Vinfall@Geekademy

VSC -> Zed 迁移

Vinfall — 2026-09-01

前言

距离 Time to Press the Stop Button 已经将近两年，这一波学习热潮总算是接近尾声。从 My Cli Setup 开始陆续尝试了很多新工具，也重构了不少项目，这些统一在 2025 年度总结 - 开发篇介绍，今天就简单讲讲从 VSCodium（下称 VSC）到 Zed 的迁移过程。

介绍

Zed 算是近两年的热门编辑器，虽然看上去类似 VSCode，因为基于 tree-sitter 和 LSP，实际体验可能更贴近 neovim。最早作为闭源 macOS only 编辑器没多少热度，开源并支持 Linux/Windows 才逐渐起色。

虽然我最早知道 Zed 还是因为 zedless，但后者开发过于缓慢，还不发布二进制，作为单纯的 fork 的意义不大。不像 VSCode -> VSCodium，后者间接推动了 Open VSX Registry 的发展，除了 Eclipse 本家还有一大堆 VSC fork 在用，避免了 Visual Studio Marketplace 的 vendor lock-in。

迁移

设置

虽然 Zed 官网也有 How to Migrate from VS Code to Zed，但写得太简单，只看这里立马使用会浑身难受，建议过一遍自定义、设置项的文档再上手。
内置的协作工具我觉得没什么用就直接关了，登录也是不可能登录的，直接隐藏按钮。
OpenCode ACP 简单试了下，效果不是很行。LLM Provider API Key 也是明文储存，非常难绷。虽然可以通过配置收紧默认权限，申请权限也可以拒绝，但拒绝了就停了，权限控制堪称笑话……
file_scan_exclusions 对应 VSC files.{exclude,watcherExclude}，类似的还有 file_scan_inclusions，Zed 默认值要合理一点点，但自定义必须补全默认值，略冗长。
file_types 逻辑和 VSC files.associations 反着来，更加合理。
VSC 的 Code Runner 插件，支持近百种语言的一键运行。Zed 最近的几次更新在 shebang 和 code block 添加了运行按钮，能用，但非常凑合，手动编写 tasks.json 也只是亡羊补牢。

更新

为了防止供应链攻击 ¹，我从来不用自动更新，而是通过其他方式管理。

因为 Void 对 fork/Electron 极端排斥，只能下载 .deb 然后用 xdeb 转换成 xbps 安装。由于 VSC 不支持 xdg-base-dir，安装后还要手动 patch dataFolderName：

sudo sed -i 's|"dataFolderName": ".*"|"dataFolderName": ".local/share/VSCodium"|g' "/usr/share/codium/resources/app/product.json"

Zed 这点做得很好，开箱支持。由于支持架构少了十几种，也不需要在一百多个 GitHub release assets 中翻找 ²，更新脚本写起来很简单，动态更新直接 rsync -a --update --delete --links 即可。

备份

Zed 没有 workspace 的概念，打开一个文件夹即是一个 project。Project history 保存在 ~/.local/share/zed/db/*/db.sqlite 的 workspaces 表 ³，直接备份数据库即可，避免重装要手动拖上百个文件夹的惨剧。

插件和 language server 列表当然也可以备份 ~/.local/share/zed/{extensions,languages}，但都可以在 auto_install_extensions 设置项配置，没必要。

Linter

Zed 统一使用 LSP 对接，也可以调用外部 formatter/linter 处理 stdin，设计很合理。

好处说完了，该开喷了：

启动 Zed 会自动下载 Node.js，哪怕系统已安装并且已经添加到 PATH 也如此。妥妥的流氓行径
初次打开的文件类型，Zed 会自动下载对应 language server，这挺好，就是偶尔打开一次的文件还要装几百兆依赖有点蠢，好在被骂多了现在添加了提醒。但是，为了方便默认使用万恶的 prettier……

有点跑题了，回到 linter，简单列个表，算作 mise-as-linter#TLDR 的更新。不过 VSC 用了这么多年，接触过的语言有点多，只能写一下目前已经配置的。

注意

Linter 和 Language Server 分开列，Zed 内置支持则用括号表示。
和 mise-as-linter 类似，这里的 linter 同时指代: linter, formatter, language server, extension。
严格来说 LSP 指代 Language Server Protocol，即工具与 Language Server 交互的协议。而且 Zed 插件除了 language server，也有 syntax highlighter。为了简化逻辑，下文刻意混用，统一称作 LSP。
Zed 文档和插件命名很混乱，为了减少歧义，按以下优先级降序
1. settings.json auto_install_extensions 的扩展名
2. ~/.local/share/zed/{languages,extensions/installed} 的文件夹名
3. GitHub zed-extensions 的 repo 名
4. Zed 文档中的命名 ⁴

列表

Language	Linter	LSP
Bash	shellcheck, shfmt	(bash-language-server)
Zsh	shellcheck	/
C/C++	clangd	(clangd)
JavaScript	biome, oxlint	biome+oxlint
TypeScript	biome, oxlint	vtsls+oxlint
CSS	biome	vscode-css-languageservice
HTML	biome	html
JSON/JSONC	biome	json-language-server
Lua	stylua	lua
Markdown	markdownlint-cli2, autocorrect	autocorrect
Nginx	/	nginx
Nix	/	nix
Nushell	nu-lint	nu+nu-lint
PowerShell	/	powershell
Python	ruff, ty	ruff+ty
R	lintr, styler	r
SQL	sqlfluff	sql
SystemD	/	ini
TOML	tombi	toml+tombi
Typst	typstyle	typst
XML/XSL	xmllint	xml
YAML	zizmor	yaml+zizmor

解释

Zsh
- tree-sitter-bash 对于 zsh 非常排斥，可视为 wontfix。虽然有新的 tree-sitter-zsh，但还没集成进 zed。
- Linter/Formatter 方面倒是没太大问题，shellcheck 能用，只是有很多误报，shfmt-3.13.0+ 已经初步支持 zsh，未来可期。
C/C++: 之前在 VSC 装了 CodeLLDB，但这么多年我 GDB 都只用过一两回，LLDB 装了也没用，迁移时直接卸载了……
Lua: 和 C/C++ 类似，从没用过 VSC 的 Lua Debug 插件，这里就不装了，配置 StyLua 为 external formatter
Markdown
- 默认使用战五渣 prettier，external formatter 配置 markdownlint-cli2 和 autocorrect 两个
- markdownlint-cli2 负责规范 Markdown 格式，AutoCorrect 负责 CJK 空格和规范专有词
- Zed 的 Markdown 支持目前只能说够用，但预览效果也在渐渐改善，假以时日想必还是能和 VSC 的 Markdown All in One 分庭抗礼

{
 "languages": {
 "Markdown": {
 "formatter": [
 {
 "external": {
 "command": "markdownlint-cli2",
 "arguments": [ "--format" ]
 }
 },
 {
 "external": {
 "command": "autocorrect",
 "arguments": [ "--quiet", "--fix", "--stdin" ]
 }
 }
 ],
 "language_servers": [
 "autocorrect",
 "!oxfmt",
 "!prettier"
 ]
 }
 }
}

Nginx: 很少需要写 Nginx 配置，gixy 自然用得少，暂时没配置
Nix: nixfmt 强制一行一个软件包并且不支持使用 nolint:on, nolint:off 动态开关，我显然不可能用，只安装插件提供基本的高亮
Nushell: 因为 nu-lint 不支持 XDG，而且 Zed 解析 settings.json 不支持 ~ 和 $HOME 这样的环境变量，也没有类似 VSC ${userHome} 的变量，只能在 nu-lint LSP 配置丑陋的绝对路径

{
 "lsp": {
 "nu-lint": { "binary": { "arguments": [ "--config", "/home/aaron/.config/nu-lint/config.toml", "--lsp" ] } }
 }
}

Powershell: 很少写，只装了高亮，凑合用
Python
- LSP: Zed 虽然支持 ty，但为了兼容性默认会安装 ty, basedpyright, pyright, pylsp 四个 language servers，我直呼有病病？在配置里禁用 ty 之外的 LSP 并禁止自动安装对应插件 ⁵
- Formatter: 默认 ruff（总算有个正常的），额外配置 source.organizeImports.ruff 和 source.fixAll.ruff 两个 code_actions_on_format
R
- 除了 Zed 方面需要安装 R 插件，也要安装 languageserver 和 lintr 两个 R 包。
- styler 是 languageserver 自带的 formatter，配合 lintr 够用。很少写 R，暂时没兴趣尝试 Posit（RStudio 开发公司）做的 air。
SQL: 配置 sqlfluff 为 external formatter
SystemD: 不是 typo，除了 ini 本体，zed-ini 真的支持 EditorConfig, SystemD Unit , Podman Quadlet 等一堆格式。和 Nginx 类似，很少写 SystemD 配置，systemdlint 也很少用，暂不配置。
TOML: 之前用的 taplo 很少维护，插件被 Zed 移除了，我无语……好在测试下来 tombi 确实更实用，直接迁移
Typst: 体验比不了 LaTeX Workshop，凑合用。CJK 支持不完美，但编译够快，额外配置 typstyle 为 external formatter
XML: Linux 几乎必装的 libxml2 依赖自带 xmllint，根本不需要 prettier，配置为 external formatter
YAML
- 虽然装了 yamllint，但因为我很讨厌 YAML 又不用 Docker，基本只用于 GitHub Action，和 zizmor 一起用
- Formatter 默认使用 prettier，好在 yaml-language-server 也能格式化

Prettier

⚠️ Warning

JavaScript/TypeScript 已改用 biome + oxlint。经过艰苦卓绝的努力，成功实现全局禁用 prettier，下面的繁琐配置不再适用。

单独一节专门 fuck prettier🖕biome 也有点 opinionated，但态度比 prettier 好太多，而且可以通过配置关闭。

~~现在 oxc (oxfmt/oxlint) 似乎也能替代 biome，有空试试。~~ oxlint 只支持 JavaScript/TypeScript、JSX/TSX 和前端框架配置的 <script> 部分，无法彻底替代 biome。oxfmt 因为不支持为不同语言配置不同格式（又是被 prettier 荼毒的后遗症），不考虑。因为 oxc-zed 提供 oxfmt/oxlint 两个 LSP，我这种只用 oxlint 彻底禁用 oxfmt 的用法配置起来非常繁琐，没有写进下文。

JavaScript: zed 默认用杀千刀的 prettier，必须禁用，这里将 biome 作为 LSP 使用，配置起来更简单。

{
 "languages": {
 "JavaScript": {
 "formatter": "language_server",
 "language_servers": [ "biome" ],
 "code_actions_on_format": {
 "source.fixAll.biome": true,
 "source.organizeImports.biome": true
 }
 },
 …
 }
}

TypeScript/TSX: 和 JavaScript 类似，但保留默认 language server
CSS/HTML: biome 虽然支持 LSP，一样保留默认 language server，只当作 linter/formatter，配置起来也简单。

{
 "languages": {
 "CSS": { "formatter": { "language_server": { "name": "biome" } } }
 }
}

JSON/JSONC: 配置非常蛋疼，只有将 biome 配置为 external formatter 才能彻底覆盖掉人人喊打的 prettier，补充几行 argument 确保和 biome 全局配置一致，并且不影响 format on save

"JSON": {
 "formatter": {
 "external": {
 "command": "biome",
 "arguments": [
 "format",
 "--trailing-newline=false",
 "--files-ignore-unknown=true",
 "--stdin-file-path",
 "{buffer_path}",
 "-"
 ]
 }
 },
 "prettier": {
 "allowed": false
 },
 "language_servers": [
 "json-language-server"
 ],
 "ensure_final_newline_on_save": false
}

其他

💡 Tip

该部分统一使用扩展名作为命名。

ahk: 只支持 v1 格式，不支持 v2，而且只支持 Windows，我就不能 Linux 写 + Windows 测试吗……
beancount: beancount-language-server 误报太多，只用作高亮和格式化
git-firefly: .gitignore 支持
rainbow-csv: 维护 VNDB-Calendar 和 game-stats 必备
log: 看似很有用其实没卵用，看日志一般 SSH 过去直接 less/moor，根本没机会用 GUI，更别提还要特地装个 Zed……
make: 已迁移到 mise，直接不安装
go/rust/zig: 自带 formatter，没啥好写的
用到再安装: lean4, graphiviz, mermaid
禁止安装，防止污染环境: basedpyright, docker-compose, dockerfile, eslint, prettier, pylsp, pyright

TODO

Code Snippet: Zed 文档写着支持，格式也和 VSC 几乎一样，实测并不能使用，由于 snippet 以别扭的 JSON 格式储存，直接复制也没卵用，只能手动管理……
IaC: 搞定了 zizmor，betterleaks/trufflehog/trivy 待解决
mise: VSC Mise 插件还挺有用，不过功能很基础，后面可能搓一个 Zed 版本或者为 mise.toml 添加 runnables

软件内置更新程序是劫持重灾区，火绒更新程序也曾被劫持，好在我因为手动配置代理幸免于难…… ↩︎
为了避免这种情况，我写过 GitHub Release Highlight，预设关键词，在指定 repo 自动高亮对应 asset。不过现在基本都是 mise/scoop/appman/更新脚本，很少用到。 ↩︎
这命名其实有点讽刺，说没有 workspace 但是数据库里储存 project 的 table 就叫 workspace…… ↩︎
看到我最后才考虑破文档中的命名，想必你也能稍稍理解这难以忍受的 inconsistency…… ↩︎
别以为这样就结束了，Zed 随时可能添加新的 language server 并静默安装。因为默认禁用，不手动检查 ~/.local/share/zed/languages 或者磁盘检测你甚至根本发现不了……PyLSP 就是某次更新后自动下载安装的…… ↩︎

Am I XDG Yet?

Vinfall — 2026-08-26

What

Historically, this serves as a reminder of how to make $HOME (mostly) clutter-free, to manage dotfiles easier.

Nowadays I use this index to track the XDG support status of programs that I use, hence the title.

TLDR

For TLDR, see Use the XDG Base Directory Specification!
For specs, see XDG Base Directory Specification

Show, don’t tell:

# Use the XDG Base Directory Specification
# TLDR: https://xdgbasedirectoryspecification.com/
# Spec: https://specifications.freedesktop.org/basedir-spec/basedir-spec-latest.html
export XDG_CONFIG_HOME="$HOME/.config"
export XDG_DATA_HOME="$HOME/.local/share"
export XDG_STATE_HOME="$HOME/.local/state"
export XDG_CACHE_HOME="$HOME/.cache"

Most solutions are available in XDG Base Directory entry on Arch Wiki. You can also use xdg-ninja for the initial setup.

Who

Many softwares live long enough to arrogantly ignore XDG and get away with it. A recent example is xdg-basedir enhancement on Bugzilla, which finally got closed in Firefox 147, 21 years later.

ADB & Android Studio (would look for ADB_VENDOR_KEYS as well, but ~/.android would ALWAYS get generated…)
Bash
Cargo (CARGO_HOME means config + data, silly idea)
Chromium (fixed in 146)
- endless CEF/Electron/NW.js/QtWebEngine projects…
Firefox (fixed in 147 and ESR 153)
- Thunderbird and Zotero
Lean (same as Cargo)
MAME
.NET (old solution and runtime discussion)
nim, nimble
Ollama (just models, config & ssh key are not supported)
Python (PYTHON_HISTORY works for Python 3.13+)
Ren’Py (RENPY_PATH_TO_SAVES works on Ren’Py 7.5+ games)
R
Vim (fully supported since 9.2.0019. Simply add source $VIMRUNTIME/xdg.vim in your vimrc.)
~~VSCode and VSCodium (--extensions-dir is not enough as .vscode-oss/argv.json is still needed)~~
Zsh (via $ZDOTDIR)

How

Python

⚠️ Warning

OUTDATED! For Python 3.13+, simply set PYTHON_HISTORY should suffice.

Add these in $HOME/.profile(.bashrc or .zshrc works too):

export PYTHONPYCACHEPREFIX="$XDG_CACHE_HOME"/python
export PYTHONUSERBASE="$XDG_DATA_HOME"/python
export PYTHONSTARTUP="$XDG_CONFIG_HOME"/python/pythonrc

Create "$XDG_CONFIG_HOME"/python/pythonrc:

import readline
readline.write_history_file = lambda *args: None

Source $HOME/.profile by exec zsh, done.

R

While R is configurable, my setup makes it a bit hard to follow XDG base dir spec:

R is installed via mise-r, aka. asdf-r, and located in a weird place

$ which R
~/.local/share/mise/shims/R
$ mise which Rscript
~/.local/share/mise/installs/r/latest/bin/Rscript

I use arf as R console, installed via mise GitHub backend
I have custom libPaths to avoid unnecessary reinstall between minor/patch updates.
Makevars set to cache/speedup library compilation

arf

R 4.6.1> R.home()
[1] "~/.local/share/mise/installs/r/4.6.1/lib64/R"

R 4.6.1> .libPaths()
[1] "~/.local/share/R/library"
[2] "~/.local/share/mise/installs/r/4.6.1/lib64/R/library"

R 4.6.1> tools::makevars_user()
[1] "~/.config/R/Makevars"

Of course, it’s still possible and quite easy.

.profile (you can also set in shell rc):

# R
# https://cran.r-project.org/doc/manuals/r-devel/R-exts.html#Package-subdirectories
export R_PROFILE_USER="$XDG_CONFIG_HOME/R/profile"
export R_MAKEVARS_USER="$XDG_CONFIG_HOME/R/Makevars"
export R_HISTFILE="$XDG_STATE_HOME/R/history"

$XDG_CONFIG_HOME/R/profile:

.libPaths(c("~/.local/share/R/library", .libPaths()))

The only annoyance is I can’t simply set R_HOME_USER due to .libPaths() located in another place. Anyway, it still works better than outdated r-base package in many distros.

Why

To have a simple life like this:

$ ls -1
projects/

$ ls -a1
.cache/
.config/
.local/
.profile
.ssh/
projects/

OCD Gospel!

浏览器调教指南 - 插件篇

Vinfall — 2026-08-21

引言

浏览器调教指南 - Firefox 篇#插件提到的插件檄文先行，浏览器调教指南 - Chromium 篇也已经到位。这两篇里我没有涉及 Firefox Container 或者通用的多 profile 方案，因为这本质上并不算「调教」，影响不到默认的设置，只能说是「隔离」，而且是最基础也最废物的本机环境隔离。

由于我启用 private browsing，退出后删除除了网站设置的全部数据，虚拟机也是 immutable disk，一直对多 profile 方案不屑一顾，写本文搜索各种无用列表的时候才想起来还有这种方法。简单提一句，不再多说。

在前文注释我曾提到，本篇会喷各种插件推荐，并且给出更加「原生」或可靠的方案。

不需要的

ℹ️ Note

对本节中各种插件的反面态度，前提是完全掌握『浏览器调教指南』，高屋建瓴。走路都还走不顺，就想着跑马拉松，甚至盲目修炼水上漂，大概率会死得很彻底😜。哪怕这么说，整个列表的个人色彩恐怕还是非常浓厚，我只能先送上四个字求同存异党同伐异

不知道会列多少，形式还是采取简单的 bullet list：

HTTPS Everywhere，步入 6202 年，哪还有多少 HTTP 网站，Tor Browser 都不再预装，普通人完全可以 HTTPS-only。如果出于特殊需要不得不访问，建议单独配置白名单，忽略警告。
NoScript
- 不需要 NoScript 并不意味着时刻启用 JavaScript，事实上你完全可以用 uBlock Origin 的 hard mode 替换 NoScript。如果你连初次配置都不想，无所谓 JavaScript，一样可以用 ubo 的 medium mode 或 easy mode
- 为什么 ubo 是更好的选择？因为它的颗粒度更细，使用 NoScript 你无法只允许 a.blahblah.xyz 而保持对于 blahblah.xyz 的封锁，允许图片、视频、JavaScript 等操作也要比 ubo 繁琐。uMatrix 曾经是另一个替代方案，但停更多年，还是 ubo 活得最好
Canvas Blocker，Firefox 自带这一功能（RFP, Resist Fingerprinting），Chromium 禁用 WebGL 即可。相信我，一个需要启用 WebGL 的网站可能依然是个正常网站（比如 itch.io 的很多 Unity for Web 游戏），手动放行即可，但要禁用 RFP 才能访问的网站，你大概率也不需要。
WebRTC Leak Prevent，Chromium/Firefox 均可配置（chrome://flags v.s. about:config），不需要插件。有的人可能反驳说浏览器实现不够彻底，但 IP 是不会泄漏的，如果你的 threat model 已经到了考虑浏览器指纹 ¹ 的程度，建议直接 Tor Browser 或者 I2P
Cookie AutoDelete
- 都不需要 policy-templates，设置里就能配置自动删除，美中不足就是不支持 Cookie AutoDelete 那种定时删除，但我本来就设置的默认启用 private browsing + 退出删除所有 cookies，毫无影响
- 说到 cookies，我更推荐通过 cookie-editor 管理，可以只允许插件获取单个网站的 cookies。本来也没有多少账号需要保持登录状态，在小部分网站允许 cookies 权限之后导出即可，登录状态掉了重新登录 renew 即可
- 引申开来，你也可以在虚拟机 A 登录并导出 cookies，然后在虚拟机 B 导入 ²
  - 如此一来，连输入环节都省了，虚拟机 B 根本不可能在浏览器层面获取对应账号的密码
  - 密码管理器 + 插件毕竟需要传输密码到浏览器，还需要将数据库导入虚拟机 B，平添风险
  - 何况有的网站不允许这么操作，只能自动填充，这安全性只能说比手动输入强一点🤏
Click & Clean，同上，设置即可配置，装个插件纯属多此一举
Proxy Switchy Omega/ZeroOmega
- 是的，99% 的情况下你不需要额外的代理配置插件，现有的 GeoIP/GeoSite 库和路由规则足以涵盖绝大部分使用场景，仅需几行 DIY 规则，这东西作用非常局限，我都想不通这大规模滥用的局面是怎么造成的
- 先不说 Edge 商店满天飞的带毒版本，Chromium 也已经停止支持 ManifestV2 扩展，基于 MV3 的 fork ZeroOmega 也是 bug 一大堆
- 如果你还保持怀疑坚持嘴硬，有个简单粗暴的判断方法：Kali, WireShark, Fiddler, PAC, privoxy, Selenium, Playwright 如果你一个都不认识，那就肯定不需要🤷
Tampermonkey，violentmonkey，你不需要闭源插件
搜索引擎插件，通过 policy-templates 同样可以设置，不要相信搜索引擎说的「更安全、更多功能」，锁定默认搜索引擎和所谓「优化」的本质和我前文的调教手段殊途同归，大可不必
Flash 插件，Pale Moon + CleanFlashinstaller + clean-flash-builds 默秒全，详见我的 Windows 软件之道#浏览器
大部分下载插件（下载辅助、资源嗅探等等）
- 首先是 HLS/M3U8 类型的视频流，毕竟这种可能最难下载 ³，用户脚本注入能解决 99% 的网站，剩下那 1%，我相信下载插件也搞不定，需要手动逆向。
- 其次，对于常见的图片/视频站，已经有足够成熟的命令行解决方案，浏览器插件完全是更弱的下级替代。gallery-dl, yt-dlp 和 you-get 足以解决大部分网站，如果不行，就配上登录账号的 cookies。
- 再者，对于上面三驾马车也搞不定的网站，一般就是套用各种模板的视频/图包站，网页资源的链接基本都包含在源码中，写个爬虫解析网页批量抓取也不是什么难事。
- 如果连爬虫都懒得写，也有更简单的方法：W3M + wget
  1. w3m $URL
  2. Shift + L（显示网页上的全部链接），另存为文件，比如 links.txt
  3. 手动筛选一下需要下载的链接，如果 URL 使用相对路径，三句话让 LLM 写个拼接脚本
  4. wget -i links.txt
  5. 结束
Stylus 和所有特定网站的定制化插件，它能做到的，用户脚本和 Firefox userContent.css 一样能做到，它做不到的，policy-templates 和 Firefox userChrome.css 还是能做到
「工具箱」类型的插件 ⁴
- 这些工具完全可以从浏览器中剥离出来独立运行，何必安装插件徒增风险，现成脚本或者自行部署的开源替代，一抓一大把。
- 何况很多「工具箱」、「脚手架」确实不干净，源码一目了然却盗取 cookies 的脚本都一大把，权限更大的插件更是劣迹斑斑。
所有需要登录才能使用的插件 ⁵，原因同上
密码生成器（不是管理器配套插件），没审查过代码你压根不知道这个「随机」有多随机，更别提人家会不会顺手把 URL 和账号密码传到自家服务器，这种活还是交给离线的密码管理器 ⁶ 才靠谱
单独的两步验证（2FA）插件 ⁷
- 不局限于浏览器插件，我认为 2FA 本身就应该和密码管理放在一个篮子里。如果密码管理器连 2FA 功能都不提供，还是早点弃用比较好
- 这点非常有争议，但个人是这么认为的，稍微解释一下
  - 理论上，通过分离账号密码和 2FA，可以保证邪恶的 Eve 在获取你的账号密码之后不能直接登录，相当于上了额外一道锁
  - 事实上，更有可能发生的是单点故障，密码管理器或 2FA 应用，任何一个炸了都会导致你失去开启 2FA 的全部账号 ⁸
  - 而且借助密码管理器 + 浏览器插件，你也可以自动填充 2FA，操作步骤和分离是差不多的
所有的比价插件，脚本不香吗？
所有的钱包插件，把金融账号/虚拟货币交给一天成千上万个网络请求，一年几十个 0day 的浏览器？
所有的同步插件，我不需要连备份/恢复功能都没有的插件，而设置全都可以定制化，密码使用密码管理器，同步和账号功能毫无存在价值
所有的标签、主页、启动器插件，如果你有标签管理障碍，先解决的应该是自己而不是标签🙄
插件管理插件，如果完全遵守本文，符合要求，功能还不重合的插件只有个位数，管理也无从说起
所有的书签插件
- 浏览器书签只能在 GUI 使用，对于活在命令行的人，buku 要更合适
- 哪怕不使用命令行，一个简单的 bookmarks.html 也能秒杀所有书签插件……

插件标准

上面的列表七七八八已经说得差不多了，这里就随便列几点，我也不一定严格遵守，最终还是得看实用性：

开源，最好是自由软件
用户足够多，这样才能及时发现潜在问题，具体数目得根据插件的使用场景判断，小众领域 100 stars 就非常之多，而烂大街的广告过滤，还是得 uBlock Origin 这种数量级才算得上可靠
维护超过 2 年，很多插件更新不到三个版本就弃坑，没有长期支持，出了 bug 也没人管，新兴领域这点会适当宽容
提供备份/恢复配置的功能，WebDAV 同步等等只能算 bonus
无广告，并且不需要账号即可体验完整功能

我使用的插件

「浏览器调教指南」系列三篇文章透露了不少，其实都能推测出来：

Cookie-Editor，跨 VM 登录
Dark Reader，其实可以用用户脚本或 CSS 解决，但是我懒
KeePassXC-Browser，只在「登录机」使用，其他机器导入 cookie 即可
LocalCDN，源自停更多年的 Decentraleyes，用本地资源替换 CDN，减少请求加快网页加载，这款插件也是假冒伪劣高发区，安装时注意辨别
uBlock Origin
Violentmonkey
SingleFile，保存完整网页（包括图片、CSS、字体等资源）为单 HTML，用作离线归档，有些网站需要设置 referer，也有 MV3 版本，另有 single-file-cli
Zotero Connector，联动 Zotero，不做研究就不常用
其他一些特定网站的增强插件，其实可以通过用户脚本解决，上面喷了那么多这里我就不举反例了

我使用的脚本

由于安装时会弹出确认框，源码不加混淆则一览无余，建议哪怕完全不懂代码也要塞给 LLM 问问漏洞。以及脚本如果出现用下面这种方式匹配的，99.99% 的情况你需要重新考虑使用价值和作者的开发水平：

// @match *://*/*

前几个月进行基础设施迁移的时候大幅重构过，现在基本只用自己写的，使用场景很局限，不足为外人道，简单列一下略微通用的：

pangu.js，参考停更的 user.js 自己搓了脚本，不需要插件
参考 LibRedirect 写的脚本，当然功能性要差得多，也没有均衡负载，实在懒得写也可以装插件
Open-the-F-king-URL-Right-Now，外链跳转，由于用户脚本权限不足，体验没有插件好，够用
Bypass All Shortlinks Debloated，外链跳转，针对国外网站
Skip Redirect Inplace，上面两个需要实际点击才能跳转外链，我写的这个直接替换文内链接，避开了愚蠢的外链提醒，只作为上面两个脚本的补充
CNM.R18 和 COK.R18，通过模拟网页点击、补全验证参数和注入 cookie 绕过年龄验证。可能有的人会质疑这种脚本的合规性，但我的理解是用户在点击安装脚本弹窗的确认按钮时，就事先同意了所有支持网站的年龄验证，而且随时可以通过卸载脚本的方式撤销同意，合理合法
Clean-Tracking-URLs 或者链接地址洗白白，去除追踪参数，由于功能性质都用了 // @match *://*/* 这种匹配，是否属于那 0.01% 的特殊情况看个人需求
Show Original Picture，打开图片时自动跳转高清原图，数量多了还是 gallery-dl 方便
上文提到的 M3U8、图片批量下载用户脚本

还有一些特定网站的，CnGal/VNDB 就不介绍了：

京东
- 京东商品参数对比工具
- Beancount 账单生成，我基于前人脚本修改的版本，太过小众，等哪天想写 Beancount 系列再详细说说
BiliBili，Bilibili-Evolved，也有类似 Steam 评价过滤的用户/评论过滤脚本，但是不登录叔叔连倍速和评论都不舍得让你用，本来用得少也无所谓
Steam 增强
- Steam 评价过滤，基于关键词匹配，隐藏求中文摸猫猫买头像等无脑评论
- SteamChineseChecker，在商店页面显示汉化补丁情况
- Steam 快速添加购物车
- SteamBundlePricesAssistant，部分支持补齐的捆绑包，单独购买其中一部再补齐价格会更低，用于在捆绑包界面计算折扣，判断这种情况
- VNDB Steam Enhancer，Steam 显示 VNDB 数据，我也照猫画虎写过 CnGal2Steam
- Steam EA Date，游戏脱离抢先体验后会优先显示正式发行日期，而最早的抢先体验日期塞在页面的隐蔽角落，脚本会并行显示两个日期，便于识别有欺诈嫌疑的开发商
- Steam Wishlist Copy，要说有用其实也没什么用，我只用作新号初始化愿望单
- Steam 赛博父子鉴定 (游戏库蓝绿 | 一键私密 | 库存价值统计)，家庭组专用
- 折扣换算、一键卖卡、卡牌匹配等不再一一列举

结语

至此本系列就告一段落，虽然早就习惯用各种企业批量部署的方式对浏览器进行调教，但写一个系列的想法还是源自 Chromium 使用 policy-templates 允许 ManifestV2 扩展。

~~一个人的命运虽然要考虑历史的进程，但势必少不了自我奋斗，浏览器的调教也是如此。~~

各种标准和浏览器本身都在随着互联网在不断发展，本系列介绍的方法只能说适用于当前的环境。 Netscape Navigator 和 Internet Explorer 互搏如今看来已经是遥远的历史， Project Xanadu®、Gopher 更是无人问津。不知道今天的互联网形式还能存在多久，且行且珍惜。

说句题外话，浏览器指纹这东西很多时候就是图一乐，特征明显只能让人分析出「谁是谁」，并不能直接反推得出「你是你」。独特的浏览器指纹也就是「安装 ubo、常看 HN、使用 Matrix 的网民 A」、「安装十款比价插件、常逛 OnlyFans、天天用 Tinder/Instagram 的网民 B」这种程度。由于浏览器指纹本身很容易修改，「指纹」一词颇具误导意味。毕竟一般人类对于指纹/虹膜这类生物识别信息的泄漏毫无办法，总不能砍手指戳眼睛（又不是 yakuza），网民 A/B 可能只是同一个浏览器的不同 profile…… ↩︎
由于本文旨在吐槽不必要的浏览器插件，这里不做深入探讨，感兴趣可以自行阅读如何防止黑客入侵 (8)：物理隔离的几种玩法，该操作（文中的「招数 4」）已经优化为物理隔离 3 型（导出 cookies 后传输并不需要交换存储介质） ↩︎
「难」也只是相对的，下载几百个 TS 片段本身毫无难度（哪怕采用 AES 加密也是如此），难的永远都是合并 ↩︎
这里说的是与「浏览器」本身关联不紧密的插件，像网页调试、请求模拟之类的开发辅助插件，脱离浏览器就是无稽之谈（换成 headless 肯定不算脱离= =），「不需要」也无从说起 ↩︎
SteamDB 这种功能拓展类型的算半个，不过插件的大部分功能用户脚本确实也能实现╮(￣▽￣)╭ ↩︎
密码管理器最好还会定期委托第三方进行代码审计，当然只要开源理论上谁都能检查，但密码学毕竟不是前端，不是什么阿猫阿狗都能学会 ↩︎
顺带一提，Steam 的令牌手机验证器，其实就是魔改 TOTP（即 RFC 6238），但实际安全性并没有比原始 TOTP 更强= =恰恰相反，由于 Steam 的缓存机制和傲慢（不积极回复漏洞提交），盗号方式五花八门，建议早死早超生。当然，不管怎么样都比在 4202 年还坚持只能用邮箱当两步验证的 GOG 要好得多…… ↩︎
这里默认没有单独保存恢复代码。一些文章中可能推荐你把它们打印出来，但我感觉这保管起来也挺麻烦= =而且账号多的话时不时要更新，每次都得撕碎 + 化学浸泡 + 焚烧想想都累 ↩︎

浏览器调教指南 - Firefox 篇

Vinfall — 2026-08-21

前言

前几天写文本编辑器的基础方程式顺带更新了我的 Windows 软件之道#推荐部分内容，介绍使用 Flash 插件的现代方案以及浏览器的调教大纲，这篇文章会略微详细地讲讲这部分内容。

定义

这里的「浏览器」特指桌面端，移动端、TV、车机系统等等各凭本事，不予介绍。同样，本文仅介绍主流浏览器（Statcounter 市场占有率数据高于 5%），即 Chrome/Chromium, MSEdge, Firefox ESR¹。

由于 Safari 就是 Apple 写着玩的，完全不考虑企业市场，「调教」也无从说起。 Opera 曾经使用 Presto 还能聊一聊，如今已经是 Blink (Chromium) 的形状就没什么意思。 Vivaldi, Brave, Yandex 之类的套壳就更没有讨论的必要，自行替换代入关键词即可。

大致方案已经记录在我的 Windows 软件之道#推荐，这里不再赘述，直接上内容。由于每个人的需求都不一样，我就不贴自己的定制化配置了。

考虑到全文长度，先分割出一篇 Firefox，后续再补 Chrome/Chromium 和 MSEdge。

Firefox ESR

为什么特地指定 ESR，因为 policy-templates 部分策略仅适用于 ESR。

虽然名叫 Extended Support Release，其实根据发行时间 ESR 大版本一年更新一次，并不至于像 Debian stable 的软件包那样普遍落后 2 年。

另一方面，常规版本无法运行未签名扩展，哪怕是你自己开发，并不上架商店仅私人使用也要注册 Mozilla 账号并提交申请……而 Beta/Developer 版本太新，不适合日常使用，Unbranded Builds 则只是允许未签名扩展。

Hotkey

Firefox 147.0.2+ 和 ESR 153+ 都实验性支持通过 about:keyboard 自定义快捷键，比此前通过 Autoconfig 配置简化很多，很适合当开胃菜。

点开后搜索 Download，将 Ctrl + Shift + Y 修改为正常的 Ctrl + J，解决因 17 年前的解决方案引入的奇葩默认值，相关 bug 也已经存活 7 年……

user.js

如果尝试定制过 Firefox，或多或少都会接触到 about:config 这个 URL，在这里可以调节成百上千个浏览器的细节，当然，每次重装都需要手动调整费时费力，肯定有个自动化的工具。在 Firefox 中，这个工具就是 user.js。

详细的使用就不介绍了，本文的重点仅在方法论，关联阅读：

目前使用 arkenfox/user.js，第一次将大部分内容检查一遍后，把自定义的部分写到 user-overrides.js ，部署、更新、备份和清理失效配置都很方便。未来可能转换到 Betterfox，但万变不离其宗，原理都是一样的。

有多简单？下面是我目前的 user.js 更新流程：

查看 release note 里的 diffs
（可选）手动增删 user-overrides.js 里的配置
在 profile 目录运行 updater.bat/updater.sh，随后运行 pref-cleaner.sh
（可选）备份 user-overrides.js 配置到 backup 文件夹

2 和 4 都是可选的，甚至整个流程都可以通过脚本自动化，更新一遍半分钟都不到。参考上文提到的发行时间，基本一个月一次，初始化之后一年只需要泡两杯泡面的时间，即可保证 about:config 的完全定制化。

user.js 虽然好用，但 Mozilla 三天两头作妖，时不时偷偷在新版本塞点东西。当然这种无法提前预知的情况没什么办法，但对于更新修改默认设置的情况，可以通过 autoconfig 锁定/清空默认配置。上面 program-think 的那篇文章也有介绍，不再赘述。

CSS

除了 user.js，Firefox 还支持通过 CSS 定制 UI。首先需要在 about:config 或者 user.js / autoconfig 中启用 toolkit.legacyUserProfileCustomizations.stylesheets。

userChrome.css 定制 Firefox 自身，注意这里的 Chrome 一词起源其实比 Chrome 浏览器还要久远，先来后到也是人家先来的= =
userContent.css 定制浏览网站的界面，就和各种冠名「净化」、「清理」的用户脚本（UserScript，也叫 user.js，注意和上文配置 about:config 的同名文件进行区分）一样

同样，详细使用就不介绍了，自行阅读无需任何插件或扩展，定制 Firefox 外观。

简单列几个参考资源：

~~UserChrome-Tweaks~~ 多年没更新，有一部分至今仍可用
firefox-csshacks，仍在更新，另有网页版筛选器，查看更方便
r/FirefoxCSS，Reddit 板块
Userstyles.org，Stylish 之类的插件用的就是这种，Firefox 直接就能定制，复制到 CSS 重启即可，少装一个插件
上文提到的各种用户脚本，使用 CSS 就能少装几个脚本
uBlock Origin，这是我目前 CSS 的主要来源，虽然 ubo 更通用，但很多网站我根本不会用 Chromium 打开，直接写进 CSS 未尝不可，还能简化 ubo 规则。像我 Firefox ubo 自定义规则只有寥寥 20+（当然，订阅规则有很多）

此外，为了便于管理，建议参考 firefox-csshacks#Usage 的做法，将不同规则分离成单独的文件，然后统一在 CSS 中导入：

/* userChrome.css */
@import url(chrome/tab_close_button_always_on_hover.css);
@import url(chrome/tab_loading_progress_throbber.css);
@import url(chrome/button_effect_scale_onclick.css);

理所当然，导入顺序也会影响效果，详细内容请自行了解。

Policy Templates

终于聊到 policy-templates，为什么不叫「策略模板」，因为人家只有英文网站~~这都看不懂就别配置了~~。Firefox 这方面基本就是照抄 Chrome，不过配置项要少得多。但你能通过设置配置的东西，policy-templates 基本都有涉及，不需要每次重装都点点点。

这东西的目标群体大多是企业用户，感觉付费支持的多，所以网上介绍的文章也不多，简单提几点，后文在 Chrome policy template 还会介绍。

Firefox 的 policy-templates 相比于 Chrome 有一点非常好，就是跨平台，一个 policies.json 可以通用，Linux 配置到 /etc/firefox/policies³，Windows 在 firefox.exe 同级目录创建 distribution 即可。

不像 Chrome，Linux 用 JSON，Windows 用注册表或组策略 ⁴，macOS 又用 plist，不够通用，牵一发而动全身。

注意 policies.json 的 EOL 需要设置为 CRLF，哪怕在 GNU/Linux 也是一样= = 配置结果可以在 about:policies 查看，无报错即一切正常。此外 JSON 不能写注释，这点比较坑，Chrome 是可以的。

示例

下面根据我的部分配置文件举几个🌰🌰🌰，介绍一下 policy-templates 的用法。

先来个简单的：

由于我始终启用 HTTPS-only 模式，HTTP 网站（虽然这里只是懒得配置 SSL 的内网 mDNS 设备）会弹警告，配置策略绕过，普通网站不写端口当然也可以 ⁵
禁止导入默认的 Mozilla 书签
禁用搜索建议（就是在搜索框输入就会自动发送文本内容，然后返回结果），不影响在搜索引擎页面的搜索建议功能（二者不一样，你细品）

{
 "policies": {
 "HttpAllowlist": [
 "http://redump.org",
 "http://rpi.local:3000/",
 "http://rpi.local:8000/"
 ],
 "NoDefaultBookmarks": true,
 "SearchSuggestEnabled": false
 }
}

然后搞点复杂的，通过 ExtensionSettings 配置插件 ⁶，一点说明：

卸载自带的 DuckDuckGo
强制安装 uBlock Origin，并且不能卸载不能禁用（可以在具体网站上停用）
注意如果访问 add-ons for Firefox，会发现插件下载地址是带版本的 URL (e.g. https://addons.mozilla.org/firefox/downloads/file/4328681/ublock_origin-1.59.0.xpi)，但其实可以用最新版本插件的直链 (https://addons.mozilla.org/firefox/downloads/latest/ublock-origin/latest.xpi)，具体的 URI 可以访问插件页面获取 153+ 安装官方插件可以只写 Addon ID 不写 install_url，第三方还是要写的
部分地区的商店（e.g. 谋智中国）不提供 uBlock Origin，可以使用 GitHub release 的 URL 安装（e.g. https://github.com/gorhill/uBlock/releases/download/1.59.0/uBlock0_1.59.0.firefox.signed.xpi），但是这样就是静态 URL，需要安装后手动更新，或者时不时更新 policies.json 中的版本，不推荐
Addon ID 见 about:support 页面的 Add-ons，这里特地用 LocalCDN 举例，说明不一定都是正常的邮箱名，开发者可以自己配置，或者使用随机生成的 UUID
从第三方安装插件也是可以的，这里是 Zotero Connector

{
 "policies": {
 "ExtensionSettings": {
 "ddg@search.mozilla.org": {
 "installation_mode": "blocked"
 },
 "uBlock0@raymondhill.net": {
 "installation_mode": "force_installed"
 },
 "zotero@chnm.gmu.edu": {
 "install_url": "https://download.zotero.org/connector/firefox/release/Zotero_Connector-5.0.144.xpi",
 "installation_mode": "normal_installed"
 },
 "{b86e4813-687a-43e6-ab65-0bde4ab75758}": {
 "install_url": "https://addons.mozilla.org/firefox/downloads/latest/localcdn-fork-of-decentraleyes/latest.xpi",
 "installation_mode": "force_installed"
 }
 }
 }
}

接着来个亿点点复杂的，通过 SearchEngines 配置搜索引擎：

移除自带的搜索引擎 ⁷，配置默认搜索引擎为自定义的 DuckDuckGoLite
对于大部分有搜索功能的网站（不说人话就是，适配了 OpenSearch 的网站），Firefox 本就支持添加为搜索引擎，这点比 Chrome 好用很多，但定制要配置的参数也比 Chrome 多得多
所以这些 technical 的信息怎么来的呢，其实都保存在 ~/.config/mozilla/firefox/xxx.default/search.json.mozlz4，然鹅这是压缩包，不能直接打开，经过这样那样的搜索，找到 mozlz4，下载二进制，解压打开，然后复制粘贴即可
当然也有正常的方式，就是在网站的 sitemap 寻找上面提到的 opensearch.xml（e.g. VNDB, Whoogle），相关信息都在里面
请求方法分为 GET/POST，大部分都是 GET，POST 配置略复杂，建议直接看 opensearch.xml
IconURL 不建议修改为网站 favicon 的动态 URL⁸，这样每次启动（不限于第一次启动）Firefox 都会挨个请求一遍图标，增加不必要的网络流量。当然如果看图标不爽也可以不填或者用自定义图标。
Merriam-Webster 和汉典这种字典类网站的 URL 结构固定，也可以直接构造 URL，避免跳转。

{
 "policies": {
 "SearchEngines": {
 "Add": [
 {
 "Alias": "vn, gal",
 "Description": "Search visual novels on VNDB.org",
 "IconURL": "data:image/x-icon;base64,后略",
 "Method": "GET",
 "Name": "VNDB",
 "URLTemplate": "https://vndb.org/v?q={searchTerms}"
 },
 {
 "Alias": "mw, dict",
 "Description": "Dictionary by Merriam-Webster",
 "IconURL": "",
 "Method": "GET",
 "Name": "Dictionary",
 "URLTemplate": "https://www.merriam-webster.com/dictionary/{searchTerms}"
 },
 {
 "Alias": "moe",
 "Description": "泛 ACGN 向 Wiki（百科）站点，主要收录 Anime（动画）、Comic（漫画）、Game（游戏）、Novel（轻小说）及相关网络文化。",
 "IconURL": "data:image/png;base64后略",
 "Method": "GET",
 "Name": "萌娘百科",
 "URLTemplate": "https://moegirl.icu/index.php?title=Special:%E6%90%9C%E7%B4%A2&search={searchTerms}"
 },
 {
 "Alias": "ddg",
 "Description": "Search DuckDuckGo (NoAI)",
 "IconURL": "data:image/x-icon;base64后略",
 "Method": "POST",
 "Name": "DuckDuckGoLite",
 "PostData": "q={searchTerms}",
 "URLTemplate": "https://noai.duckduckgo.com/html/"
 }
 ],
 "Default": "DuckDuckGoLite",
 "Remove": [
 "Amazon.com",
 "DuckDuckGo",
 "Google"
 ]
 }
 }
}

仅仅三个例子显然没办法覆盖全部内容，但麻烦的部分基本都有所涉及，其他配置项照猫画虎，看报错信息修补即可。还有一些很有用的配置，例如 Handlers（比如默认在 Firefox 中打开 RSS……）和 WebsiteFilter（网站的屏蔽/允许名单），没有配置，有缘再说。

插件

这东西没什么好说的，过于烂大街，看到那些装一百多个插件，时刻开几十个页面的人大放厥词我常常感到无奈，因为很多内容不需要插件就能实现。只要完全掌握上面提到的内容，你已经比地球上绝大部分人更能掌控浏览器的方方面面。工具始终就是工具，不要沦为工具控（aka. 工具的奴隶），而要当工具的奴隶主，亲自调教浏览器能让你对浏览器内部有更深刻的了解。

为什么我看不上 LibreWolf，一个是不基于 Firefox ESR，另一个是没有自动更新，最后就是它单纯 = Firefox + user.js + uBlock Origin + 杂七杂八会导致更多问题的 patch。实在要说审美也比 Mozilla 略微在线，仅此而已。它甚至没用上 CSS 和 policy-templates，而你在享受虚假的 ⁹ 隐私保护的同时，也面临所有下游项目都无法避免的一点——更新延迟。

不用 ESR = 更新更频繁 = 忽略更新的风险加大
采用第三方 user.js = 存在浏览器更新，而 user.js 尚未更新的窗口期（个人可以通过及时自定义弥补）
绑定 uBlock Origin 的用户潜在预期是一有更新就要发版
patch = 上游一更新相关文件就要修改 patch，这个工作一般很简单但也很琐碎

后面会单独出一篇介绍浏览器插件 ¹⁰，这里先按下不表。

吐槽

Firefox 的 policy-templates 数量级就比 Chromium 系要小，这点还可以用海量的 user.js 和 autoconfig 配置项来解释。匪夷所思的是 Cookies 配置功能比 Chromium 弱很多，不支持通配符，也不能设置 A 网站只能读取 B 网站的 cookies，而是 all or nothing。举例：不能允许淘宝只获取天猫的 cookies，如果允许读取第三方 cookies，就会一并接收广告联盟、追踪脚本、用户行为分析等垃圾第三方，颗粒度不够细。

本文仅介绍 Firefox ESR，Firefox/LibreWolf 等自行类推 ↩︎
注意，文中通过修改 omni.ja 定制按键的方法是错误的。在 99.9% 的情况下（剩下那 0.1% 是 LibreWolf, Tor Browser 等套娃浏览器定制打包，虽然个人可以做得比这些浏览器更好，但过于耗费精力，不建议轻易尝试），你都不需要修改 omni.ja，延伸阅读 Don’t Unpack and Repack omni.ja ↩︎
这个路径视发行版和安装源的情况而定，可能会有所变动，像 Snap/Flatpak 的路径不一样 ↩︎
使用组策略配置需要加入域，这点对纯离线环境很不友好 ↩︎
这里有一点非常坑，由于 Firefox 的实现问题，指定同一个域名的多个端口时，必须加上结尾的 /，不然只有第一个端口会生效…… ↩︎
目前尚可以通过 Extensions 配置，但这东西早晚要弃用，功能不如 ExtensionSettings，而且后者实际上和 Chrome 的对应配置类似，反正都要写还是早点写了吧 ↩︎
注意这里我又移除了 DuckDuckGo，实际上它在上一步的 ExtensionSettings 已经被移除了，写进这里就是为了说明卸载的两种方法，也说明了 Firefox 自带的搜索引擎其实就是 extension，这也是它们能够自动更新的原因。再扩展一下，其实你不需要这么麻烦地配置搜索引擎，也可以借助 ExtensionSettings 安装，但我秉持着少装一个是一个、多折腾一点是一点的理念，刻意选择 learn it the hard way ↩︎
这里需要手动将网站图标，即 favicon (ICO)，转换为 Data URI data:content/type;base64 格式，实在不会可以用 ICO to Base64 等在线工具 ↩︎
这可能说得有点过，更好的说法是「不彻底的」 ↩︎
预告一下，我大概会在这篇里喷各种插件推荐列表，并且给出更加「原生」或可靠的方案 ↩︎

浏览器调教指南 - Chromium 篇 (Chrome/MSEdge)

Vinfall — 2026-08-21

前言

接着昨天的浏览器调教指南 - Firefox 篇，今天介绍 Chromium 系浏览器的调教方法。前文已经给出定义，不再赘述，本篇的重点显然是 Chrome/Chromium 和 MSEdge。其他套壳浏览器不够「主流」，特性也不吸引我，绝大部分还没原版安全，自行解决。不过文中的方法大概率通用，就是替换一下关键词的事儿。

Flags

在连篇累牍介绍 policy-templates 之前，先上点开胃菜。提到调教 Chromium，首先肯定是 chrome://flags

随便举几个例子 ¹：

Anonymize local IPs exposed by WebRTC，隐私设置，但会影响 mDNS
Block scripts loaded via document.write，防范 PDF 中的脚本攻击
Parallel downloading，多线程下载

值得一提的是很多 flags 都有对应的命令行参数，可以写在快捷方式 / Linux Desktop File 里，避免重装后手动设置，具体列表参见 List of Chromium Command Line Switches。

考虑到部分 flags（QUIC、ECH² 等）可以通过 policy-templates 设定，不多讲。况且 flags 本质还是测试中的功能，保不准哪天就删了。而 policy-templates 面向企业用户，得罪金主自砸饭碗的事要少得多。

Policy Template

在 Firefox 篇的对应小节我曾提到，Chromium 系的 policy-templates 方法不够通用，详细解释一下：

不同浏览器 policy-templates 存放路径不一样（废话），而 Chromium 套壳满地都是，企业部署方案的修改牵一发而动全身
- Chrome 存放在 /etc/opt/chrome/policies
- Chromium 存放在 /etc/chromium/policies
- MSEdge、Vivaldi、Brave、Arc、Yandex 各有各的地盘……
同一个浏览器，安装源（发行版的软件包管理器、Snap、Flatpak 等）不同，存放路径也可能不同。前文已经提及，不再赘述。
同一个浏览器在不同平台的部署方式不一样（虽然也是废话，但人家 Firefox 就一样）
- Linux 用 JSON
- Windows 用注册表或者组策略 ³
- macOS 又用 profile manager，并且使用 Apple 莫名其妙的 plist 格式
同一个浏览器，不同更新通道，可用策略不一样（废话），所以使用的模板也不一样
- 以 Chrome 为例，Stable/Beta/Dev，各有各的模板
- 这听起来可能没什么，主要 Chrome/Chromium 的 policy-templates 是一个超大压缩包，虽然也有网页版，但使用体验远不如前者，而且还没有翻译（压缩包版本有），也没有更新日志 ⁴，多通道并存的情况下很容易陷入版本管理地狱
由于 Chromium 系浏览器在很多系统都有大量用户，像 Chrome OS 乃至 Android 都有独立的解决方案，此外还支持分级配置，复杂场景的解决方案很复杂，当然，个人使用基本碰不到这类问题

分级配置

简单来说分为两种，Managed v.s. Recommended：

前者会强制锁定某一设置，用户不能修改
后者则仅设置推荐的默认值，允许用户修改，但修改后会提醒与组织要求冲突
此外，有的策略只能配置为强制实施，不能推荐……

听起来是不是很麻烦？在 Firefox 通过 user.js（等同于推荐）和 autoconfig（等同于强制）实现，类似烦恼会大大减少╮(╯_╰)╭

示例

实话实说我觉得讲到这里就可以了，点到为止，后面的示例也就是画龙点睛。

坑

讲解示例之前先说几个坑：

使用注册表配置 Windows 上的 Chromium 系浏览器时要注意，.reg 文件的编码是 UTF-16-LE
如果通过 git 管理 policy-templates，不能通过 .gitattibutes 自动设置 EOL，不然注册表大概率会炸
Linux 要注意配置文件的权限，我在部署脚本最后移除了目录的写入权限

#!/bin/bash
# Setup Google Chrome/Chromium policies on GNU/Linux

# Configure path
POLICY_PATH="/etc/chromium/policies"
# POLICY_PATH="/etc/opt/chrome/policies"

...

# Restrict permission
sudo chmod -w ${POLICY_PATH}/managed
sudo chmod -w ${POLICY_PATH}/recommended

配置结果可以在 chrome://policy 查看，Status 都是 OK 就 OK 了
最后这个不算坑，不如说是 Firefox 的坑：Chromium 系的 policy-templates 可以写注释！

禁用 Gemini

先来个实用的，Chrome 144 开始逐步集成 Gemini，会自动下载几 GB 的 LLM 模型，还默认上传隐私数据用于数据训练。我想用自然会另外用付费 API⁵，浏览器不想用则直接禁止，以绝后患。

Linux Chromium，禁用 Gemini、禁止自动下载模型（配置前下载的会自动删除）：

{
 // /etc/chromium/policies/managed/managed-policies.json
 "AIModeSettings": 1,
 "GeminiSettings": 1,
 "GenAILocalFoundationalModelSettings": 1
}

Windows Chrome/Chromium/MSEdge 的注册表（看这前缀就知道麻烦了吧，一样的内容要写三遍），保存为 ChromeNoGenAI.reg，导入即可：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome]
"AIModeSettings"=dword:00000001
"GeminiSettings"=dword:00000001
"GenAILocalFoundationalModelSettings"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Chromium]
"AIModeSettings"=dword:00000001
"GeminiSettings"=dword:00000001
"GenAILocalFoundationalModelSettings"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge]
"AIModeSettings"=dword:00000001
"GeminiSettings"=dword:00000001
"GenAILocalFoundationalModelSettings"=dword:00000001

配置插件

第二个示例和 Firefox 篇一样，通过 ExtensionAllowedTypes 和 ExtensionInstallForcelist 配置插件：

{
 "ExtensionAllowedTypes": [
 "extension",
 // "theme",
 "user_script",
 "hosted_app",
 "legacy_packaged_app",
 "platform_app"
 ],
 "ExtensionInstallForcelist": [
 "ddkjiahejlhfcafbddmgiahcphecmpfh", // uBlock Origin Lite
 "jaehimmlecjmebpekkipmpmbpfhdacom" //ScriptCat Beta
 ],
 "3rdparty": {
 "extensions": {
 "ddkjiahejlhfcafbddmgiahcphecmpfh": {
 "defaultFiltering": "complete",
 "noFiltering": [
 "cashiersa128.alipay.com"
 ]
 }
 }
}

这部分和 Firefox 差不多，没什么好说的，知道可以写注释即可。这里只简单配置了允许的扩展类型并强制安装 2 个扩展。 uBOL 也支持浏览器策略，感兴趣可以参考上面的例子和官方 wiki 配置。

Windows 注册表写法略微不同，但也是一目了然，同样支持注释：

Windows Registry Editor Version 5.00
; chrome version: 150

[HKEY_LOCAL_MACHINE\Software\Policies\Chromium\ExtensionAllowedTypes]
"1"="extension"
; "2"="theme"
"2"="user_script"
"3"="hosted_app"
"4"="legacy_packaged_app"
"5"="platform_app"

[HKEY_LOCAL_MACHINE\Software\Policies\Chromium\ExtensionInstallForcelist]
"1"="ddkjiahejlhfcafbddmgiahcphecmpfh"
"2"="ndcooeababalnlpkfedmmbbbgkljhpjf"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Chromium\3rdparty\extensions\ddkjiahejlhfcafbddmgiahcphecmpfh\policy]
"defaultFiltering"="complete"
"noFiltering"="["cashiersa128.alipay.com"]"

需要注意，部分应用程序基于浏览器框架构建，配置 ExtensionAllowedTypes 可能会影响运行。

比如烂大街的 RPG Maker、TyranoScript 和新兴 gal 引擎 WebGal，底层是 Electron/NW.js，导出时可能没有附带 runtime，默认调用系统浏览器，自然也受 policy-templates 制约 ⁶。可以写个批处理删除对应注册表，临时放行，结束之后再重新导入，或者干脆不配置这一项。

随手写的脚本，保存为 allow-nwjs-game.bat 使用管理员权限运行即可：

allow-nwjs-game.bat

@echo off
echo "Delete reg to allow Electron/NW.js…"

reg delete "HKEY_LOCAL_MACHINE\Software\Policies\Chromium\ExtensionAllowedTypes" /f
reg delete "HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome\ExtensionAllowedTypes" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge\ExtensionAllowedTypes" /f
if %errorlevel%==0 (
 echo ExtensionAllowedTypes policy deleted.
) else (
 echo ExtensionAllowedTypes policy deletion failed!
)

pause

搜索引擎

「搜索引擎」在 Chromium 中其实叫 Site search，应该配置 SiteSearchSettings，而不是 DefaultSearchProvider（策略组，包含有搜索引擎相关的一系列策略）。

如果搞定了 Firefox ESR 的搜索引擎配置，Chromium 不要太简单，就是高考难度降级到小学生看图写话。唯一的潜在难点就是 Windows 用注册表配置的情况，但根据 Complex policies on Windows，实际上 Chromium 已经支持直接读取注册表中的 JSON，所以不这么写也无所谓，照样可以导入。

[HKEY_LOCAL_MACHINE\Software\Policies\Chromium\SiteSearchSettings\1]
"featured"=dword:00000001
"name"="DuckDuckGo"
"shortcut"="d"
"url"="https://noai.duckduckgo.com/html?q={searchTerms}"

[HKEY_LOCAL_MACHINE\Software\Policies\Chromium\SiteSearchSettings\2]
"name"="ピクシブ百科事典"
"shortcut"="pixiv"
"url"="https://dic.pixiv.net/search?query={searchTerms}"

顺带一提，featured 只是额外支持通过 @d 触发搜索，但限制三个，而且其实直接 d + Tab 更快……

另外，MSEdge 不支持配置 site search，由于已经卸载 Edge，没验证是不是故意阉割以便强推 Copilot。

Cookies

最后介绍 Cookies 的 Linux Chromium 配置。

recommended-policies.json:

{
 "BlockThirdPartyCookies": true
}

这里特地把屏蔽第三方 cookies 写成推荐，防止你读到这里忘了还有 #分级配置的设定。

managed-policies.json:

{
 "CookiesAllowedForUrls": [
 "*,https://drive.google.com",
 "https://steampowered.com,https://steamcommunity.com",
 "*,https://*.sharepoint.com",
 "*,https://[*.]live.com",
 "https://[*.]dlsite.com,https://www.nijiyome.jp"
 ],
 "DefaultCookiesSetting": 4
}

DefaultCookiesSetting 的 4 代表浏览器窗口关闭即失效，cookies 不会一直保存。

CookiesAllowedForUrls 略复杂，但比 Firefox 的 SearchEngines 简单多了。这里需要填两个 URL，允许前者 cookies 在后者使用。

结合上面的例子详细讲一下：

"*,https://drive.google.com"，最常用的一种，在 Google Drive 允许第三方 cookies，可以用通配符
"https://steampowered.com,https://steamcommunity.com"，比上面一种复杂，在 Steam 社区允许 Steam 商店的 cookies，从而解决 V 社十多年一直懒得搞的 CORS 跨域问题……不需要因为默认屏蔽第三方 cookies 而重新登录一次
"*,https://*.sharepoint.com"，可以同时用通配符匹配各种 SharePoint 二级域名，但显然不能 *,*
"*,https://[*.]live.com"，也可以使用 [*.] 来同时匹配 *.live.com 和 live.com，解决一级/二级域名混用的网站
"https://[*.]dlsite.com,https://www.nijiyome.jp"（不要瞎点，NSFW 警告）在 DLsite 姊妹站にじ GAME 允许来自 DLsite 的 cookies，和 Steam/OneDrive 的例子差不多，但是这里 [*.] 通配符用在第一个 URL

看到这里，你大概能理解 Firefox 篇#吐槽的内容。

MSEdge

由于 MSEdge 越更越烂 ⁷，塞了一堆有的没的功能，我已经弃用，以下内容仅供参考。其实 MSEdge 和 Chromium 在定制化层面差不多，多了几个 flags，少了几个 policy-templates。

Flags

大差不差，随便写几个：

Boost screen refresh rate when scrolling，动态刷新率（即 VRR），需要显示器支持
Omnibox UI Hide Steady-State URL Trivial Subdomains，禁用之后就能恢复正常的地址栏完整 URL
Show block option in autoplay settings，为数不多的好东西，可以屏蔽自动播放，Firefox/Chromium 默认的「屏蔽」只针对有声音的视频……
PlayReady DRM for Windows 和 Widevine DRM，解锁高清流媒体，其他浏览器默认只能 720p/1080p，也不是不能看，但肯定比不了 4K 双杜比

Policy Template

文档
注册表路径
- 强制：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge
- 推荐：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge\Recommended
- 更新：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\EdgeUpdate
- 注意路径，HKLM 下面还有 Policies\Microsoft\MicrosoftEdge，这个路径是错误的！

实际配置真差不多，有两点可以表扬：

扩展稳定渠道，类似 Firefox ESR，偶数为功能更新，奇数为安全更新
可以设置单独的 Microsoft Edge - 更新策略

好话言尽于此，可以开始骂了。

EdgeUpdate 这东西本身体验就一言难尽，对于不能手动触发的 bug，开发者明确表示就只能通过计划任务触发你敢信？再加上永远有残留安装包和多版本并存死活不肯卸载旧版的 EdgeWebView，整个 Edge 生态在我看来非常畸形。这都可以用脚本解决，关键切换到 Chromium 内核还把我最爱的 PDF 阅读器砍了🙄

此外 M$ 还喜欢掩耳盗铃，Microsoft Edge - 策略的附加部分多列了许多配置项，给人感觉好像比 Chromium 多做了很多工作，其实是混淆视听，大多数在 Chromium 存在的内容被刻意挪到这里。由于 Edge 策略是分组的，不像 Firefox 那样直接按字母排序，看到最后这部分很容易被诱导。

很多 Edge 特有的无用功能也都被特地放到这部分，比如必应搜索结果的广告 ⁸、Copilot、集锦、没卵用的电子钱包、钱包捐赠和更没卵用的 E-tree🤬各种遥测更是防不胜防……

跑题了，浏览器扩展可以从 Edge 商店安装，也可以 Chrome 商店安装，具体可以参考在企业中管理 Microsoft Edge 扩展，不过坑也不少：

指定从 Chrome 商店安装扩展，始终会报错，企业用户也吐槽好多回，但是死不悔改
UpdateURL
- https://edge.microsoft.com/extensionwebstorebase/v1/crx
- https://clients2.google.com/service/update2/crx

结语

受限于 Google 的广告业务，Chromium 系调教手段着实有限。做到文中这些虽然不至于是杯水车薪，但也只能略微改善浏览器体验。随着 Manifest V2 的彻底废弃，Chromium 扩展完全沦为 Firefox 的下级替代。建议早日投入 Firefox ESR 的怀抱，享受极致的调教体验。

Flags 会经常变动，这里列举的仅保证在 Chromium 146 有效 ↩︎
Encrypted ClientHello，Mozilla/Cloudflare 等发布的 TLS1.3 扩展，可以简单理解为（但不等同于）加密的 SNI，详见 MozillaWiki ↩︎
前文同样提及了使用组策略（GPO）需要加入域的问题，对纯离线环境很不友好，个人使用（而非企业批量部署）建议还是注册表，简单粗暴 ↩︎
MSEdge 会在 Microsoft Security Baselines Blog 定期发布日志， ~~但一样得单独下载 Microsoft Security Compliance Toolkit 才能查看具体的新增内容，GPO 全是 XML 格式，更新表格同时还用的 Excel~~ 现在策略页面直接就会显示新策略和过时策略，很棒的改动👍 ↩︎
顺带一提，AI Studio 的免费 API 会拿对话数据训练，rate limit 也严格得多，考虑到 Gemini 本身定价就不贵，这免费羊毛还是不薅为好。 ↩︎
话虽如此，但归根结底还是游戏引擎没有考虑到这种情况，policy-templates 本身并没有问题 ↩︎
这点在 Windows Server 2022 LTSC 上尤为显著，预装的 MSEdge 86 还是挺好用的，升级到 127 之后页面就塞满各路妖魔鬼怪 ↩︎
BingAdsSuppression 更是厚颜无耻，无广告搜索的前提是强制安全搜索设置为「严格」 ↩︎

Awesome One-liner

Vinfall — 2026-08-17

ℹ️ Note

All commands here assumed Bash execution, unless noted as Zsh. Full POSIX compatibility is not guranteed.

Fun

Get current BTC price (without demicals) using rate.sx API:

curl -s 'rate.sx/1btc?format=qT' | cut -f1 -d\.

Start one-off bukuserver with uvx aka. uv tool run:

uvx --from "buku[server]" bukuserver run --host 127.0.0.1 --port 5001

Check running time (run at the end of script, mainly to avoid prevent COND && COMMAND bug in Bash Strict Mode):

# most bashism, but not working in Bash Strict Mode
timing() { echo "Task finished in $SECONDS $(( SECONDS <= 1 ? "second" : "seconds" ))."; }
# boring, but working with "set -u"
timing() { echo "Task finished in $SECONDS $( (( SECONDS <= 1 )) && echo second || echo seconds )."; }
# a bit hacky, but works
timing() { units=(seconds second); echo "Task finished in $SECONDS ${units[SECONDS <= 1 ? 1 : 0]}."; }
# awesome one-liner
timing() { local s=${SECONDS:-0} u="seconds"; [[ $s -le 1 ]] && u="second"; echo "Task finished in $s $u."; }

IP

Get internal WSL IP:

ip route | awk '/^default/{print $3}'

Get Windows host IP from WSL (if generateHosts isn’t set to False in /etc/wsl.conf)

host `hostname` | grep -oP '(\s)\d+(\.\d+){3}' | tail -1 | awk '{ print $NF }' | tr -d '\r'

Get inet IP:

# BSD
ifconfig | awk '/inet/ { sub(/%.*/, "", $2); print $2 }'
# Linux
ip a | awk '/inet/ { sub(/\/.*/, "", $2); print $2 }'
# IPv4 only
ip a | awk '/inet / { sub(/\/.*/, "", $2); print $2 }'
# IPv6 only
ip a | awk '/inet6/ { sub(/\/.*/, "", $2); print $2 }'

Git

Create a full git bundle using repo name:

gbc() {
 git bundle create $(basename `git rev-parse --show-toplevel`).bundle --all
}

Pull all git repo in sub-folders (change 3 to dig deeper) in parallel:

find . -maxdepth 3 -name .git -type d -printf "%h\0" | parallel -0 -k --line-buffer --tag git -c color.ui=always -C {} pull

Get nightly or any selected release file on GitHub (inspired by Bash: Determining latest GitHub release tag and version):

# Get Citra Nightly Download URL
GITHUB_URL=$(curl --silent --location https://api.github.com/repos/citra-emu/citra-nightly/releases/latest | jq --raw-output ".assets[].browser_download_url" | grep --extended-regexp "citra-linux-.*?.tar.xz")

# A more advanced (read: wicked) one
# Download Sophia-Script Selected Release
curl --silent --location https://api.github.com/repos/farag2/Sophia-Script-for-Windows/releases/latest | jq --raw-output ".assets[].browser_download_url" | grep --extended-regexp "10.LTSC.2021|11.v" | xargs wget --quiet --input-file

GitHub Action custom filter:

on:
 push:
 branches: ['main']
 # Only run when foo is changed
 paths: ['a-path/foo']

jobs:
 build-that-can-skip:
 runs-on: ubuntu-latest
 # Skip build with [ci skip] in last commit
 if: "! contains(github.event.head_commit.message, '[ci skip]')"

 sensitive-build:
 runs-on: ubuntu-latest
 # Only run on commits with [build]
 if: "contains(toJSON(github.event.head_commit.message), '[build]')"

File

Delete huge number of files using rsync

mkdir empty && rsync -r --delete empty/ some-dir && rmdir some-dir

Sort, filter, redirect a file using only sort:¹

rookie
-cat en.utf-8.add | sort | uniq > 1.add; mv 1.add en.utf-8.add
normie
-cat en.utf-8.add | sort | uniq | sponge en.utf-8.add
cool, but not enough
-cat en.utf-8.add | sort -u | sponge en.utf-8.add
cooler, still not enough
-sort -u < en.utf-8.add | sponge en.utf-8.add
nerdy
+sort -u en.utf-8.add -o en.utf-8.add

Format

Convert PDF to PNG using command line

# requires ghostscript
gs -dBATCH -dNOPAUSE -sDEVICE=pnggray -r300 -dUseCropBox -sOutputFile=item-%03d.png examples.pdf

Convert SQL to formatted single line JSON in zsh (used in datasette-dashboards):

# lib/format.zsh
sql2json() {
 # Usage:
 # sql2json 1.sql
 # cat 1.sql | sql2json
 # echo 'SELECT * FROM public' | sql2json
 sed 's/--.*$//' "${1:-/dev/stdin}" | tr '\n' ' ' | sed 's/^ *//;s/ *$//;s/ */ /g' | jq -R '{query: .}'
}

Convert ROMs in CUE+BIN to CHD:

cue2chd() {
 # use cue file name
 # find . -maxdepth 2 -name '*.cue' -type f -exec bash -c 'chdman createcd -i "$0" -o "../${0%.*}.chd"' {} \;
 # use subdirectory name
 find . -maxdepth 2 -name '*.cue' -type f -exec bash -c 'chdman createcd -i "$0" -o "$(basename "$(dirname "$0")").chd"' {} \;
}

Zsh

print $PATH using zsh built-in parameter expansion:

path() {
 # echo $PATH | sed 's/:/\n/g' # not cool
 echo "${PATH//:/\n}" # cool
}

Use latest installed version of python/lua as alias (failsafe of distro specific method like dpkg-reconfigure, xbps-alternatives, or stow):

# lib/dev.zsh
# Python
for cmd in python3.{14..11} python3 python; (( $+commands[$cmd] )) && { alias py=$cmd; alias python=$cmd; break }

# Lua, prioritize mise-lua shim
if [[ ! -L $HOME/.local/share/mise/shims/lua ]]; then
 for cmd in lua5.{5..2}; (( $+commands[$cmd] )) && { alias lua=$cmd; break }
fi
# luarocks is manually installed and updated
# for cmd in luarocks-5.{5..2}; (( $+commands[$cmd] )) && { alias lua=$cmd; break }

Misc

Determine glibc or musl-libc:

if [ -e /usr/lib/ld-musl-x86_64.so ]; then echo musl; elif [ -e /usr/lib/ld-linux-x86-64.so ]; then echo glibc; else echo unknown; fi

# long version
check_musl() {
 local libdir=/usr/lib
 if ls "$libdir"/ld-musl* 1>/dev/null 2>&1; then
 echo musl
 exit 0
 fi
 if ls "$libdir"/ld-linux* 1>/dev/null 2>&1; then
 echo glibc
 exit 0
 fi
 echo unknown
}

Ask for explicit confirmation before proceeding (useful in hashsum check, dry run preview):

# just press y, without enter
confirm() { read -n 1 -rp "Looking good? [y/N] " m < /dev/tty; echo; [[ "${m,,}" == "y" ]] || exit 1; }

# or if you like hitting enter
confirm() { read -rp "Looking good? [y/N] " m < /dev/tty; [[ "${m,,}" == y* ]] || exit 1; }

# standard version
confirm() { read -rp "Looking good? [y/N] " m < /dev/tty; [[ "${m,,}" =~ ^(y|yes)$]] || { echo "Canceled."; exit 1; }; echo "Proceeding."; }

# long (boring) version
confirm() {
 local match
 read -r -p "Looking good? [y/N]" match < /dev/tty
 case "${match,,}" in # convert to lower case, bash 4.0+
 y|yes) echo "Proceeding." ;;
 *) echo "Canceled."; exit 1 ;;
 esac
}

Show size of installed packages in descending order on Linux, from my ultimate backup() which works everywhere:

# apk-tools on Alpine, requires gawk and coreutils/uutils-coreutils
apk query --fields name,installed-size --installed $(apk info) | awk '/^Name:/{pkg=$2} /^Installed-Size:/{print $2 "\t" pkg}' | sort -rn | numfmt --to=iec --field=1 --delimiter=$'\t'

# pacman on Arch/Artix/CachyOS/Manjaro, requires expac
expac "%m\t%n" | sort -rn | numfmt --to=iec --field=1

# apt/dpkg on Debian/Devuan/Termux/Ubuntu
dpkg-query -Wf '${Installed-Size}\t${Package}\n' | sort -rn | numfmt --from-unit=1024 --to=iec --field=1 --delimiter=$'\t'

# emerge/portage on Gentoo, requires app-portage/portage-utils (aka. qtools)
qsize --sum

# yum/dnf on Alma/CentOS/Fedora/RHEL/Rocky
rpm -qa --queryformat '%{size}\t%{name}\n' | sort -rn | numfmt --to=iec --field=1

# xbps on Void, requires xtools-minimal
xhog

# slackpkg on Slackware
for f in /var/lib/pkgtools/packages/*; do
 awk '/^PACKAGE NAME:/{name=$3} /^UNCOMPRESSED PACKAGE SIZE:/{size=$4} END{print size, name}' "$f"
done | sort -rh

-o is used here because sort supports inplace redirect. You CAN NOT use it for any command! For GNU grep you have to write grep -v '^#' cities.txt | sponge cities.txt, or just use sed -i '/^#/d' cities.txt. ↩︎

Blog Signing Key 2026 Update

Vinfall — 2026-07-08

TLDR

Similar to 2024 Update, my blog signing key (58222FDBCBFB1D0D51AE0088C20D48DA42BADC2E) is again expired last month as expected. The new one is 4161C5B1A0C1CD50F47EF18D9593A536E370368B.

Intro

After playing Xbox for two months, and one extra week in Assassin’s Creed Shadow thanks to the free Ubisoft+ Premium in Dragon Boat Festival giveaway, I’m been busy clearing the last pile of Switch games lately before switching to Switch 2 (pun intended). And while I dislike the smart (i.e. Shamate) style of Fire Emblem Engage’s MC in the past, I’m addicted to it after really playing the game.

Getting back to the point, this time I use alpine-make-vm-image instead of void-mklive to creat a minimal QCOW2 image to generate the perfect GPG keychain in an offline Alpine Edge KVM.

For details, check previous post. I’ll only leave brief commands this time.

Build the image, configure-min.sh is used to pre-configure the system:

git clone https://github.com/alpinelinux/alpine-make-vm-image && cd alpine-make-vm-image

sudo ./alpine-make-vm-image \
 --arch x86_64 \
 --branch edge \
 --image-format qcow2 \
 --image-size 200M \
 --rootfs ext4 \
 --packages "ca-certificates doas fuse gnupg merge-usr openssh pinentry-tty shadow vim" \
 --script-chroot \
 "alpine-min-$(date +%Y-%m-%d).qcow2" -- ./custom/configure-min.sh

Boot the image, generate GPG keychain then mount it in another offline VM and transfer the GPG keychain.

Rime 配置备忘录

2026-07-07

输入

Linux test suite: mousepad/ghostty (GTK4), okular/vbox (Qt6), keepassxc (Qt5), firefox-esr/zotero, chromium/electron/cef, SDL
模糊音: 不再自定义，使用雾凇默认方案
Emoji: 雾凇已整合 rime-emoji
特殊符号输入: 带声调汉语拼音使用雾凇 V 模式的 vpy，其他配置自定义短语
切换输入方案: Ctrl + ` 或 F4

雾凇常用模式备忘（完整列表见 rime_ice.schema.yaml 和 symbols_v.yaml）

输入	模式
vpy	拼音
vhb	货币
vrq, vsj, vxq	日期, 时间, 星期
vnl	农历
vjm	假名

词库

文档
- 导入码表说明
- 导入码表示例
转换
- 深蓝词库转换，其他输入法词库转换成 Rime 用户词典
- mw2fcitx，MediaWiki 转 Fcitx 词库，关联阅读让 RIME 体验更上一层楼：如何用 MediaWiki 扩展词库
词库
- 雾凇拼音
  - 腾讯向量用处不大，直接关闭
  - 关联阅读 RIME + 雾凇拼音，打造绝佳的开源文字输入体验
- mw2citix，萌娘词库
- fcitx5-pinyin-zhwiki，维基词库
  - 下载 web-slang 和 zhwiktionary，默认只启用前者，后者用萌娘词库替代
- 私人词库: cn_dicts/private.dict.yaml

定制

Rime 定制指南
自定义快捷键
自定义短语，基于雾凇拼音修改
- 私人词库虽好用，但限制在拼音的框架中，而自定义短语大大拓展了可能性，随便举几例🌰
- 链接，是的，只用词库你绝对想不到自定义短语还能这样，比如输入 tuna 触发 https://mirrors.tuna.tsinghua.edu.cn
- 颜文字，比如输入 ciallo 触发 Ciallo～(∠・ω< )⌒☆
- 特殊符号，极简 LaTeX，输入 forall 触发 ∀
- 双语映射/规范输出，再也不会出现「都是片假名鬼记得住啊」的情况
  - 例 1: 输入 shizuku 触发 雫 和 しずく ~~比『日本汉字的汉语读音规范（草案）』的 xià 更好记~~
  - 例 2: 输入 escude 触发 Escu:de 和 エスクード
  - 例 3: 输入 luolishen 触发 粛聖！！ロリ神レクイエム☆ 和 肃圣！！萝莉神的安魂曲☆
  - 虽然私人词库也可以实现类似（但更弱）的功能，但这里的输入词和触发词可以无限拓展，而词库不行
- 示例对应的 custom_phrase.txt 节选

# 词汇<Tab>编码<Tab>权重
https://mirrors.tuna.tsinghua.edu.cn tuna
Ciallo～(∠・ω< )⌒☆ ciallo
∀ forall 10

雫 shizuku
しずく shizuku
Escu:de escude
エスクード escude
粛聖！！ロリ神レクイエム☆ luolishen
肃圣！！萝莉神的安魂曲☆ luolishen

Lua 脚本: 自定义短语是低配 espanso，librime-lua 则是真正的 espanso 平替
Fcitx5 主题
- fcitx5-skin-base16-material-darker
- fcitx5-dark-transparent，修改自 fcitx5-dark
- 拥抱 Fcitx5 一文附有许多预览图，可以逐一尝试感兴趣的主题
- ssfconv，搜狗输入法皮肤转 Fcitx 主题，未实际尝试

同步

自定义 sync 文件夹: 修改用户文件夹的 installation.yaml

installation_id: "void"
sync_dir: "/path/to/RimeSync"

fcitx5-rime 配置备份: 不像 ibus-rime 使用反人类的 dconf，直接备份 ~/.config/fcitx5 即可
换机：复制同步文件夹，配置新机的 installation.yaml，部署 -> 同步 -> 部署
文件夹默认位置

文件夹	fcitx5-rime	weasel
共享	`/usr/share/rime-data/`	`<安装目录>\data`
用户	`~/.local/share/fcitx5/rime`	`%APPDATA%\Rime`
同步	见 `installation.yaml`	同左

用户文件夹结构
- 不能直接覆盖更新的: custom_phrase.txt, rime_ice.{dict,schema}.yaml, symbols_v.yaml

$ eza --tree ~/.local/share/fcitx5/rime
.
├── build # 构建缓存
├── cn_dicts # 词库
│ ├── *.dict.yaml
│ ├── moegirl.dict.yaml
│ ├── private.dict.yaml
│ ├── web-slang.dict.yaml
│ └── zhwiktionary.dict.yaml
├── en_dicts
│ ├── *.txt
│ └── *.dict.yaml
├── lua # Lua 脚本
│ └── *.lua
├── opencc # Emoji、繁简转换、字符映射
│ ├── emoji.json
│ ├── emoji.txt
│ └── others.txt
├── *.userdb # 用户词典, e.g. rime_ice.userdb
├── custom_phrase.txt # 自定义短语
├── default.yaml # 全局配置，不要修改
├── default.custom.yaml # 全局配置补丁
├── *.schema.yaml # 输入方案配置, e.g. rime_ice.schema.yaml
├── *.dict.yaml # 词库配置, e.g. rime_ice.dict.yaml
├── *.custom.yaml # 补丁, e.g. rime_ice.custom.yaml
├── installation.yaml # 安装配置，用于修改同步目录
└── user.yaml # 用户状态

迁移

⚠️ Warning

下面的方法过于简单粗暴，而且受限于 OpenCC，更建议参考对应输入方案/词库的说明进行迁移。再不济也建议参考 rime-userdb-maker 写个一次性转换工具，避免后续反复排查用户词典的烦恼。

~~主要是用户词典迁移，词库只要在 schema.yaml 改改就能用，以明月拼音简体 -> 雾凇拼音的迁移为例。~~

# 切换到同步文件夹
cd path/to/sync_dir
# 重命名用户词典
cp luna_pinyin.userdb.txt rime_ice.userdb.txt
# 更新用户词典名称
sed 's/luna_pinyin/rime_ice/' rime_ice.userdb.txt > raw.txt
# 使用 OpenCC 进行简->繁转换
opencc -c t2s -i raw.txt -o mod.txt
# 检查处理结果
vim mod.txt
# 替换词库，删除中间产物
cp mod.txt rime_ice.userdb.txt
rm mod.txt raw.txt

Trime

文件夹结构
- 同步文件夹设置见 installation.yaml，不跟 Trime 设置走
- rime 文件夹: /sdcard/Aka/rime
- 同步文件夹: /sdcard/Aka/backup/trime
配置（伪 YAML）

- schemata:
 - 雾凇拼音
 # - 中文九键
 # - 小鹤双拼
- profile/storage/user directory: "/sdcard/emulated/0/Aka/rime/"
- candidates window/show: disable
- keyboard style:
 - themes: 标准
 - colors: 孤寺改 / Lost Temple Kai
- clipboard:
 - history limit: 1
 - suggestion timeout: 8 s

nimf

nimf 是韩国人开发的输入法，CJK 开箱即用，另有 nimf-i18n 拓展 100+ 语言的支持。但是因为过于小众，只有零星的文档提及，写个配置流程，以飨后人。在 Void 通过 xdeb 安装会吞 libnimf.so，这里使用的是 Kali Live 2025.4。

wiki
下载 nimf_xxx_amd64-debian.trixie.deb（本体已经附带 librime 在内的 CJK 支持，不需要安装用于追加语言的 nimf-i18n）
先手动安装依赖再 sudo dpkg -i 并启动服务

# kali
sudo apt update
sudo systemctl enable ssh --now

# host
rsync -av ./nimf*.deb kali:~/
ssh kali

# kali
sudo apt install anthy libanthy1t64 libgtk2.0-0t64 libhangul1 libhangul-data librime1t64 fonts-noto-cjk
sudo dpkg -i nimf_*_amd64-debian.trixie.deb
sudo systemctl enable nimf --now
vim .xprofile

参考 Installation Guide 配置环境变量

# .xprofile
export XMODIFIERS=@im=nimf
export GTK_IM_MODULE=nimf
export QT_IM_MODULE=nimf
export QT_QPA_PLATFORM=xcb
export QT4_IM_MODULE=xim

# Wayland only, force X11 execution
# export GDK_BACKEND=x11

log out & log in，检测下来环境变量设置都正常
运行 nimf-settings，不过也没什么好配置的
Rime 配置文件和 iBus/fcitx5 一样，就是路径换下，复制到 ~/.config/nimf/rime 即可
部署似乎需要进入 ~/.config/nimf/rime 运行 rime_deployer --build，保险起见我手动设置了默认 schema

cd ~/.config/nimf/rime
rime_deployer --build
rime_deployer --set-active-schema rime_ice

再次 log out & log in，可以输入中文
ldd 看默认没链接 lua，但是 Kali Live 安装 rime 默认会安装 librime-plugin-lua，实际也能触发雾凇的 Lua 脚本，应该没什么问题
其实在 X11 使用完全凸显不出 nimf 的优势，看 nimf 文档，Wayland 兼容性要比 fcitx5-rime 好，然鹅我还苟在 Xfce4，等 Xfwl4 发布或者迁移到 niri 再测试

吐槽

很多人对 Rime 架构的理解都存在偏差，容易混淆的内容：

输入方案
词库/自定义短语/用户词典
键位/皮肤
OpenCC 转换/emoji/符号映射
Lua 脚本

比如雾凇拼音，输入方案虽然有所涉及，但主要还是词库 + 符号映射 + Lua 脚本，不少用户都是默默用全拼，就图个「词库」和「符号映射」，小鹤双拼、小鹤音形、虎码这种才叫「输入方案」。

很多 Linux 发行版都打包了 fcitx5-rime 和 librime，但 librime-lua 支持比较玄学。没打包、版本过时、依赖过时都很常见，想要最佳体验还是得自己编译，挺麻烦的…… 更不提 Wayland 和 Qt/GTK 等 GUI 框架的破事，有时候 fcitx5-diagnose 没报错也不代表能用……

TODO

文档
- 主题配置（新）
- 薄荷输入法配置教程
主题
- Fcitx5 DIY Kali 配色主题
- Trime 配色：孤寺改·改
- Weasel 禁用日志, cmake -DENABLE_LOGGING=OFF?
定制
- 迁移特定主题的短语至 V 模式
  - custom_phrase.txt -> symbols_v.yaml
  - e.g. vbbc, vhugo, vmd, vlnk, vdio, vgal
- 副键盘
- librime-lua
  - Lua 脚本需要在 engine/translators/lua_translator 注册，可以使用新引入方式
- 按键音效包
  - 音效包演示
  - 💡 Trime 音效包：李云龙、新三国曹操语气词（大魏摩托）、新三国键帽语音版、hentai feat. MoeGoe
输入方案
- 宇浩输入法
- 墨奇音形，双拼辅助码
- 顶功类输入法
- 日语输入 via mozc? ref. 电脑日语输入简明指南
- 粤拼
- IPA
输入法
- oh-my-rime，薄荷输入法
- YuyanIme，语燕输入法
- fcitx5-android, 支持自定义按键布局的 fork, 少数派介绍
词库
- 万象拼音
- 白霜拼音，基于雾凇拼音重制的词库
编译/安装: fcitx5-rime w/ rime-ice on NixOS

文本编辑器的基础方程式

Vinfall — 2026-06-01

前言

~~在我的 Windows 软件之道#推荐我曾提到代码编辑用的是去除遥测并且使用 Open VSX 的 VSCodium。~~ 已改用 Zed，见 VSC -> Zed 迁移。

实际上我也在使用 Notepad++（下文简称 npp）。由于 npp 作者抱有强烈的政治参与感，三天两头被口诛笔伐。虽然我并不在意¹，但时不时看到互撕也会心烦，早就有了迁移的想法。可惜试来试去，大多在某些方面差强人意。

前几天在 HackerNews 看到 pragtical，看 commit 记录一直在更新，SDL + Lua + C 的组合也不错，于是尝试和对比了一番，在官方火速修复 LuaJIT 关于 Windows Unicode 路径的 bug 之后彻底迁移，自此告别 npp。

要求

前言说了一堆还没点题，npp 迁移之所以耗时几年，是因为我对文本编辑器的选择很挑剔。下面列举的仅仅是需要满足的 最基本要求：

UTF-8/UTF-16-LE 支持，能够打开并修改特定文件编码（至少支持 Shift-JIS / GB-2312 / GBK-5 / CP437² / CP866）
支持转换 EOL（最好支持移除行首/行末多余空格，以及 Tab/Space 相互转换）
支持 text wrap 和最最基本的文本补全（最好支持 tokenizer）
支持正则匹配，可以一次性全部替换
支持深色模式（最好可以自定义主题/配色，支持/内置 monokai）
打开 100M 以内文件耗时在合理范围（最好 1G 以上文件 100% 加载时间在半分钟以内）
提供便携版（除非安装包尺寸在 20M 以内）
支持批量操作文件后缀名关联（绑定与解绑）
冷启动速度不超过 3 秒（最好是秒启动）
开源（如果是闭源，必须支持 100 款以上插件）

解释

稍微解释一下几个点：

UTF-8 支持看似简单，但实际做起来坑也挺多的，更别提 emoji/Unicode/RTL 文字等等，iOS 三天两头爆个无限重启 bug。Pragtical 虽然支持编码/EOL，但默认字体显示不了 CJK 字符和 emoji，手动添加字体即可
Text wrap (line wrap) 就是如果一行的内容在程序宽度范围写不下，会自动显示成多行，而不用左右拉进度条
Tokenizer 即标记器，NLP 里一般就是分词或者特殊的标志词（比如 MoeGoe 里的 [ZH] 等语法标记块），算是 hidden gem
- 比如在排版的时候，很多时候左对齐、右对齐、居中对齐都很丑，如果有 tokenizer 根据语义分行，就不会出现一个词跨
- 行这种难受的现象。
- 又比如双击文本选中，这个功能看似简单，但在不借助 linter 的情况下，如果没有 tokenizer，双击中文词会把旁边一堆英文也选中（比如双击 GBK-5/Shift-JIS编码 中的 编码，会选中整行）；或者想要选中 支持深色模式 的 深色，你需要用鼠标准确地选中 深色 两个字，不能太左，也不能太右。而有了分词器，直接双击 深 或 色 字，即可直接选中 深色 这个词语。
正则匹配看似寥寥四字，但是正则标准诸多（Perl/POSIX/PCRE/Vim/ECMAScript/Python/Golang/C#/Rust…），一个隐性要求是正常的正则实现，而不是自己做的莫名其妙的标准
深色模式这点，npp 也花了好多年才做出比较正常的效果，很多开发者自己瞎做的深色模式真是惨不忍睹，对比度低得要死，更别提色弱/色盲模式，乃至多种色弱/盲模式。Pragtical 默认配色比 monokai 和 github-dark-dimmed 都好看，就不折腾了
100M/1G 文件测试算是很基本的要求，有的奇葩公司（比如 Facebook）能整出 10G 甚至 100G JSON 文件，为什么不用数据库？我也不造啊🤷 Linux 能用 pager，Windows 虽然有 vim/Gvim，但系统自带的 PowerShell 实在是丑，Windows Terminal 在有的环境又无法正常显示，一般这种情况我就上 hex viewer 了，简单粗暴
便携的需求应该很自然，毕竟文本编辑器满地都是，配置非常琐碎，不像流行的浏览器内核，一只手都数得过来，还能用 policy-templates 一劳永逸。尺寸要求就是针对 Electron，别和我说 UI 和开发难度，满地都是的软件不用 Electron/CEF 就不能做，说出来也没人相信。Pragtical 哪怕是 AppImage 也只有 5M 大小
文件关联这点也是出于批量部署的考量 ³，其实 pragtical 不支持，但其他方面都做得挺好，就放过了
冷启动速度，嗯，就是针对 Electron 的
- 3s 的限制太过宽松，哪怕收紧到 1s 绝大多数编辑器也都符合要求。当然，绝大多数编辑器 ⁴ 都不能打开 10G JSON，也不能在 30s 内完全加载 1G JSON（内存 32G，系统内存占用 2G，管够），也可以说都不符合要求= =
- npp 速度不慢，没想到 pragtical 还能更上一层楼。测试方法：AppTimer，检测窗口名称，启动 6 次，间隔 100ms⁵，WM_CLOSE 方法关闭，取平均值

C:\tools\pragtical\pragtical.exe - 6 executions
0.1965
0.1853
0.1850
0.1975
0.1955
0.1774
C:\tools\npp\notepad++.exe - 6 executions
0.2159
0.2182
0.2019
0.2079
0.2005
0.2054

后记

写完感觉有点虎头蛇尾，anyway 就这样吧。之前没怎么接触 Lua，为数不多的经验就是 Pico-8 和 Godot 开发，但 Pico-8 是自己实现的 Lua，很多标准库不能用，而 Godot 的 LuaAPI 隐约记得不是官方支持，还是 GDScript 为主流。在 pragtical 的 Plugin Manager 看很多插件的源码都很简单，后面可能写几个插件练练手，也算是回馈社区。

我多年来对于写作的观点是，文品与人品毫无关联，纯属后人牵强附会。引申出来的广泛观点也让我对各种撕逼/互锤、饭圈文化、影视剧封杀现象冷眼相看。凯恩斯有句话（虽然关于出处一直有各种看法）：When the Facts Change, I Change My Mind. What Do You Do, Sir? 不能通过上帝视角看待问题，总归是有各种偏见和不客观的地方。乔布斯是个人渣，并不妨碍人们欣赏他做的产品。很多娱乐界的明星私生活混乱，何必封死现有文化产品的消费，不让产出新的产品即可。同理，小众文化圈地自萌，剑走偏锋都鲜有人管（当然这是有问题的），但大搞殖民主义攻城掠地侵略领土我就看不下去了。 ↩︎
用作显示 warez 社区分发软件常用的 .nfo 文件。CP437 即 IBM-PC/DOS 字符集，不同编辑器叫法可能不一样: IBM437, OEM-US, OEM 437……同理，后面的 CP866 则是 DOS Cyrillic Russian，当时苏联用的编码，嗯，这玩意儿遥远到苏联还没解体……当然欧洲也有其他的编码，但是碰到的概率相对小得多。 ↩︎
为了方便装机，又搓了个 file-assoc-reg 脚本，根据 config.json 自动生成文件关联相关的注册表，这又是后话 ↩︎
刚需可以使用 EmEditor，免费版足够应对类似场景。EE 据说能打开 TB 级别的文件，但真遇到这种情况，可能文件系统先炸了，都没机会抢救= = ↩︎
这里间隔设置得太短了，后面根本不是冷启动，但反正怎么测都比 npp 快就没有修正。 ↩︎

How to Run VNDB Locally

Vinfall — 2026-05-31

Intro

Yorhel, the founder and soul of VNDB, has died last week🕯. This post serves as a legacy setup in case vndb.org goes offline someday.

If you, as a VNDB user, are worried, you can export your list and length votes via My Visual Novel List -> Export -> Download XML export.

Prerequisite

Before we start, let’s define VNDB.

Most users are familiar with the web interface, but VNDB is not limited to that:

Web UI, discussion board, changes history, private list
VNDB.org API v2 (Kana), fortunately it’s bundled with vndb source code so we don’t need to set it up separately
Database Dump
VNDB Query, aka. SQLBin

To have a working instance of VNDB locally, we need to make sure everything is ready. Otherwise you’ll only find your Dockerfile useless when it really happens.

Source¹
- Available as forgejo instance or cgit
- List (per d8 and SQLBin readme): fu, mithril-vndb, sqlbin, vndb, yhdev
- If you want to setup legacy versions of VNDB, tuwf is also needed
Database Dump: per d14#5, download near-complete dump, aka. vndb-db-latest.tar.zst
Documentation
- As docs on VNDB are stored seperately, we also need to backup them seperately, which can be easily done via extensions like SingleFile and is not covered in this post
- List: d2-d20 with d11 excluded (d11 is a redirection to VNDB API v2)
Knowledge
- Minimum: Linux package manager, Git, PostgreSQL
- Bonus: command line, init service, Vim, Perl, GNU Make
PC/VM Spec: 1 CPU Core, 1G RAM, 10G Disk²

Download

Download source and dump:

# download source and dump
mkdir -p ~/projects && cd ~/projects
git clone https://code.blicky.net/yorhel/{fu,mithril-vndb,sqlbin,vndb,yhdev}
# if you plan to setup legacy vndb
# git clone https://code.blicky.net/yorhel/tuwf

# near-complete database: https://vndb.org/d14#5
# development database (NOT working due to schema change): https://vndb.org/d8#3
wget https://dl.vndb.org/dump/vndb-db-latest.tar.zst

# additional querying stuff for vndb query
# https://query.vndb.org/about
wget https://query.vndb.org/extras.sql

# companion scripts
wget https://gist.vinfall.com/Vinfall/setup-vndb-psql/download/HEAD/setup-vndb-psql.sh
wget https://gist.vinfall.com/Vinfall/sqlbin/download/HEAD/setup-sqlbin.sql

Now the file tree should look like this:

$ tree -L 1 ./
./
├── extras.sql
├── fu
├── mithril-vndb
├── setup-sqlbin.sql
├── setup-vndb-psql.sh
├── sqlbin
├── tuwf
├── vndb
├── vndb-db-latest.tar.zst
└── yhdev

8 directories, 4 file

💡 Tip

As the following commands would make VNDB inaccessible, it’s recommended to setup inside VM.

To make absolute sure the setup would work even if vndb.org and blicky.net expire, now add these lines to /etc/hosts to intentionally block them:

127.0.0.1 vndb.org api.vndb.org dl.vndb.org query.vndb.org
127.0.0.1 blicky.net code.blicky.net g.blicky.net

Setup

I’ll use Alpine Linux Edge as an example to (intentionally) make it more difficult to setup, but it surely works for almost every other up-to-date distro. You might need to change doas to sudo and adapt apk-tools/OpenRC related commands to your package manager/init service.

Also, I assume you’ll only run VNDB locally inside VM with a host-only network with only 22/3000/8000 port forwarding enabled, making data breach impossible. As a consequence, database password and salt are kept simple and stupid. You definitely need to change them and do extra hardening if for whatever reason you decide to ignore my warning and host it publicly.

VNDB

Install dependencies:

# install general deps
doas apk add build-base curl git graphviz icu-data-full pandoc uglify-js vips-dev sassc wget zlib-dev
# install perl modules
doas apk add perl-algorithm-diff-xs perl-anyevent perl-app-cpanminus perl-crypt-urandom perl-dbd-pg perl-dev perl-json-xs perl-module-build
doas cpanm -nq AnyEvent::IRC AnyEvent::Pg Crypt::ScryptKDF Text::MultiMarkdown
# install fu (another perl module)
cd ~/projects/fu
doas cpanm .
# copy mithril.js to vndb/gen
install -pm644 -D ~/projects/mithril-vndb/mithril.js ~/projects/vndb/gen/mithril.js

Build:

# build vndb
cd ~/projects/vndb
make
make prod
util/setup-var.sh

Setup PostgreSQL Server:

# setup psql server
# https://wiki.alpinelinux.org/wiki/Postgresql
doas apk add postgresql18 postgresql18-contrib postgresql18-dev
doas rc-update add postgresql
doas rc-service postgresql start

# init psql admin
doas passwd postgres
# su postgres
$ pg_config --pkglibdir
/usr/lib/postgresql18

# build psql lib
make -C sql/c
sudo make -C sql/c install

Initialize database:

Search cache is disabled by default as the Perl maintenance script is slow by design.

# init database
psql -U postgres -f sql/superuser_init.sql
psql -U postgres vndb -f sql/vndbid.sql
echo "ALTER ROLE vndb LOGIN PASSWORD 'pwd1'" | psql -U postgres
echo "ALTER ROLE vndb_site LOGIN PASSWORD 'pwd2'" | psql -U postgres
echo "ALTER ROLE vndb_multi LOGIN PASSWORD 'pwd3'" | psql -U postgres

# create an empty database
# psql -U vndb -f sql/all.sql

# OR import near complete database
# load schema
doas -u postgres psql -c "ALTER ROLE vndb SUPERUSER;"
psql -U vndb -d vndb -f sql/all.sql
doas -u postgres psql -c "ALTER ROLE vndb NOSUPERUSER;"

tar -C var --zstd -xf ../vndb-db-latest.tar.zst

chmod +x setup-vndb-psql.sh
./setup-vndb-psql.sh

Configure:

vim var/conf.pl

form_salt => '<some unique string>',
scrypt_salt => '<another unique string>',
db_site => 'dbname=vndb user=vndb_site password=pwd2',
db_task => 'dbname=vndb user=vndb password=pwd1',

-cookie_defaults => { domain => 'localhost', path => '/' },
+cookie_defaults => { path => '/' },

Run:

# start dev server
util/vndb-dev-server.pl
# start prod server
# util/vndb.pl --fcgi=unix:/tmp/vndb-fastcgi.sock --proc=4 --max-reqs=5000:10000

# housekeeping
# util/task.pl

Now head to http://127.0.0.1:3000.

API

We already install pandoc and uglify-js and run make prod in #VNDB, so just head to http://127.0.0.1:3000/api/kana. You can’t use API button in the homepage as it’s hardcoded.

SQLBin

Compile and Install:

# install deps
doas apk add autoconf automake crystal libcerf-dev libseccomp-dev shards sqlite-dev

# build sqlbin
cd ~/projects/sqlbin
shards
make release
# build customized gnuplot
cd gnuplot # this IS correct
./build.sh

# install
doas install gnuplot-sqlbin /usr/local/bin/gnuplot-sqlbin
cd ..
doas install bin/sqlbin /usr/local/bin/sqlbin

Setup read-only PostgreSQL user:

As we only run it locally, there is no need to import yet another database dump for SQLBin, just setup a seperate read-only user
Runtime Config

psql -U postgres -d vndb -f ~/projects/setup-sqlbin.sql
# psql -U postgres -d vndb -f extras.sql

-- ~/projects/setup-sqlbin.sql

CREATE ROLE sqlbin LOGIN PASSWORD 'secure_passwd';
GRANT CONNECT ON DATABASE vndb TO sqlbin;
GRANT USAGE ON SCHEMA public TO sqlbin;

-- grant read access to all tables
GRANT SELECT ON ALL TABLES IN SCHEMA public TO sqlbin;
GRANT SELECT ON ALL SEQUENCES IN SCHEMA public TO sqlbin;
GRANT EXECUTE ON ALL FUNCTIONS IN SCHEMA public TO sqlbin;

-- OR grant on a per-table basis
-- GRANT SELECT ON vn, releases, producers, chars, tags TO sqlbin;

-- grant access to tables not yet created
ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO sqlbin;
ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON SEQUENCES TO sqlbin;
ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT EXECUTE ON FUNCTIONS TO sqlbin;

-- defense in depth
ALTER ROLE sqlbin_user SET timezone = 'Asia/Shanghai'; -- change to your timezone
ALTER ROLE sqlbin_user SET statement_timeout = '5s';
ALTER ROLE sqlbin_user SET default_transaction_read_only = true;

Test the newly created sqlbin user:

# success
$ psql -U sqlbin -d vndb -c "SELECT count(*) FROM vn;"
count
-------
 61144
(1 row)
# intended failure
$ psql -U sqlbin -d vndb -c "INSERT INTO users (id, username) VALUES ('u999', 'attacker');"
ERROR: cannot execute INSERT in a read-only transaction

Configure:

mkdir -p ~/.config/sqlbin
vim ~/.config/sqlbin/config.ini
chmod 600 ~/.config/sqlbin/config.ini

[server]
db=postgresql://sqlbin:secure_passwd@127.0.0.1:5432/vndb
storage=~/.local/share/sqlbin
bind=tcp://0.0.0.0:8000/
gnuplot_path=/usr/local/bin/gnuplot-sqlbin

Run:

sqlbin -c ~/.config/sqlbin/config.ini

Now head to http://127.0.0.1:8000.

Misc

Prune PostgreSQL database to start over/import new dump:

# prune database
doas rc-service postgresql stop
doas apk del postgresql18 postgresql18-contrib postgresql18-dev
doas rm -rf /var/lib/postgresql

Test sqlbin config:

psql "postgresql://sqlbin:secure_passwd@127.0.0.1:5432/vndb" -c "SELECT 1;"

Revoke table access of sqlbin user:

REVOKE SELECT ON TABLE schema_version, changes FROM sqlbin;

Also, please do NOT upload source code to GitHub. yorhel.nl explicitly mentions that You will not find me on closed networks such as Discord, Facebook, Github, LinkedIn, Twitter, etc and I hope you respect that, for the time being at least. ↩︎
If you don’t cache searches, the required disk space would be significantly smaller (2G-ish), but many things also work slower. This only includes the system, source code, build files and cached database. Images are not counted and would take extra 45G space (which is strongly discouraged to sync, if you have no plan to host it publicly). ↩︎