'NR==3 {print $2}'`

current_ip=`host $aliddns_name.$aliddns_domain $aliddns_dns |grep 'has address' 2>&1`


echo "curl_ip: $ip   dns_ip:$current_ip" 

if [ "$?" -eq "0" ]
then
    current_ip=`echo "$current_ip" | tail -n1|awk -F ' ' '{print $4}'`
     echo "dns_ip:$current_ip" 
    if [ "$ip" = "$current_ip" ]
    then
        echo "skipping"
        exit 0
    fi 
fi


timestamp=`date -u "+%Y-%m-%dT%H%%3A%M%%3A%SZ"`

urlencode() {
    # urlencode <string>
    out=""
    while read -n1 c
    do
        case $c in
            [a-zA-Z0-9._-]) out="$out$c" ;;
            *) out="$out`printf '%%%02X' "'$c"`" ;;
        esac
    done
    echo -n $out
}

enc() {
    echo -n "$1" | urlencode
}

send_request() {
    local args="AccessKeyId=$aliddns_ak&Action=$1&Format=json&$2&Version=2015-01-09"
    local hash=$(echo -n "GET&%2F&$(enc "$args")" | openssl dgst -sha1 -hmac "$aliddns_sk&" -binary | openssl base64)
	#echo  "http://alidns.aliyuncs.com/?$args&Signature=$(enc "$hash")"
    curl -s "http://alidns.aliyuncs.com/?$args&Signature=$(enc "$hash")"
}

get_recordid() {
    grep -Eo '"RecordId":"[0-9]+"' | cut -d':' -f2 | tr -d '"'
}

query_recordid() {
    send_request "DescribeSubDomainRecords" "SignatureMethod=HMAC-SHA1&SignatureNonce=$timestamp&SignatureVersion=1.0&SubDomain=$aliddns_name.$aliddns_domain&Timestamp=$timestamp&Type=$aliddns_type"
}

update_record() {
    send_request "UpdateDomainRecord" "RR=$aliddns_name&RecordId=$1&SignatureMethod=HMAC-SHA1&SignatureNonce=$timestamp&SignatureVersion=1.0&TTL=$aliddns_ttl&Timestamp=$timestamp&Type=$aliddns_type&Value=$(enc "$ip")"
}

add_record() {
    send_request "AddDomainRecord&DomainName=$aliddns_domain" "RR=$aliddns_name&SignatureMethod=HMAC-SHA1&SignatureNonce=$timestamp&SignatureVersion=1.0&TTL=$aliddns_ttl&Timestamp=$timestamp&Type=$aliddns_type&Value=$(enc "$ip")"
}

if [ "$aliddns_record_id" = "" ]
then
    aliddns_record_id=`query_recordid | get_recordid`
fi
if [ "$aliddns_record_id" = "" ]
then
    aliddns_record_id=`add_record | get_recordid`
    echo "added record $aliddns_record_id"
else
    update_record $aliddns_record_id
    echo "updated record $aliddns_record_id"
fi

# save to file
if [ "$aliddns_record_id" = "" ]; then
    # failed
    echo "aliddns_record_id null"
else
    #dbus ram aliddns_record_id=$aliddns_record_id
    echo $aliddns_record_id > $file_name

配置计划任务

sudo crontab -e

*/10 * * * * sh /config/scripts/aliddns/aliddns_erx.sh

准备Raspberry Pi

拿到RPI后第一件事就是要安装操作系统，毫无疑问，Raspbian作为RPI的官方操作系统，可以从官方下载链接获得。

下载好镜像后通过工具flash一张SD卡（也就是RPI的硬盘）。推荐使用官方的烧录工具Raspberry Pi Imager，当然
Linux下可以直接使用dd命令，Mac下可以使用balenaEtcher

烧录完成，先不要急着将SD卡放入树莓派，除非你已经准备好了外接键盘和显示器，以下操作可以在没有额外的外设的情况下使用SSH连接

打开SSH

按官方的方法只要检测SD卡根目录下有ssh的文件，就会自动打开SSH。

touch /Volumes/boot/ssh

配置WIFI网络

如果你使用无线连接，那么你需要预设好

在SD卡的根目录下添加一个名为 wpa_supplicant.conf的文件，然后在该文件内添加以下的内容

ctrl_interface=DIR=/var/run/wpa_supplicant GROUP=netdev
network={
  ssid="$ssid"
  psk="$password"
}

初始化Raspberry Pi

将SD卡插入树莓派卡槽，接通电源，如果使用WIFI连接确保在WIFI的覆盖范围。

如果使用键盘和显示器，连接好外设。如果使用SSH，使用下面的方法

使用SSH登录

默认主机名为raspberrypi，可以尝试ping，检查启动状态

ping raspberrypi.local

这时你已经可以使用用户名：pi和密码：raspberry登录，当然你也可以先将你的公钥加入到pi用户的/home/pi/.ssh/authorized_keys中，开启免密SSH

ssh-copy-id -i ~/.ssh/id_rsa.pub pi@respberrypi.local

第一次需要密码

SSH登录

ssh pi@respberrypi.local

设置

ssh pi@respberrypi.local

s

安装必要软件

使用清华镜像加速

sudo vi /etc/apt/sources.list

注释掉之前的源，加入以下配置

deb http://mirrors.tuna.tsinghua.edu.cn/raspbian/raspbian/ buster main contrib non-free rpi
deb-src http://mirrors.tuna.tsinghua.edu.cn/raspbian/raspbian/ buster main contrib non-free rpi

sudo vi /etc/apt/sources.list.d/raspi.list

注释掉之前的源，加入以下配置

deb http://mirrors.tuna.tsinghua.edu.cn/raspberrypi/ buster main ui
deb-src http://mirrors.tuna.tsinghua.edu.cn/raspberrypi/ buster main ui

更新系统保持最新

sudo apt-get update && sudo apt-get upgrade

安装vim

sudo apt-get install vim

安装fish

sudo apt-get install fish

编辑/etc/passwd文件
将pi的默认shell修改为/usr/bin/fish

安装Docker

sudo apt-get install docker.io
sudo apt-get install docker-compose
sudo usermod -aG docker pi

配置镜像加速

sudo mkdir -p /etc/docker
echo '{
    "registry-mirrors": [ 
        "https://1nj0zren.mirror.aliyuncs.com",
        "https://docker.mirrors.ustc.edu.cn",
        "http://f1361db2.m.daocloud.io",
        "https://registry.docker-cn.com"
    ]
}' | sudo tee -a /etc/docker/daemon.json
sudo systemctl daemon-reload
sudo systemctl restart docker

随着越来越多的设备取消了耳机孔，蓝牙就成为了消费级音频领域的主流传输方案，然而你可能不知道，蓝牙音频居然还有这么多的编码传输协议，而这些协议的音质效果也是天差地别

下面是一些主流的协议：做为对比，消费级的CD机的音质也就是通常我们认为的无损的最低标准为44.1kHz/16bit

• SBC：A2DP的强制协议，所有设备都会支持，蓝牙通话通常就是用的这个协议，但是音质一般，传输码率为328kbps，延时通常为120ms
• AAC：杜比实验室提供的高压缩音频技术，Apple Music默认就是这种格式，与SBC码率差不多，可想而知效果要好于SBC，但也有限
• aptX：CSR的提供专利技术（现在被高通收购了），更高的压缩算法(4:1)和低延时(40ms)，是专业的无线音频传输方案，aptX还有多个版本
  • 默认：aptX，传输码率352kbps，刚好可以传输CD的音质(44.1kHz x 16bit x 2声道 / 4压缩率 = 352.8kbps)
  • 高清音频：aptX HD，传输码率576kbps，由于使用更高效的编码算法，支持48kHz/24bit的音频
  • 多声道：Enhanced aptX
  • 低复杂程度（低带宽）：aptX Live
  • 低延迟：aptX Low Latency
  • 无损压缩：aptX Lossless
• LDAC：Sony的无线音频编码技术，传输码率达到990kbps，同样高压缩，所以可以支持96kHz/24bit音频(通常FLAC技术压缩的96kHz/24bit音频需要2350kbps传输码率)，然而到目前为止支持的设备非常有限

所以在Mac下，aptX是目前音质最优的解决方案，如果你的蓝牙音频设备支持了aptX就可以无束缚享受CD品质的音乐

查看音频编码类型

• 让Mac配对并连接蓝牙设备
• 按住键盘上的Option键然后点击Mac的顶部导航菜单条上蓝牙图标
• 悬浮到你的蓝牙音频设备上，弹出的浮层会有详细信息，其中Active Codec就是编码类型

如果不是aptX那么就需要用下面的方法开启aptX

开启aptX和AAC

由于aptX是有专利的，Mac默认没有支持，但可以通过Additional Tools for Xcode打开，方法如下：

• 下载Additional Tools for Xcode
• 运行Additional Tools for Xcode打开Hardware/Bluetooth Explorer
• Bluetooth Explorer没有窗口，只有导航菜单条，在导航菜单条打开Tools > Audio Options
• 在弹出的Audio Options窗口中勾选Force use of aptX和Enable AAC(有些版本没有这个选项，忽略)，并且确保Disable AAC和Disable aptX没有勾选
• 关闭窗口和Bluetooth Explorer

然后重新连接蓝牙音频设备（有的Mac需要重启），再用上面的方法查看编码类型，是不是已经变成aptX了（前提是你的音频设备支持aptX）？

Linksys作为WRT的发明者，Linksys WRT1900ACS（简称1900ACS）又是WRT系列性价比极高的产品，而OpenWRT是WRT开源版本，这两者组合可玩性非常高，最适合用来折腾。以下就是介绍如何在1900ACS上安装OpenWRT以及一些常用的玩法。

安装

确定硬件规格

Openwrt官网就提供了1900ACS的硬件规格，查询可知1900ACS的CPU是Marvell-cortexa9

下载镜像

到OpenWRT官方Releases仓库选择指定版本，然后按硬件索引到1900ACS镜像（通常路径为/targets/mvebu/cortexa9/，镜像的文件名为linksys-wrt1900acs-squashfs-factory.img）；

(截止到当前时间2018-12-16最新版本为18.06.1)

从原生系统安装

傻瓜安装，登录Web控制台，上传下载好的镜像，启动安装就可以；

常用配置

初始化

默认IP为192.168.1.1，使用IP登录Web控制台初始化，第一次登录会提示设置密码，同时记得把SSH的公钥放上去，关闭密码登录，提升安全性

网络连接

相信这块应该难不倒大家

测速

公网（speedtest-cli）

下载speedtest：

wget https://raw.githubusercontent.com/sivel/speedtest-cli/master/speedtest.py
chmod u+x speedtest.py

如果没有搞定SSL建议本地下载一下然后SCP上去；
如果没有Python需要安装Python，建议用下面的方式最小安装：

opkg install python3-light
opkg install python3-xml
opkg install python3-email
opkg install python3-codecs

执行测试：

python3 speedtest.py

结果类似如下：

Retrieving speedtest.net configuration...
Testing from China Telecom Zhejiang (***.***.***.***)...
Retrieving speedtest.net server list...
Selecting best server based on ping...
Hosted by China Telecom ZheJiang Branch (Hangzhou) [4.87 km]: 3.9940000000000002 ms
Testing download speed................................................................................
Download: 384.20 Mbit/s
Testing upload speed......................................................................................................
Upload: 3.24 Mbit/s

内网（iperf3）

安装：

opkg install iperf3

启动Server：

iperf3 -s

需要测试的终端在官网下载地址下载对应版本安装（ARM平台官方没有提供，可以下载源码编译）；安装好执行：

iperf3 -c 192.168.1.1

是要是能用IP联通的两个节点都可以用这种方式测试，一端启动Server另一端启动Client测试。注意：iperf有iperf和iperf3两个版本，必须两端版本一致

持续更新...

如果你的网站还在非https下裸奔，那你肯定out了，过去SSL证书价格昂贵，但今天我们很幸运Let‘s Encrypt为我们提供了免费的证书服务，本文主要介绍如何利用docker-compose运行certbot免污染主机环境的申请SSL证书、Nginx下证书的安装以及证书更新。

为什么要使用https

今天再讨论为什么要使用https感觉有些多余，简单说无非就是以下几点

• 去掉浏览器上讨厌的不安全提示
• 防止网站被劫持
• 为了使用http2

Let‘s Encrypt是什么

Let‘s Encrypt是一个免费的SSL证书认证机构

Let's Encrypt是一个于2015年三季度推出的数字证书认证机构，旨在以自动化流程消除手动创建和安装证书的复杂流程，并推广使万维网服务器的加密连接无所不在，为安全网站提供免费的SSL/TLS证书。 来自维基百科

Get Started

Let‘s Encrypt使用ACME协议验证域名及签发证书，官方推荐使用Certbot做为ACME Client客户端，可以在 Certbot官网首页获取到安装方法。

既然是安装，少不了各种依赖，作为有洁癖的工程师，我们肯定不希望这些依赖污染了我们服务器的纯洁度，这时docker的价值就凸显出来了，并且主要的docker仓库都已经集成了certbot/certbot镜像。

Apply for Certificate

Docker如何安装就不多说了，教程已经泛滥了，在docker下使用Certbot非常简单，执行如下shell就可以了：

sudo docker run -it --rm --name certbot \
 -v "/etc/letsencrypt:/etc/letsencrypt" \
 -v "/var/lib/letsencrypt:/var/lib/letsencrypt" \
 certbot/certbot certonly

当然为了后续的管理，使用docker-compose将会更方便，可以使用以下方式替代上面的shell：

首先在一个空目录新建立一个docker-compose.yml文件，内容如下

version: '3'
services:
  certbot:
    container_name: certbot
    image: certbot/certbot
    volumes:
      - ./letsencrypt/etc:/etc/letsencrypt
      - ./letsencrypt/lib:/var/lib/letsencrypt
      - ./letsencrypt/log:/var/log/letsencrypt
      - ./webroot/www:/var/www

然后运行

docker-compose run certbot certonly

根据提示操作，以下示例使用webroot方式，通常服务器80和443已有服务在使用，standalone适合没有提供服务的新服务器。

Saving debug log to /var/log/letsencrypt/letsencrypt.log

How would you like to authenticate with the ACME CA?
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: Spin up a temporary webserver (standalone)
2: Place files in webroot directory (webroot)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate number [1-2] then [enter] (press 'c' to cancel): 2
Plugins selected: Authenticator webroot, Installer None
Enter email address (used for urgent renewal and security notices) (Enter 'c' to
cancel): yourmail@mail.com

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf. You must
agree in order to register with the ACME server at
https://acme-v02.api.letsencrypt.org/directory
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(A)gree/(C)ancel: A

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Would you be willing to share your email address with the Electronic Frontier
Foundation, a founding partner of the Let's Encrypt project and the non-profit
organization that develops Certbot? We'd like to send you email about our work
encrypting the web, EFF news, campaigns, and ways to support digital freedom.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o: Y
Please enter in your domain name(s) (comma and/or space separated)  (Enter 'c'
to cancel): yourdomain.com
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for yourdomain.com
Input the webroot for yourdomain.com: (Enter 'c' to cancel): /var/www/html


Select the webroot for yourdomain.com:
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: Enter a new webroot
2: /var/www/html
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate number [1-2] then [enter] (press 'c' to cancel): 2
Waiting for verification...
Cleaning up challenges

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/yourdomain.com/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/yourdomain.com/privkey.pem
   Your cert will expire on 2018-**-**. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - Your account credentials have been saved in your Certbot
   configuration directory at /etc/letsencrypt. You should make a
   secure backup of this folder now. This configuration directory will
   also contain certificates and private keys obtained by Certbot so
   making regular backups of this folder is ideal.
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

看到Congratulations就说明成功了，如果出错了也没关系，一般/var/log/letsencrypt/letsencrypt.log日志都有记录原因

生成的证书在/etc/letsencrypt/live里面按域名分类，注意/etc/letsencrypt/live里的证书都是指向到/etc/letsencrypt/archive/里的软连接，如果要挂载到另一个docker容器必须两个目录一起挂载。

Setup Nginx

在对应server配置中增加如下配置开启ssl

ssl on;
ssl_session_timeout 5m;
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

还可以顺便开启http2

listen 443 ssl http2;

通过代理可以将http网站包装成https网站

location / {
	proxy_pass http://localhost:8080;
	proxy_redirect   off;
	proxy_set_header Host $host;
	proxy_set_header X-Real-IP $remote_addr;
	proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
	proxy_set_header X-Forwarded-Host $server_name;
	proxy_set_header X-Forwarded-Proto https;
}

通过配置error_page 497，从此跟http说再见吧，记得.well-known虚拟目录指向到在生成证书时Input the webroot for yourdomain.com:这一步的目录，后续更新还需要验证域名，参考如下配置

server {
	listen 80;
	listen 443 http2;
	ssl on;
	ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
	ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
	error_page 497 https://$host$request_uri;
	location /.well-known/ {
		root /var/www/html/;
	}
}

Renewal

执行如下shell自动更新

docker-compose run certbot renew

当然可以配置为cron任务定时执行

我们都经历过许多架构的选择，那么我们一定也知道，没有最好的架构，只有最合适的架构。面对这么多选择，我们应当遵循什么样的原则？从设计模式到DDD，有一系列的方法论，但我认为有一些思想是通用的，以下是我的一些理解。

预测与快速响应

我们常常信誓旦旦的说，我们的系统是为未来多少年设计的，那这是如何支撑的呢？

如果能提前一步预测到未来，未来的技术趋势，未来的业务变化，未来的流量，哪怕就是眼下的未来，对技术人员来说，应对起来就变的游刃有余。所以我们的架构常常会为这种预测提前做出设计，预测什么非常重要，预测商业的变化不仅对能力的挑战非常高而且准确性低，所以前瞻首先考虑的不是商业未来的变化，而是未来业务完整的形态，因为从另一个视角看商业的变化，其实它是一个业务完善的过程。完整的视角再看当下的业务，也许当下的业务形态刚刚起步，但它一定是未来的基础，而有些未来的重要模块也可能提前被抽象出来，但当下可能仅仅是空实现。

但是，未来真的会延续这种方向发展吗？这就是上面提到的，对技术和业务的理解是主观的，主观就存在不确定性，如何应对这种不确定性？从另一个角度思考，支撑前瞻的另一个重要的原则就是快速响应。快速响应的架构的基本形态就是原子性和配置性。原子是对业务的抽象，代表更稳定业务形态，而配置性是对商业规则的抽象，是对原子能力的编排。原子能力很少变化，业务变化的是商业规则，复用原子业务并利用编排能力快速调整商业规则，这就是快速响应的原理。这种架构最关键的在于原子的抽象，响应未来的变化更多的却是来自对过去的思考，更稳定及复用的抽象就是业务本质的抽象，剥离商业规则，回归到像教科书上的原理一样的本质。

图灵完备

我们常常会用不够灵活，不支持我们的场景来批评一些架构，而为何我们很少这样批评我们的编程语言呢？不同的语言有不同的语法，但我们任何逻辑都可以用这些语法实现。这些语言的基本原则很类似，他们都有一个非常低级的指令集，但他是图灵完备的，换句话说也许它使用起来不方便，但没有屏蔽你和计算机的交互能力；在这些指令之上构建了高级语法，使用者更直观和便捷。

再回过来看架构，缺乏灵活性的架构往往是从业务场景开始分解产生的，先对场景建模，再提取可复用性产生底层模型。而我认为高扩展的架构的设计应当是相反的，最先要设计的是对业务亚原子模型的抽象，所谓亚原子模型，就是比业务最小单元更小更纯粹，但是它要具备另一个特性，就是逻辑的完备性，也就是这种抽象要能支撑对逻辑语法的表达，它不一定要具备图灵完备，但至少在这个业务领域是完备的，事实上越底层的抽象也越容易接近图灵完备。业务的模型也就是这些原子模型的组装或重载，而商业又是对业务模型的组装或重载，商业的变化一部分是复用业务模型实现的，而现有业务模型不支持部分可以扩展业务模型实现，由于最底层的模型具备完备性，这些扩展是建立在不改变整体架构上的。

用一个例子来解释，比如对流程引擎的模型抽象，这个模型不是业务上的任务、服务、分支、并行，而是更纯粹的节点和连接，基于节点和连接的模型，扩展出以上的业务模型，再提供编排能力。

总结一下就是，高扩展的架构就是架构的本身就是由具备逻辑完备性的内核扩展出的。

监控与容错

我们在上线之间有许多保障措施，Code Review，严格的测试，自动化回归，我们尽可能的让我们的系统稳定的运行，但永远没有百分之百的稳定，架构可以更大程度的提升和应对这些问题。

首先要考虑的就是应对环境故障的可恢复的能力，重启和回滚是最常用的两种方式，但它并不像表面看上去那么轻松，应用数量越多，理论的难度越大。环境故障的可恢复的能力影响最大的因素应该是应用的依赖复杂度，分层的设计可能解决一部分循环依赖的问题，但是还有一个原则需要考虑的就是应用的独立性。独立性并不代表没有依赖，而是对依赖的容忍度，Lazy-Load是常用的一种解决方案。

除了坏境故障，我认为优化要考虑的就是快速定位与排查的能力，日志是一种工具，而架构上设计的应该是数据可回溯的能力。从业务数据上看有两类数据，一类是代表现在的当前态数据，如，商品，库存，订单，还有一类是记录过程的过程数据，如，操作记录，资金流水。很多业务模式其实只需要当前态的数据，所以很多架构也只设计了对当前态数据的持久化，但我认为可回溯的架构更应该持久化的应该是过程数据，当前态的数据本质是过程的推倒。这程过程数据的价值在于它可以让你随时的复现每一个时刻。

然后考虑的是容错能力，容错能力不仅仅是指出现异常后可以继续进行，还要考虑异常对数据的污染，因为这可能会将异常走向到不可恢复异常。容错不是在避免异常，而是对已知的但不可避免的异常的兼容处理。最常见也是最被忽略的就是超时与并发。

优化空间

优化无止境是任何技术人员的追求，但性能是个无底洞，架构不一定能解决所有性能问题，但是合理的架构设计，性能应该不会成为瓶颈。排除代码的Bug，我认为性能最主要的问题集中在两点：

首先是重复调用，我认为大部分的性能开销可能就是重复的开销，而查询的重复开销又是最常遇到的，更细粒度的模块划分和微服务可能将这种问题放大化。架构上规避重复查询开销的方式是对会话级别的上下文（Context）的设计，合理的使用上下文传递重复查询的结果。

然后是不合理的资源分配，性能的开销是一种动态的过程，和代码不同无法在开发期就能计算出来。流式计算、虚拟化、弹性、反应式这些都是解决方案，架构上要考虑的我认为是减少压力传递，RPC一种典型的压力传递的方式，整条调用链是同比分压的，所以在某些调用上，我们需要引入另外一些非阻塞模式却断压力的传递，这样才能为弹性扩容留下空间。