US.KG 免费域名学习指南：终端与文件操作基础，为 DNS 与网站运维建立可重复的证据链

本篇技术文章以 DigitalPlat FreeDomain 开源学习仓库（US.KG）教程中的 Terminal and File Basics 一章为主体展开。该章是 学习指南 Part 0（Prepare to Learn）的第三课，核心主张是：终端是获取 DNS 解析结果、文件状态、网络监听端口、证书与 HTTP 响应等"精确且可重复证据"的第一工具。读完本篇后，你将掌握工作目录管理、路径安全规范、文件检查、退出状态判断、管道与引号用法、特权操作边界、端口排查以及命令历史防泄漏的完整操作习惯，并能独立完成一个安全练习实验。

为什么终端证据是这本教程的方法论基础

教程开篇即给出定位：终端（terminal）给出的输出是对 DNS、文件、网络监听者、证书和 HTTP 响应的精确、可重复的验证依据。这与泛泛"看网页能不能打开"的验证方式不同——终端输出可以被保存、比对、复核，因此它成为后续所有章节（从 DNS 记录类型到 HTTPS 验证、再到故障排查）共同依赖的证据来源。

从教程结构看，本章位于 Part 0 总览 的中间位置：前承 网络数据如何流动，后接 构建安全练习环境。Part 0 的出口标准中明确列出了"一个可用的终端检查清单（a working terminal checklist）"，而本章内容就是这份清单的主体。

提示符与工作目录：动手前先确认你在哪里

Shell 在提示符处等待命令输入。教程的第一条操作纪律是：在执行任何创建、复制或删除文件的操作之前，先确认当前目录。

pwd

pwd（print working directory）打印当前所在目录的绝对路径。配套的常用命令：

ls -la

ls -la 列出当前目录下所有文件，-l 给出长格式（权限、所有者、大小、修改时间），-a 包含以 . 开头的隐藏文件（如 .gitignore、.env——这两类文件在 练习环境章节 中会被显式忽略或保护）。

切换目录：

cd my-first-site
cd ..

cd my-first-site 进入子目录，cd .. 返回上一级目录。养成"操作前 pwd、操作后回看 ls"的习惯，是本章贯穿始终的安全基线——练习环境章节的本地安全检查清单直接复用了这一纪律：

pwd
find site -maxdepth 2 -type f -print

路径：绝对路径与相对路径

绝对路径从文件系统根开始：

/var/www/example.dpdns.org/index.html

相对路径从当前目录开始：

./index.html

注意示例中出现的 example.dpdns.org 是全书统一的虚构示例域名，192.0.2.10 等属于文档保留地址段，这是教程 安全规则 中"部署前用真实值替换虚构域名和文档地址"原则的体现。

教程在此处给出了一条硬性安全规则：

在执行任何带 --delete、rm、管理员权限或递归行为的命令之前，必须同时解析（resolve）源路径和目标路径。

这条规则针对的是同步类命令的典型事故：例如 rsync --delete 会从目标端删除源端不存在的文件。如果源或目标任一路径因相对路径、通配符或变量展开而指向了意外位置，--delete 的删除范围会随之错位。参考答案附录 中 B3 题的解答也对应印证了这一点：执行前需确认"源和目标是否完全精确、远端独有的文件是否真的应该被删除"。

创建与检查文件

创建嵌套目录（-p 表示连同父目录一起创建，且父目录已存在时不报错）：

mkdir -p my-first-site/assets

查看文本文件的前 120 行（sed -n '1,120p' 中，1,120 是行范围，p 表示打印匹配行）：

sed -n '1,120p' index.html

使用 sed -n 而非无限制地 cat，是为了在排查大文件时控制输出量，这与"先 pwd 再操作"一样属于控制输出规模的可重复习惯。

递归搜索文本（rg 为 ripgrep，-n 带行号，. 表示当前目录）：

rg -n 'example.dpdns.org' .

查看文件类型：

file index.html

file 通过内容魔数（magic bytes）判断真实类型而不是只信扩展名，可以识别伪装后缀的二进制文件，适合在接收来源不明的网页文件时使用。练习环境章节还给出了一个用途更广的变体——发布前扫描潜在敏感信息：

rg -n -i 'password|secret|token|api[_-]?key' .

教程特别强调：这类搜索的结果是"复核提示"，既不是"每个匹配行都是秘密"，也不是"所有秘密都被找到了"，需要人工判断。

标准输出、错误输出与退出状态

一条命令同时写"正常输出"（stdout）与"错误输出"（stderr）。教程在此纠正一个常见误区：

一个命令什么都不打印，并不等于它成功了。

因此判断成败要看退出状态。在 POSIX 风格的 shell 中用 $? 检查上一条命令的退出码：

echo $?

0 通常表示成功，非零表示某种失败。教程建议：脚本应当校验退出状态，而不是只搜索输出里"看起来让人安心的字样"（比如看到 OK 就认为成功）——这一点对编写 DNS/部署自动化脚本尤其重要，与 命令参考 中"短输出方便脚本但丢失了 flags、authority、TTL 上下文"的告诫是同一思路。

将输出重定向到文件：

dig NS example.dpdns.org > ns-check.txt

同时将正常输出和错误输出写入同一文件（2>&1 表示把 2 号文件描述符错误输出重定向到 1 号标准输出）：

curl -I https://example.dpdns.org > http-check.txt 2>&1

dig NS 用于确认域名的权威 nameserver 委派，curl -I 只取响应头（HEAD 请求）。教程提醒：分享文件之前先审阅其内容——这与 命令参考 中保存诊断输出的做法一致，该章给出了一体化的诊断脚本写法：

{
  date -u
  dig NS example.dpdns.org
  dig A example.dpdns.org
  curl -I --max-time 15 https://example.dpdns.org
} > domain-diagnostic.txt 2>&1

即把时间戳、NS 委派、A 记录解析、HTTP 头响应打包进一个带时间戳的诊断文件，分享前删除个人数据、内部主机名、token 与 cookie。

管道：把一条命令的输出交给另一条

管道 | 将前一条命令的标准输出送入后一条命令：

dig A example.dpdns.org +short | sort -u

这条命令的含义：对 example.dpdns.org 发起 A 记录查询，+short 只输出答案（IP 地址列表），sort -u 排序并去重——用于快速确认该域名当前解析到哪些地址。

教程同时给出管道的关键警告：

如果 shell 未配置检测早期命令失败（如未启用 pipefail 语义），管道可能隐藏前段命令的失败。 学习阶段应使用简单命令；排障时要检查完整输出。

也就是说，cmd1 | cmd2 的退出码通常是 cmd2 的，cmd1 失败时 cmd2 可能"安静地"处理空输入而返回 0。这解释了为什么教程在排障场景中反复要求"查看完整输出"而不是只看管道末端的最终结果。

引号与变量展开

单引号在常见 shell 中原样保留文本（不做变量展开）：

curl -I -H 'Host: example.dpdns.org' http://192.0.2.10

这条命令是本章最有价值的实战组合之一：在 DNS 还没生效时，直接对服务器 IP 发送带指定 Host 头的请求，验证虚拟主机是否已经配置好对应站点。命令参考 将其归入"Test a Virtual Host Before DNS"场景，并补充了 HTTPS 的等价写法：

curl --resolve example.dpdns.org:443:192.0.2.10 -I https://example.dpdns.org

--resolve 让 curl 把指定主机名强制解析到指定地址，同时仍按主机名校验证书——因此可以在不修改 DNS 的情况下验证"IP + 证书 + 虚拟主机"三者的匹配关系。

双引号允许变量展开：

domain='example.dpdns.org'
dig A "$domain"

教程在此附了一条安全纪律：不要粘贴包含陌生变量、替换、重定向或编码负载的命令而不先理解它。 引号本身不危险，危险的是引号内被展开的未知变量与命令替换。

管理员权限：sudo 的最小化使用

sudo 以更高权限运行单条命令。教程给出三条使用边界：

1. 只在真正需要系统配置的任务上使用（如安装包、修改 web 服务器配置）；
2. 不要图省事把整个 shell 以 root 运行（sudo bash 之类）；
3. 重载服务前先检查配置——命令参考 中给出的对应实践是：

sudo nginx -t
systemctl status nginx --no-pager
journalctl -u nginx --since '30 minutes ago' --no-pager

即先用 nginx -t 测试配置合法性，再看服务状态与最近日志，确认无误后才 reload/restart。

进程与监听端口

判断"服务是否可达"之前，先弄清谁在监听、监听在哪。

Linux 上：

ps aux
sudo ss -lntup

ps aux 列出全部进程；ss -lntup 中 -l 只看监听（LISTEN）套接字，-n 显示数字地址而非服务名，-t TCP、-u UDP，-p 显示占用的进程——sudo 是因为查看其他用户的进程需要权限。

macOS 上：

ps aux
lsof -nP -iTCP -sTCP:LISTEN

lsof 的 -nP 禁止服务名解析与 DNS 反解（更快且无歧义），-iTCP -sTCP:LISTEN 组合筛出 TCP 监听中的程序。

教程的要求是：在判断服务可达性之前，先识别出程序、地址和端口。 这一排查顺序在 参考答案 的 D4 题中得到了呼应：DNS 正确只证明"主机名解析到了地址"，而"网站打不开"的完整排查链是路由、监听端口、防火墙、web 服务器进程、虚拟主机配置——终端命令正是逐层取证的工具。命令参考 还补充了更底层的连通性检查：

nc -vz example.dpdns.org 80
nc -vz example.dpdns.org 443

并提醒：TCP 连接成功并不证明 HTTP、TLS 或应用层是正确的，nc 只回答"端口通不通"。

命令历史与秘密管理

Shell 历史（history）会保存输入过的命令。教程给出两条直接结论：

• 避免把 token 和密码直接敲进命令行，应优先使用密钥管理器、受保护的交互式提示或工具自带的凭证存储；
• 不要把秘密放进 URL。URL 可能出现在历史记录、日志、referrer 数据甚至截图中。

这两条与 README 的安全提示、教程全局安全规则（"绝不发布密码、token、私钥、cookie、恢复码或注册人数据"）以及练习环境章节中 *.log、.env 写入 .gitignore 的做法构成同一套秘密管理策略。注意教程在练习环境章也提醒过：被 .gitignore 忽略的文件并没有被加密，任何有文件系统访问权限的人仍可读——所以秘密的正确归宿是凭证存储，而不是"藏在一个不提交的文件里"。

实践实验室：完整的端到端演练

教程在章末安排了一个自包含练习，全部命令如下：

mkdir -p domain-book-lab/site
cd domain-book-lab
pwd
printf '%s\n' 'example.dpdns.org' > planned-domain.txt
sed -n '1,20p' planned-domain.txt
find . -maxdepth 2 -type f -print

逐步说明：

步骤	命令	作用
1	mkdir -p domain-book-lab/site	建立两层实验目录，-p 容忍父目录已存在
2	cd domain-book-lab	进入实验目录，之后所有相对路径以它为基准
3	pwd	验证确实位于实验目录内
4	printf '%s\n' 'example.dpdns.org' > planned-domain.txt	用 printf 而非 echo（后者在不同 shell 中行为有差异），写入虚构域名并换行
5	sed -n '1,20p' planned-domain.txt	回读前 20 行，验证写入内容
6	find . -maxdepth 2 -type f -print	列出两层深度内的全部文件

预期结果：恰好一个 planned-domain.txt 文件，内容为虚构域名。确认路径无误后才清理实验目录：

cd ..
rm -r domain-book-lab

注意清理顺序——先 cd .. 回到实验目录外再 rm -r，这既是"删除前解析路径"安全规则的落地，也避免了在被删目录内执行命令的意外状态。

复习题与自检

教程为本章设置了四道复习题，可用于检验是否掌握上述要点：

1. 什么命令可以确认你当前所在的目录？（pwd）
2. 为什么在运行 rsync --delete 之前要检查路径？（防止源/目标路径错位导致远端文件被误删，见 参考答案 B3）
3. 输出（output）与退出状态（exit status）的区别是什么？（空输出不等于成功；脚本应校验 $? 而非搜索"安慰性字样"）
4. 为什么 API token 不应直接出现在 shell 命令中？（历史、日志、截图中都会留存，应使用凭证存储）

本篇在教程体系中的位置与延伸阅读

本章建立的"先 pwd 确认路径 → 用退出状态判断成败 → 完整输出存档再分享 → 秘密不入命令行"的操作纪律，会在后续各章反复复用：

• 构建安全练习环境：把本章命令组织成工作区初始化、git 初始化、虚构配置与变更记录的完整流程；
• 域名与 DNS 基础：理解 dig 输出背后的委派（delegation）与权威服务器概念；
• 命令参考：把 dig、curl、openssl s_client、ss/lsof、nc 等命令整理为按场景（委派、网站记录、邮件记录、TLS 证书、本地端口、连通性、诊断存档）分组的速查表。

适用前提说明：本章命令以 POSIX 风格 shell（Linux/macOS 默认环境）为准，ss 与 lsof 的分平台写法已在文中区分；rg、dig、curl、nc 等工具需由操作系统或包管理器单独安装，教程未假定它们预先存在。