ipcn 提供 pac 代理服务 需要认证
然后发现来自"WinHttp-Autoproxy-Service/5.1" 请求 .pac 特别多 也不含压缩头

Google 了下发现
http://code.google.com/p/chromium/issues/detail?id=1684
http://msdn.microsoft.com/en-us/library/aa383153(VS.85).aspx
说是调用WinHttpGetProxyForUrl时把fAutoLogonIfChallenged设成false就没事了
WinHTTP AutoProxy 由于设的是 true 所以每次都去请求:(

然后又观察了 IE Firefox Chrome 等处理 pac 的情况
IE GET pac 不带压缩头 带原始的 User-Agent：
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Win32)
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Win32)
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Win32)
还有 Accept: */* 和 Cookie 之前如果已cache的话 还会带上 If-Modified-Since

Firefox 带的头很全 包括压缩头 Accept-Encoding: gzip,deflate 和 no-cache

Google Chrome 比较懒 不带压缩头 连 User-Agent 头都没有

pac 代理脚本这块可以用一些小技巧 比如
function FindProxyForURL(url, host)
if - else if - else
var lchost = host.toLowerCase();
var lcurl = url.toLowerCase();
(url.substring(0, 4) != "http")
isPlainHostName(host)
dnsDomainIs(host,".cn")
!isResolvable(host)
rip = dnsResolve(host);
isInNet(rip,"192.168.0.0","255.255.0.0")
(shExpMatch(host, "*sixxs.org"))
return "PROXY test.proxy.ipcn.org:3128; DIRECT";
详见 Netscape 的帮助 proxy-live.html
关于 MIME type 推荐的是 application/x-ns-proxy-autoconfig 不过 text/plain 也都干活

遇到的问题有：
如果pac下载不全 每次调用 isInNet(host, ...) 都会发起dns查询 改成rip就好了
Vista Win2003 的 WinHTTP AutoProxy 服务会每个请求都去刷 pac
Web Proxy Auto-Discovery (WPAD) protocol： (/wpad.dat)
DHCP option 252
option wpad code 252 = text;
option wpad "http://192.168.1.1/proxy.pac";

Redirect /wpad.dat http://192.168.1.1/proxy.pac

代理过程：
需认证的话 第一次返回 407(ERR_CACHE_ACCESS_DENIED)
给出 Proxy-Authenticate: Basic realm="ipcn proxy server"
认证通过后 如果不允许返回 403(ERR_ACCESS_DENIED)
如果允许则以后带上 Proxy-Authorization: Basic ... 头正常使用代理

2008年最新版个人所得税计算器3 (7月后有效 基数9966 公积金比例为12% 养老医保调整后)

输入 税前工资 或 应付工资 其他自动算出来显示

税前工资：  *

应付工资：  * (等于税前工资减去三险一金)

公积金比例： 8% 10% 12%

所得税：   

税后工资：  (实际到手的净收入)

养老保险：  (每年4月份调整：按8%算 )

医疗保险：  (每年3月份调整：按2%算 包括3元互助)

公积金：    (每年7月份调整：按12%算 供参考 以前是10% 8%)

失业保险：  (每年4月份调整：按0.5%算)

税率：     

调节数：   



转载请注明出处 http://windtear.net/2008/08/personal_income_tax_calculator_2008v2.html

过去几年的个人所得税计算器：

2008年最新版个人所得税计算器3 (7月后有效 基数9966 公积金比例为12% 养老医保调整后)

2008年最新版个人所得税计算器2 (7月后有效 基数9966 公积金比例为12% 养老医保调整前)

2008年最新版个人所得税计算器1 (3月后有效 起征点调整为2000元后)

2007最新版个人所得税计算器2 (7月后有效 社保公积金调整后)

2007最新版个人所得税计算器1 (7月前有效 社保调整后 公积金调整前)

2006最新版个人所得税计算器

2005个人所得税计算器

2008年最新版个人所得税计算器2 (7月后有效 基数9966 公积金比例为12% 养老医保调整前)

输入 税前工资 或 应付工资 其他自动算出来显示

税前工资：  *

应付工资：  * (等于税前工资减去三险一金)

公积金比例： 8% 10% 12%

所得税：   

税后工资：  (实际到手的净收入)

养老保险：  (每年4月份调整：按8%算 )

医疗保险：  (每年3月份调整：按2%算 包括3元互助)

公积金：    (每年7月份调整：按12%算 供参考 以前是10% 8%)

失业保险：  (每年4月份调整：按0.5%算)

税率：     

调节数：   



转载请注明出处 http://windtear.net/2008/08/personal_income_tax_calculator_2008v2.html

过去几年的个人所得税计算器：

2008年最新版个人所得税计算器3 (7月后有效 基数9966 公积金比例为12% 养老医保调整后)

2008年最新版个人所得税计算器2 (7月后有效 基数9966 公积金比例为12% 养老医保调整前)

2008年最新版个人所得税计算器1 (3月后有效 起征点调整为2000元后)

2007最新版个人所得税计算器2 (7月后有效 社保公积金调整后)

2007最新版个人所得税计算器1 (7月前有效 社保调整后 公积金调整前)

2006最新版个人所得税计算器

2005个人所得税计算器

今天看apache主页
发现gzip压缩版的 ETag 最后加个 -gzip "329c25-21a3-44f8c636dd240"-gzip
不知道从哪个版本开始的 看 ChangeLog 没看出来

1. 不带 Accept-Encoding: gzip, deflate 头
HTTP/1.1 200 OK
Date: Sun, 13 Jul 2008 11:43:19 GMT
Server: Apache/2.2.9 (Unix)
Last-Modified: Fri, 13 Jun 2008 13:38:09 GMT
ETag: "329c25-21a3-44f8c636dd240"
Accept-Ranges: bytes
Content-Length: 8611
Vary: Accept-Encoding
Content-Type: text/html
X-Pad: avoid browser bug

2. 带 Accept-Encoding: gzip, deflate 头
HTTP/1.1 200 OK
Date: Sun, 13 Jul 2008 11:46:45 GMT
Server: Apache/2.2.9 (Unix)
Last-Modified: Fri, 13 Jun 2008 13:38:09 GMT
ETag: "329c25-21a3-44f8c636dd240"-gzip
Accept-Ranges: bytes
Vary: Accept-Encoding
Content-Encoding: gzip
Content-Length: 2303
Content-Type: text/html

以前 apache 不管压缩不压缩返回的 ETag 都一样
squid 2.6 针对此还特意做了个选项
acl apache rep_header Server ^Apache
broken_vary_encoding allow apache

解决的是 IE Firefox 搜索引擎spider 的 Accept-Encoding 不一致造成的多份缓存问题
MSIE 的 Accept-Encoding 是 gzip, deflate
Firefox Googlebot 的是 gzip,deflate (之间没有空格)
多份缓存说明穿透的风险 还是有些危险的

--- squid-2.6.STABLE21.orig/src/http.c	2008-04-02 09:03:47.000000000 +0800

+++ squid-2.6.STABLE21/src/http.c	2008-07-10 21:17:26.000000000 +0800

@@ -387,14 +387,20 @@

 	}

 	strListAdd(&vstr, name, ',');

 	hdr = httpHeaderGetByName(&request->header, name);

-	safe_free(name);

 	value = strBuf(hdr);

 	if (value) {

+	    if (strcmp(name, "accept-encoding") != 0) {

 	    value = rfc1738_escape_part(value);

 	    stringAppend(&vstr, "=\"", 2);

 	    stringAppend(&vstr, value, strlen(value));

 	    stringAppend(&vstr, "\"", 1);

+	    } else {

+		if(strstr(value,"gzip") != NULL || strstr(value,"deflate") != NULL) {

+	    		stringAppend(&vstr, "=\"gzip,\%20deflate\"", 18);

+		}

+	    }

 	}

+	safe_free(name);

 	stringClean(&hdr);

     }

     safe_free(request->vary_hdr); 

这里不考虑 gzip deflate 的大写问题

由于一些"安全隐患"原因 暂时需要关闭 IPCN 代理服务 祝各位老师同学假期愉快
过一段将在合适的时候想办法再次开放

一. 关于 ipcn.org 的代理服务存在安全隐患

ipcn.org 是我在校时课外做的网站 主要提供一些有益的帮助服务 不收取任何费用
主要包括Norton 诺顿病毒库、FTP 搜索引擎、免费二级域名、IP 地理位置、
Firefox 镜像下载、教育网出国代理等服务
其中出国代理是自己购买的商业带宽，然后分享给大家使用。
这些服务为全校师生的科研、学习提供了一些有益的帮助作用 得到了广泛认可

2004年我拿ipcn.org参加了清华大学第二十二届“挑战杯” 获得了一等奖
毕业后 考虑到这些东西还有用 我就坚持继续做了下去 机器放在了实验室
(现在网站已不在实验室)

关于代理服务 我从技术上做了很多限制:
只允许清华/教育网用户使用
只能访问教育网免费地址之外的地址(web端口80/443) 不能用来访问学校内的资源
不能用来访问学校购买的商业数据库 能直接访问的地方都不能通过ipcn代理访问
为防止被滥用、乱用 做了密码限制 并每两小时更换
代理做了使用限制 不能下载大文件 不能多线程 最高使用带宽在 1.x Mb/s(100多KB/s)
代理本身是购买的商业IDC线路 是合法使用
(关于这些 我在主页 FAQ 做了一些说明)
http://proxy.ipcn.org/ipcn_proxy_usage.html#faq

根据这六年的运行情况(从2002年开始) 从我的角度看 应该是没有安全隐患的
比如大家不能用来在学校随便发表帖子和不当言论等

二. 关于 ipcn.org 有商业广告

关于商业广告 大体是这样的一个情况
ipcn.org不放商业广告 我也没精力去搞这些
后来放了一些 Google AdSense, 包括推广 Firefox 等
从google的技术实现看 大体是一些和网站内容相关的推广
后来看不影响网站内容和风格就放了
这个我现在放在了公网 也可以删掉

atppp写Google Reader 里看新浪博客图片提到Firefox的RefControl插件
就想到了盗链、反盗链、反反盗链、反反反盗链这个题目

先简单解释一下意思：
盗链：我的图片音乐视频等资源被别人的网页用了 算盗链
反盗链：基于带宽成本考虑等原因 不想让别人用我的图片 只允许我自己用 想法限制
反反盗链：利用我限制方法的漏洞 想法用我不想让用的图片
反反反盗链：完善限制方法 别人想法用也不让用
......

简单说就是反盗链一件事
很有意思很具普遍性的一个课题 以前折腾过不少 写写思路

1. 如何盗链：
基本的html知识 如img嵌套一个图片 href链接一个文件下载等

2. 如何反盗链
简单的常用的方法是判断Referer头是不是自己的域名
apache可以通过匹配Referer进行 env 设置 然后Allow Deny
squid 可以通过匹配Referer进行 acl 设置 然后http_access alow deny
有一个细节就是不带Referer的请求(空Referer)允不允许 一般都允许 严格的话可以限制
(apache判断 ^$ squid可以通过对有内容取反设置 .+)

3. 如何反反盗链
反反盗链就是绕过前面反盗链的设置
下载软件的思路：一般是加上Referer等
浏览器的思路：一般是改设置不发Referer 或发反盗链不限制的Referer
Firefox的基本设置是 network.http.sendRefererHeader (about:config) 默认是2全发送
改成0 不发送Referer 改成1点链接发送 嵌套图片等不发送Referer头
Firefox 的 RefControl 插件可以基于站点设定Referer策略 或者指定Referer
对付判断Referer为自身或为空等都能反反盗链成功

另外也可以使用代理 代理一层根据需求过滤 Referer

4. 如何反反反盗链
简单的不行了 只能出大招了
比如加上User-Agent等别的头判断(当然也能绕) 正确的是 加上Cookie判断等 记录比对来过的IP
比如根据应用的架构 访问页面时设置session 访问图片等时判断是否来过
或者访问页面时把ip写到内存库 ip库可以放本地内存或远程(提供tcp/udp接口 注意效率)
访问图片时判断来源ip是否在这个ip库再返回正常数据或者404 object not found
技术上还可以更完美更变态一些...

当然并不是都限制"盗链" 比如有些网站资源丰富 或者给图片打上小标签打自己知名度等
限制的话能能节省带宽成本 防止被滥用等
限不限都有道理 反正大家都不容易 可以理解
这些是产品或管理方面的考量了 技术上大体就是上面说的

先 dumpe2fs -h /dev/xxx 看一眼结果 有个感性认识 再认真分析
volume name/magic number 0xEF53/fetures 如has_journal...
inode count/block count//block size/fragment size /inode zie
mount count/max mount count/ ...

关于 block size和fragment size 简单说 读取越大速度越快 越小越省空间
block size: kernel一次读的大小 如16384 4096 (设置方法 -b)
(btw: super block: 从硬盘开头 1024 字节开始往后的一部分数据)
fragment size: 放 block 的零头 减少浪费 如2048 512 (bsize/8 ~ bsize) (设置方法 -f)

inode: 索引节点 占128字节 存数据的基本信息资料(时间 存取权限 位置)
inode size: 多大的数据分一个 inode (设置方法 -i 4096)
越小则 inode table 越大，link越长 速度慢 空间利用率越高
经验值 4K 相当于文件的平均大小是 4K 此时inode table 占3.19%空间
（因为inode size太小 inode table占用空间多 空间利用率还是不高)
inode size 不能比 block size 小 要不会浪费 inode

所以以前ext2/3跑bbs玩要先计算好防止 inode 用光 data block 还有剩余