Shine_ssr’Blog

2025-2026 前沿开源语音克隆项目横评：从 MockingBird 到零样本时代

Shine_ssr — Mon, 22 Jun 2026 16:00:00 GMT

基于深度调研整理，最后更新：2026-06-23
对标基准：MockingBird（SV2TTS 架构，2020年代初）

技术背景：这两年发生了什么

如果你上次关注 TTS 还是 MockingBird 那个年代，现在再看这个领域，基本上是另一个世界了。

变化不是渐进式的，是范式级的——底层表示从连续 mel 频谱图换成了离散语音 Codec token，骨干网络从 LSTM+Tacotron 换成了 LLM/Transformer/Diffusion，更重要的是，克隆方式从”必须为每个说话人重新训练”变成了”给我 3 秒参考音频”。

维度	MockingBird（旧范式）	2025-2026 新范式
中间表示	连续 mel 频谱图	离散语音 Codec token
骨干网络	LSTM + Tacotron	LLM / Transformer / Diffusion
模型结构	三段独立（Encoder→Synthesizer→Vocoder）	统一端到端模型
克隆方式	需针对每说话人训练 synthesizer	零样本（3-10 秒音频即克隆）
语言支持	仅中文普通话	多语言多方言
推理方式	逐帧自回归	流式 / 非自回归并行
延迟	秒级	150ms 级流式输出

项目速查

项目	Stars	核心架构	零样本	语言	许可证	推荐场景
CosyVoice 3.0	高	LLM + Flow Matching	3秒	9语言+18方言	Apache 2.0	工业部署、多语言
GPT-SoVITS	~59k	GPT + VITS	5秒	中英日韩粤	MIT	个人开发者、快速上手
ChatTTS	高	AR LM + DVAE + Vocos	支持	中英	AGPLv3	对话场景、客服
MaskGCT	~7k	非自回归掩码 Codec	支持	中英	MIT	学术研究、前沿架构
F5-TTS	活跃	Flow Matching + DiT	支持	中英	CC BY-NC-SA	学术研究
Fish Speech	高	VQGAN + Transformer LM	10秒	多语言	Apache 2.0	流式合成
Seed-TTS	—	AR LM + DiT 变体	支持	中英	评估代码开源	评估基准参考

各项目详解

1. CosyVoice 3.0（阿里通义）

目前综合能力最强的开源方案，没有之一。阿里把它当成内部 TTS 基础设施在维护，更新频率和文档质量都比较靠谱。

架构思路

1	`文本 → LLM（预测离散语音 token）→ Flow Matching 生成声学特征 → HiFi-GAN 解码 → 波形`

用 LLM 理解文本语义，Flow Matching 替代 Tacotron 的自回归生成，离散 Codec 替代 mel 频谱图——基本上把新范式的几个核心改进都用上了。

关键指标

零样本克隆：约 3 秒参考音频
多语言：9 种语言 + 18+ 种中文方言（粤语、四川话等）
跨语言合成：用中文声音说英文，口音迁移效果不错
流式输出：双流架构，首包延迟 150ms，可接实时应用
可控性：支持指令控制情感、语速、音量（比如”用激动的语气说这句话”）
发音修复：可针对特定词纠正读音，对专业名词友好

资源

GitHub：https://github.com/FunAudioLLM/CosyVoice
论文（v1）：https://arxiv.org/abs/2407.05407
论文（v2）：https://arxiv.org/abs/2412.10117
论文（v3）：https://arxiv.org/abs/2505.17589

快速上手

git clone https://github.com/FunAudioLLM/CosyVoice.git
cd CosyVoice

conda create -n cosyvoice python=3.10
conda activate cosyvoice
pip install -r requirements.txt

# 下载预训练模型（也可以从 HuggingFace 拉）
python -c "from modelscope import snapshot_download; snapshot_download('iic/CosyVoice-300M', local_dir='pretrained_models/CosyVoice-300M')"

# 启动 Gradio Web UI
python webui.py

适合谁用：需要上生产的团队、有多语言或方言需求、对延迟有要求的实时应用。

2. GPT-SoVITS

社区里活跃度最高的项目，Star 数快到 60k，B 站上教程一搜一大把。如果你只是想快速跑通一个语音克隆 demo，从这里开始是最省事的选择。

架构思路

1	`文本 → GPT（自回归预测语义 token）→ SoVITS（VITS 解码器）→ 波形`

GPT 负责文本到语义的映射，VITS-based 解码器生成波形。v2 Pro 的推理速度非常快，RTF 0.014（RTX 4090），基本上不是性能瓶颈。

关键指标

极低数据门槛：零样本只需 5 秒，微调最低 1 分钟音频就够
多语言：中文、英文、日文、韩文、粤语
版本迭代快：v1 → v2 → v3 → v4，问题修得挺快。v3 有 24k 的金属音问题，v4 升到原生 48k 解决了
社区资源丰富：Windows 整合包开箱即用，适合非 Linux 背景的用户

资源

GitHub：https://github.com/RVC-Boss/GPT-SoVITS（~59k Stars，截至 2026-06）

快速上手

# Windows 用户直接从 Releases 下整合包，解压即用

# 手动安装
git clone https://github.com/RVC-Boss/GPT-SoVITS.git
cd GPT-SoVITS
conda create -n gptsovits python=3.10
conda activate gptsovits
pip install -r requirements.txt
python webui.py

微调流程（1 分钟数据）

# 1. 把音频文件放到 dataset/ 目录
# 2. WebUI 里走以下步骤：
#    - 音频标注（自动 ASR 转文字，支持手动校对）
#    - 训练 SoVITS 模型（约 5-15 分钟）
#    - 训练 GPT 模型（约 5-15 分钟）
#    - 推理合成

适合谁用：个人开发者、快速验证想法、预算有限但要效果、需要大量社区支持的场景。

3. ChatTTS

专门为”让合成语音听起来像真人在聊天”这个目标设计的，韵律自然度在几个项目里比较突出。

架构思路

1	`文本 → 自回归 Transformer LM → DVAE 解码 → Vocos 声码器 → 波形`

受 VALL-E、Bark、XTTSv2 影响。DVAE（Discrete Variational Autoencoder）负责音频 token 化，Vocos 作为预训练声码器。

关键特性

对话韵律自然：内置停顿、笑声、语气词等非语言元素，这是其他项目不太关注的点
词级控制：在文本里插入 [laugh]、[uv_break]、[lbreak] 等标记，精细控制语气
中英混合：中英混合对话的效果比较好

值得注意的是许可证是 AGPLv3，商用场景需要谨慎评估。

资源

GitHub：https://github.com/2noise/ChatTTS
许可证：AGPLv3

快速上手

1
2
3

git clone https://github.com/2noise/ChatTTS.git
cd ChatTTS
pip install -r requirements.txt

import ChatTTS
import soundfile as sf

chat = ChatTTS.Chat()
chat.load_models(compile=False)  # compile=True 可加速，但首次加载慢

texts = ["你好，欢迎使用 ChatTTS，这是一个对话场景的语音合成系统。"]
wavs = chat.infer(texts, use_decoder=True)
sf.write("output.wav", wavs[0][0], 24000)

适合谁用：对话机器人、客服系统，或者任何需要让 TTS 听起来”不那么像机器人”的场景。

4. MaskGCT（腾讯 / 香港中文大学（深圳））

ICLR 2025 论文项目，完全非自回归架构。如果你对 TTS 的技术路线感兴趣，这个值得深读。

架构思路

1
2
3

文本 → Text-to-Semantic 模型（掩码预测语义 token）
          ↓
     Semantic-to-Acoustic 模型（掩码预测声学 Codec token）→ 波形

两阶段掩码预测，类似 BERT 的掩码语言模型。完全并行生成，不需要显式的 duration predictor，也不需要强制对齐。整个流程跳过了 mel 频谱图，直接在离散 Codec 空间操作。

关键指标

零样本克隆：短参考音频即可
中英双语：100K 小时数据训练（英文 50K + 中文 50K）
推理快：非自回归并行生成，比自回归方案快不少
学术质量：在标准 benchmark 上与 VALL-E、NaturalSpeech 相比有竞争力

资源

GitHub：https://github.com/amphion/MaskGCT（在 Amphion 工具包内）
论文：https://arxiv.org/abs/2409.00750
许可证：MIT

快速上手

git clone https://github.com/open-mmlab/Amphion.git
cd Amphion
conda create -n amphion python=3.10
conda activate amphion
pip install -r requirements.txt

# 推理（参考 examples/maskgct/ 目录）
python inference.py --model maskgct --input "你好世界" --reference ref.wav

适合谁用：做学术研究、想复现 ICLR 论文、关注非自回归 TTS 架构发展方向的开发者。

5. F5-TTS

同为 ICLR 2025，架构比 MaskGCT 更简洁，Flow Matching + Diffusion Transformer 的组合。

架构思路

1	`文本 → ConvNeXt 文本编码器 → 上采样 → Diffusion Transformer（Flow Matching）→ 波形`

全非自回归，不需要 duration predictor，ConvNeXt 替代传统文本编码器，Flow Matching 实现噪声到语音的转换。

关键指标

中文 benchmark：SIM=0.785, WER=3.14
架构比 VALL-E、CosyVoice 更简洁，便于研究和改造

注意事项

有用户反馈存在幻觉和跳字问题，在生产环境使用要做输出质量检测。另外，与 CosyVoice 2 的对比数据用的是原始 CosyVoice 版本，对比基准要注意。

资源

GitHub：https://github.com/SWivid/F5-TTS
论文：https://arxiv.org/abs/2410.06885
许可证：CC BY-NC-SA（不可商用）

快速上手

git clone https://github.com/SWivid/F5-TTS.git
cd F5-TTS
pip install -e .

# 命令行推理
f5-tts_infer --model F5TTS_v1_Base \
  --ref_audio reference.wav \
  --ref_text "参考音频对应的文字" \
  --gen_text "要合成的文字"

# Web UI
python app.py

适合谁用：学术研究、架构探索，不适合直接上生产（有幻觉问题 + 许可证限制）。

6. Fish Speech

Codec-based 方案，主打流式推理，Apache 2.0 许可证对商用友好。

架构思路

1	`文本 → Decoder-only Transformer LM → VQGAN Codec 解码 → 波形`

VQGAN Codec + Transformer 语言模型，消除了独立的 vocoder 环节，支持流式推理。

关键指标

零样本克隆：约 10 秒参考音频（比 CosyVoice 多）
多语言支持
流式推理：适合延迟敏感的实时应用

资源

GitHub：https://github.com/fishaudio/fish-speech
许可证：Apache 2.0

快速上手

git clone https://github.com/fishaudio/fish-speech.git
cd fish-speech
pip install -e .

# Web UI
python -m fish_speech.webui

# API 服务
python -m fish_speech.api_server

适合谁用：需要流式输出、许可证偏好 Apache 2.0 的商业项目。克隆所需参考音频稍长是个小缺点。

7. Seed-TTS（字节跳动）

字节的内部方案，模型权重未开放，只放出了评估代码。列在这里主要是因为它在学术圈常被当作评估基准，了解一下技术方向还是有价值的。

架构

提供两种变体：

Seed-TTS：大规模自回归语言模型
Seed-TTS_DiT：非自回归扩散 Transformer 变体，端到端生成，不依赖预估音素时长

资源

评估代码：https://github.com/BytedanceSpeech/seed-tts-eval
论文：https://arxiv.org/abs/2406.02430
模型权重未公开，没法直接用

MockingBird 还值得用吗？

先看看老架构的局限性：

1
2
3

参考音频 → LSTM Encoder → 256维 speaker embedding
                                ↓
文本 → Tacotron+GST → mel 频谱图 → HiFi-GAN → 波形

核心问题：

每个新说话人都要重新训练 synthesizer，没有真正意义上的零样本能力
三段模型需要独立训练和调优，部署复杂度高
只支持中文普通话
没有流式合成
自回归生成，速度慢

和现在的方案对比：

能力	MockingBird	新一代项目
克隆所需数据	数小时音频 + 数小时训练	3-10 秒（零样本）/ 1 分钟（微调）
语言	中文普通话	中英日韩粤 + 多方言
推理延迟	秒级	150ms 流式首包
模型结构	3 个独立模型	统一端到端
音质	中等	高（接近真人）
可控性	GST 全局风格	指令级情感/语速/韵律控制

结论是：如果你现在还在用 MockingBird，是时候迁移了。

选型建议

按场景推荐

需求	首选	备选	说明
个人开发，快速跑通	GPT-SoVITS	ChatTTS	社区最大，教程多，1分钟数据微调
工业级部署，多语言	CosyVoice 3.0	Fish Speech	阿里长期维护，功能最全，流式延迟低
对话机器人/客服	ChatTTS	CosyVoice	专门优化对话韵律
学术研究/复现论文	MaskGCT	F5-TTS	均为 ICLR 2025，非自回归最新架构
商用（许可证干净）	CosyVoice / Fish Speech	GPT-SoVITS	避开 AGPLv3 和 CC BY-NC-SA
GPU 资源有限	GPT-SoVITS	ChatTTS	较轻量，社区有 CPU 推理方案
粤语/方言	CosyVoice 3.0	GPT-SoVITS	18+ 方言支持

从 MockingBird 迁移路线图

当前：MockingBird (SV2TTS)
  │
  ├── 想要最顺滑的迁移？
  │     └── → GPT-SoVITS（社区大、有整合包、WebUI 体验类似）
  │
  ├── 需要多语言 / 工业部署？
  │     └── → CosyVoice 3.0（功能最全、阿里长期维护）
  │
  ├── 主要做对话场景？
  │     └── → ChatTTS（韵律自然、专门对话优化）
  │
  └── 想跟进最新技术架构？
        └── → MaskGCT（非自回归前沿，ICLR 2025）

硬件参考

项目	最低 GPU	推荐 GPU	模型大小	显存估算
CosyVoice 3.0	RTX 3060	RTX 4090	~2GB	4-8 GB
GPT-SoVITS	GTX 1660	RTX 3080	~1GB	2-6 GB
ChatTTS	GTX 1060	RTX 3060	~1GB	2-4 GB
MaskGCT	RTX 3090	RTX 4090	~3GB	8-16 GB
F5-TTS	RTX 3060	RTX 4090	~2GB	4-8 GB
Fish Speech	RTX 3060	RTX 4090	~2GB	4-8 GB

以上为估算值，实际取决于推理配置、量化选项和输入长度。量化版本普遍能砍掉 30-50% 的显存占用。

快速入门流程

环境准备

# 前置条件
# - CUDA Toolkit（推荐 11.8 或 12.x）
# - conda / miniconda
# - GPU 驱动正常

# 验证
nvidia-smi
python -c "import torch; print(torch.cuda.is_available())"

安装示例（以 GPT-SoVITS 为例）

git clone https://github.com/RVC-Boss/GPT-SoVITS.git
cd GPT-SoVITS
conda create -n gptsovits python=3.10
conda activate gptsovits
pip install -r requirements.txt
python webui.py

参考音频要求

- 格式：WAV（16kHz 或 48kHz，视项目要求）
- 时长：零样本 3-10 秒，微调 1-5 分钟
- 质量：清晰、无背景音乐、单人说话
- 内容：尽量覆盖多种语调，避免只有单一情绪

合成流程

零样本模式（5 分钟跑通）：
1. 上传参考音频
2. 输入要合成的文本
3. 点击合成，试听效果

微调模式（效果更稳）：
1. 准备 1-5 分钟目标说话人音频
2. 自动标注（ASR 转文字 + 手动校对）
3. 训练（通常 5-30 分钟）
4. 用训练好的模型推理

附录：资源汇总

项目	GitHub	论文	文档/社区
CosyVoice 3.0	FunAudioLLM/CosyVoice	arXiv	GitHub Wiki
GPT-SoVITS	RVC-Boss/GPT-SoVITS	—	B 站教程丰富
ChatTTS	2noise/ChatTTS	—	GitHub Issues
MaskGCT	amphion/MaskGCT	arXiv	Amphion 文档
F5-TTS	SWivid/F5-TTS	arXiv	GitHub README
Fish Speech	fishaudio/fish-speech	—	官方文档
Seed-TTS	BytedanceSpeech/seed-tts-eval	arXiv	仅评估代码

说明：文中的 benchmark 数据来自各项目官方论文和仓库，未经过独立标准化对比测试。语音质量这件事主观因素很强，建议自己拿实际数据跑一遍再做决策。这个领域发展很快，几个月内排名就可能变化。

AI 编程指南：Claude Code & Codex 避坑与进阶实战

Shine_ssr — Mon, 22 Jun 2026 16:00:00 GMT

前言

AI 编程工具这两年井喷式发展，光是「命令行 AI 编程助手」这个赛道，Anthropic 的 Claude Code 和 OpenAI 的 Codex 就让不少开发者选择困难。

更头疼的是：工具上手容易，用好不容易。

这篇文章是我长期使用 Claude Code 和 Codex 后，把官方文档、社区踩坑帖和自己的实战经验揉在一起，提炼出来的避坑要点和进阶干货，帮你少走弯路。

适合谁读：

还在观望、想选一个工具入门的新手
已经在用、但总觉得「AI 也就那样」的进阶用户
想从 Claude Code 迁移到 Codex（或反过来）的开发者

一、先搞清楚：它俩到底是什么

Claude Code —— Anthropic 出品的命令行编程搭档

一句话：你在终端里给目标，它读整个项目、改文件、跑命令、跑测试，把活干完交给你验收。

核心形态是 CLI（命令行），也有 VS Code / JetBrains 插件、桌面 App、网页版。

Codex —— OpenAI 出品的 AI 编程代理

同样是「代理模式」（想→做→看），但比 Claude Code 多了四种入口：桌面 App、CLI、IDE 扩展、云端 Web。

最大的差异：Codex 有个「云端」模式，任务可以丢到 OpenAI 服务器上跑，不占本机资源。

核心相同点

两者底层逻辑一样：代理循环（想→做→看）——读代码、想方案、动手改、跑测试验证、不对就回头重来。

维度	Claude Code	Codex
出品方	Anthropic	OpenAI
核心形态	命令行为主	多入口（App/CLI/IDE/云端）
项目说明书	`CLAUDE.md`	`AGENTS.md`
配置文件	`settings.json`（JSON）	`config.toml`（TOML）
权限模型	权限模式 + allow/deny 白名单	沙箱 + 审批（两个独立旋钮）
计费	订阅 / API Key	ChatGPT 订阅 / API Key

二、避坑指南：七个最常踩的反模式

用不顺 AI 编程工具，十有八九不是工具不行，是用法掉进了反模式。

反模式 #1：一句话塞一大堆需求

症状：「帮我把登录模块重构了、加上单元测试、顺便优化下性能」

为什么坑：它猜偏方向的概率极高，改一堆没用的，你还得擦屁股。

正解：一次一条主线。大任务先用 Plan Mode（/plan 或 Shift+Tab）出方案，你确认了再动手。

反模式 #2：不写项目说明书 / 全塞进去

症状：要么不写 CLAUDE.md（Claude Code）/ AGENTS.md（Codex），每天重复告诉它「这项目用 pnpm、测试跑 pytest」；要么把整本文档塞进去，规则被淹没。

为什么坑：不写 = 每次新会话都从零开始；写太多 = 关键信息被稀释，还可能撑爆上下文。

正解：一页纸精华须知。每写一行问自己：「删了它 Claude 会犯错吗？」不会就删。

✅ 该写	❌ 别写
Claude 猜不到的 Bash 命令	它读代码就能搞懂的
跟默认不一样的代码风格	标准语言约定
测试指令、首选 runner	详细 API 文档（改成链接）
仓库礼仪、分支约定	经常变的信息
项目特有的架构决策	「写干净代码」这种废话

反模式 #3：一个会话从早开到晚

症状：上下文窗口塞满，AI 越用越笨——变慢、变笼统、前后矛盾、反复问同样的问题。

正解：

切任务 → /clear 清屏重开
同任务太长 → /compact 压缩上下文
同一问题纠正两次以上 → 无条件 /clear，带着教训重开

反模式 #4：把它当搜索引擎，说啥信啥

症状：「这个 API 怎么用？」它一本正经给你编个答案，参数名都是错的。

正解：让它给证据，不是声称成功。它说「修好了」≠ 真修好了，要看测试输出、看命令返回。

反模式 #5：不给验证办法

症状：「改好了吗？」「改好了。」你信了，然后上线炸了。

正解：prompt 结尾挂一句——「改完跑 pytest，全绿了再告诉我」。一句挡掉一大半返工。

反模式 #6：无脑开 bypassPermissions

症状：嫌确认弹窗烦，一把全放。

为什么坑：裸奔，连提示注入都不防。AI 执行了不该执行的命令，你都不知道。

正解：精细化 allowed/denied tools，默认从严，逐步放宽。

反模式 #7：让它「调查一下」不给范围

症状：「帮我看看这个项目有什么问题」→ 它读几百个文件，把上下文窗口烧爆。

正解：给具体目录、文件清单。「看 src/auth/ 下的认证逻辑」比「看看有啥问题」强十倍。

恶性循环

需求一堆 + 无范围调查 → 上下文塞满
        ↓
       它犯错
        ↓
你觉得它不行 → 不给验证 / 全自动裸奔
        ↓
更糟 → 「这 AI 也就那样」

破局点：拆需求 + 清上下文 + 给验证 + 收窄范围。

三、进阶干货：从「能用」到「用好」

1. 提示词的四件套配方

要素	它在回答什么	示例
目标（Goal）	你到底要改什么、建什么	「给 login 函数加输入校验」
上下文（Context）	哪些文件、报错相关	用 `@` 引用文件，报错整段粘贴
约束（Constraints）	要守什么规范、不许碰什么	「别引新库、保持兼容」
验收（Done when）	什么条件算干完	「跑 pytest 全绿」

最常漏的是验收——少这一格，它觉得「能跑」就交差，bug 留给你。

烂提问 vs 好提问：

❌ 烂提问	✅ 好提问
「修一下登录的错误」	「用户报告会话超时后登录失败。查 `src/auth/` 认证流程，重点看 token 刷新。先写失败测试再修」
「给 foo.py 加测试」	「覆盖用户已登出的边界情况，别用 mock」
「加个日历组件」	「照 `HotDogWidget.php` 模式实现日历组件，能选月份前后翻年，不引新库」

2. 复杂任务先出计划

越复杂越模糊的活儿，越先出计划再动手。

一句话说清 diff 的小活儿 → 直接干
说不清的 → /plan 或 Shift+Tab 切 Plan Mode
自己没想清楚 → 让它「先别写，先 challenge 我，把模糊想法问成具体方案」

反面教材：我让 Codex 从回调迁 async/await，图省事没出计划，结果它顺手「优化」了全局错误处理，diff 糊成一团，最后 git reset 重来。

3. MCP：给 AI 接上外部世界

MCP（Model Context Protocol）是一套开源标准，给 AI 统一外接服务的「扩展坞」——接一次，GitHub/Jira/数据库/Figma 的工具全摆到它面前。

两种 Server 形态：

形态	场景	示例
stdio（本地）	连本地数据库、浏览器	`claude mcp add mydb -- npx @modelcontextprotocol/server-postgres`
HTTP（远程）	云服务	GitHub、Sentry、Figma

信任红线：第三方 server 是第三方代码，官方不替你审计。优先用大厂官方 server，连数据库用只读凭据。

4. 子代理：上下文隔离的杀手锏

子代理 = 独立上下文 + 独立人设 + 独立工具的「外包小弟」。在自己房间干活，只把结论交回来。

解决什么问题：

问题	说明
隔离上下文	脏活（跑测试、翻日志）在自己房间扛，不污染主线
专精任务	给某类反复出现的活定一个专门干的人
可并行	互不相干的活同时甩给多个子代理

什么时候别用：频繁来回、共享上下文、快速小改 → 留在主对话。产出一堆中间垃圾、可自包含只回结论 → 才外包。

怎么建：/agents 交互式填表，或手写 .claude/agents/name.md。

5. Skills：把重复劳动变成可复用能力

Skill = SKILL.md（frontmatter + 正文）+ 可选配套文件（模板/脚本/示例）。

核心机制是渐进式披露：平时只露一句 description、用到才展开全文。装再多 Skill 也不撑上下文。

什么时候该写 Skill：当你发现自己反复粘同一套步骤时。

三种来源：

内置：/code-review、/debug、/batch 等，开箱即用
插件附带：带命名空间 /插件名:skill名
自己写：反复粘同一套步骤时，就该写 Skill

6. 记忆系统：让 AI 记住你的调教

工具	记忆机制
Claude Code	`CLAUDE.md`（手动）+ 自动记忆（默认开）
Codex	`AGENTS.md`（手动）+ Memories（默认关，异步生成，有地区限制）

铁律：当 AI 同一个错误犯了第二次，让它复盘把教训补进项目说明书——说明书被真实摩擦喂大，而非拍脑袋。

四、订阅与计费：别让钱包意外失血

Claude Code 三条路

方案	月成本参考	适合谁
官方按量计费	浮动，重度 $150-250+	想用原生 Claude
官方订阅	固定月费	高频用，固定支出
国产 Coding Plan	低，常有促销	国内用户，能接受国产模型

国产套餐大坑：买了套餐 ≠ 走套餐。Base URL 必须带 coding 字样，Key 用套餐专属的！

# ✅ 走套餐
https://ark.cn-beijing.volces.com/api/coding

# ❌ 按量扣费（你以为走了套餐，其实在烧钱）
https://ark.cn-beijing.volces.com/api/v3

Codex 两套计费

维度	ChatGPT 订阅	API Key
收费	固定月费 + 用量限额	按 token 实时扣费
适合	个人日常高频	CI/CD / 自动化

口诀：人用订阅，机器用 API Key。

省钱四招

❌ 坏习惯	✅ 好习惯	省在哪
一个会话从早用到晚	任务间 `/clear`	不重发陈旧上下文
全程挂旗舰模型	默认中端，难题才切旗舰	单价更低
含糊需求直接开干	复杂任务先 Plan Mode	少返工
「改进下代码」	「给 login 函数加输入校验」	少读无关文件

三个管理命令

命令	用途
`/usage`	当前会话 token 用量和估算花销
`/usage-credits`	设月度使用上限（防超支）
`/status`	核对版本、模型、账户、连通性

五、迁移指南：Claude Code ↔ Codex

你 90% 的心智模型能直接搬——要重新认的只是「东西放哪、叫什么名」。

概念对照表

Claude Code	Codex	关系
`CLAUDE.md`	`AGENTS.md`	换名
`~/.claude/settings.json`（JSON）	`~/.codex/config.toml`（TOML）	换格式
权限模式 + allow/deny 规则	沙箱 + 审批（两个独立旋钮）	换思路
`claude -p`	`codex exec`	换名
`CLAUDE.local.md`	`AGENTS.override.md`	机制不同

三个必栽的坑

坑 1：项目说明书的临时覆写机制不同

Claude Code：CLAUDE.local.md 是附加个人内容
Codex：AGENTS.override.md 是跳过同级 AGENTS.md

坑 2：配置文件不是翻译，是重写

JSON → TOML，最常犯的错：行尾加逗号（肌肉记忆），Codex 会报解析错。

坑 3：权限模型根本性不同

Claude Code：按工具列白名单
Codex：沙箱（能动多大）+ 审批（问不问你）两个独立旋钮

「不问」≠「放权」——read-only + never 是「随便读，但一句都别打扰我」。

斜杠命令对照

你想干的事	Claude Code	Codex
切模型	`/model`	`/model` ✅
压缩上下文	`/compact`	`/compact` ✅
清屏重开	`/clear`	`/clear` ✅
生成项目说明书	`/init`	`/init` ✅
看改动 diff	`/diff`	`/diff` ✅
审查改动	`/review`	`/review` ✅
调权限	`Shift+Tab`	`/permissions` ❌

六、最佳实践速查表

Claude Code 六大法则

给可自己验收的方式 —— prompt 结尾挂「做完跑测试并验证」
先探索再编程 —— 不熟的代码先 Plan Mode 出方案
把话说具体 —— 点文件、限场景、给参照例子
CLAUDE.md 写精不写多 —— 每行问「删了它 Claude 会犯错吗？」
一跑偏立刻拽回来 —— 纠正满三次，无条件 /clear 重开
用顺了再横向铺开 —— Writer/Reviewer 互审、claude -p 进脚本、subagent 干脏活

Codex 七条落地实践

换心态 —— 当队友而非工具，调教越久越顺手
AGENTS.md 写到位 —— /init 生成脚手架，改成项目真实的样子
提示四件套填空 —— 目标 + 上下文 + 约束 + 验收
复杂活先出计划 —— /plan 或 Shift+Tab
权限分档 —— 默认从严，逐步放宽
让它自验证 —— 跑测试、跑 lint、确认行为对得上需求
线程管理一条线一件事 —— 一个任务一条线程，不要一个项目从早开到晚

踩坑 ❌ / 正确 ✅ 对照表

❌ 踩坑	✅ 正确做法
把持久规则塞进提示	持久的搬进项目说明书或 Skill
没告诉它构建/测试命令	项目说明书写清，让它能看到成果
多步复杂活跳过规划	先 `/plan` 再动手
还没摸清工作流就给满权限	默认从严，逐步放宽
一个项目一条线程	一个任务一条线程
多条线程同时改同批文件	各开一个 git worktree
不靠谱的活急着做自动化	先手动跑稳再沉淀

七、如何选择？

选 Claude Code 如果你：

习惯命令行，喜欢终端工作流
主要用 Anthropic 的模型（Claude 系列）
想要更成熟的 Skills 生态和自动记忆
团队已经在用 Anthropic 的服务

选 Codex 如果你：

喜欢多入口（桌面 App、CLI、IDE、云端都想要）
想用云端模式，任务不占本机资源
已经有 ChatGPT Plus/Pro 订阅
需要企业管理功能（SSO/SCIM/RBAC）

两个都试试

核心逻辑一样，斜杠命令大半同名。花半天跑一遍入门流程，哪个手感好用哪个。

结语

AI 编程工具不是银弹，但用对了确实能提效。

关键就三句话：

拆需求，别让它猜 —— 一次一条主线，复杂任务先出计划
给验证，别信它说的 —— 让它跑测试、给证据，「看起来对」不算数
清上下文，别让它变笨 —— 任务间 /clear，纠正三次无条件重开

别光看，动手跑一遍才是你的。

最后更新：2026-06-23

企业级WMS策略体系设计思想：从规则到系统的架构实践

Shine_ssr — Wed, 10 Jun 2026 07:30:00 GMT

本文基于实际项目经验，总结了一套适用于仓储管理系统（WMS）的策略体系设计方法论。这套方法论不仅适用于WMS，也可以推广到其他需要复杂规则引擎的企业系统中。

前言

在企业级软件开发中，我们经常面临这样的挑战：业务规则复杂、变化频繁、不同场景需要不同的处理方式。传统的硬编码方式已经无法满足业务快速变化的需求。

本文将分享一套完整的策略体系设计思想，帮助开发者构建灵活、可扩展、可维护的规则引擎系统。

一、策略体系的核心价值

1.1 将业务经验配置化

企业运营中积累了大量业务经验，例如：

什么时间段可以收货？
哪些物料需要优先处理？
什么情况下需要审批？

这些经验如果写死在代码中，每次调整都需要开发人员介入。通过策略体系，我们可以将这些经验转化为可配置的规则。

1.2 将人工判断系统化

传统模式下，很多决策依赖人工判断：

是否允许预约？
是否需要检验？
是否可以入库？

策略体系可以将这些判断逻辑系统化，减少人为错误，提高处理效率。

1.3 将业务差异策略化

不同仓库、不同供应商、不同物料可能需要不同的处理规则：

A仓库夏季收货时间是8:00-18:00，冬季是8:30-17:30
供应商A的物料需要全检，供应商B的物料可以免检
关键物料必须按批次隔离存放

策略体系可以灵活处理这些业务差异。

1.4 将异常场景流程化

异常场景的处理往往最复杂：

非窗口期预约怎么办？
逾期到货如何处理？
库容不足时是否允许入库？

策略体系可以定义异常处理流程，包括审批、拦截、提醒等多种方式。

1.5 为智能化决策打基础

当策略规则、命中记录、异常记录、审批结果逐渐沉淀后，可以进一步支持：

供应商评价分析
仓库负荷优化
排队策略优化
缺料风险预测

二、策略分类设计

2.1 企业级策略

定义：公司统一规则，影响整个系统或多个业务单元。

特点：

影响范围大
通常是公司级统一规则
不是针对某个单一对象
一旦启用，会影响多个业务流程

示例：

是否启用供应商预约机制
是否启用批次管理
是否启用异常审批
是否启用供应商履约统计

2.2 资源策略

定义：针对具体资源（如仓库、库区、设备）的规则。

特点：

针对特定资源
影响该资源相关的所有业务
可以独立配置

示例：

仓库收货时间策略
库区存储规则
设备使用规则

2.3 对象策略

定义：针对业务对象（如供应商、物料、客户）的规则。

特点：

针对特定业务对象
影响该对象的所有业务
可以按对象类型配置

示例：

供应商供货策略
物料存储策略
客户信用策略

2.4 流程策略

定义：针对业务流程（如预约、到货、检验）的规则。

特点：

针对特定业务流程
影响流程的各个环节
可以按流程节点配置

示例：

预约审批策略
到货检验策略
入库上架策略

三、策略模型设计

3.1 策略的基本要素

一条完整的策略通常包含以下要素：

策略分类：属于哪类策略
策略对象：管理谁
适用范围：对哪些对象生效
生效环节：在哪个业务节点生效
触发条件：什么情况下命中规则
执行动作：命中后系统执行什么
异常处理：不满足规则时如何处理
审批要求：是否需要审批
优先级：多条策略冲突时谁优先
生效状态：是否启用
生效时间：何时生效
留痕要求：是否记录日志
统计分析：是否影响统计报表

3.2 策略的执行链路

策略在系统中的执行链路可以抽象为：

业务操作发起
  → 获取业务上下文
  → 匹配策略对象
  → 判断触发条件
  → 计算策略结果
  → 执行业务动作
  → 处理异常/审批
  → 更新业务状态
  → 记录策略命中日志

3.3 策略的优先级设计

当多个策略同时命中时，需要明确优先级：

1	`紧急业务 > 特殊审批 > 常规规则 > 默认规则`

例如：

生产紧急缺料 > 普通库容限制
供应商整改审批 > 常规预约规则
关键物料优先 > 普通物料排队

四、策略设计原则

4.1 策略要可分类

每条规则必须先知道属于哪类策略，否则后续无法落表、配置、维护和扩展。

4.2 策略要有作用对象

如果没有明确对象，系统无法判断规则作用在哪里。

4.3 策略要有触发环节

同一条规则，在不同环节的处理方式可能不同。例如”逾期”：

创建预约时发现逾期
到货确认时发现逾期
点收时发现逾期
检验完成时发现逾期

不同环节的处理方式可能完全不同。

4.4 策略要有触发条件

触发条件必须尽量明确。

不推荐：

1	`严重逾期要审批。`

4.5 策略要有执行结果

命中策略后，系统必须知道做什么。常见执行结果包括：

允许/禁止
提醒/预警
标记异常
自动分配/排队
进入审批
变更状态
通知人员
记录日志
纳入统计

4.6 策略要有异常处理方式

如果规则不满足，需要明确处理方式：

不允许提交
允许暂存但不允许生效
允许提交但必须审批
允许继续流转但标记异常
转人工处理

4.7 策略要有优先级

多个策略可能同时命中，必须明确哪个策略优先。

4.8 策略要可追溯

建议所有关键策略命中都要留痕：

命中了哪条策略
为什么命中
系统做了什么动作
谁审批
审批结果是什么
是否影响统计

五、策略落地实践

5.1 第一阶段：收集业务规则

先让业务侧按统一模板输出规则，不急于开发。优先收集：

核心业务规则
异常处理规则
审批流程规则
统计报表规则

5.2 第二阶段：进行策略归类

技术侧拿到业务规则后，先判断归属：

已有模型可配置
已有模型需扩展字段
需要新增策略表
需要新增流程节点
需要接入审批流程
需要新增统计报表

5.3 第三阶段：形成策略矩阵

建议整理成策略矩阵：

策略名称	分类	对象	环节	条件	动作	审批	优先级
非窗口期预约审批	预约	预约单	提交预约	不在收货时间	进入审批	是	中
优先排队策略	排队	车辆	排队	紧急物料	优先排队	否	高
批次隔离存储	存储	物料	上架	批次管理	隔离分配	否	高

5.4 第四阶段：沉淀为系统配置和流程

最终把策略分成几种落地方式：

配置类
- 例如：收货时间、二维码有效期、是否启用排队
规则类
- 例如：优先排队、逾期判断、库容不足判断
流程类
- 例如：异常审批、检验流程、差异处理
状态类
- 例如：预约单状态、排队任务状态、收货状态
统计类
- 例如：逾期率、排队时长、异常次数

六、策略输出规范

6.1 业务侧输出规范

业务侧输出策略时，建议按以下模板：

【策略名称】
例如：非窗口期预约审批策略

【策略分类】
企业策略 / 资源策略 / 对象策略 / 流程策略

【适用对象】
供应商 / 物料 / 仓库 / 预约单 / 车辆等

【适用范围】
全部 / 指定范围

【生效环节】
创建预约 / 提交预约 / 到货确认 / 排队 / 点收 / 检验 / 上架

【触发条件】
什么情况下命中该策略

【系统处理结果】
允许 / 禁止 / 提醒 / 预警 / 标记异常 / 自动分配 / 进入审批

【异常处理方式】
不满足条件时怎么处理

【审批要求】
是否需要审批；审批通过/驳回后怎么走

【优先级】
与其他策略冲突时谁优先

【记录与统计】
是否记录日志；是否进入报表

6.2 技术侧承接规范

技术侧拿到业务规则后，需要判断：

能不能配置？
要不要开发？
影响哪个流程？
是否需要审批？
状态怎么变化？
是否需要统计？

七、总结

策略体系设计的核心思想是：

抽象：将业务规则抽象为可配置的策略
分类：按业务领域和影响范围对策略分类
标准化：统一策略的输入输出格式
流程化：将策略执行嵌入业务流程
可追溯：记录策略执行过程和结果

这套设计思想不仅适用于WMS系统，也可以推广到其他需要复杂规则引擎的企业系统中，如：

订单管理系统
供应链管理系统
金融风控系统
人力资源管理系统

关键是要理解业务规则的本质，将其转化为可配置、可执行、可追溯的策略体系。

使用onelogin开源工具库java-saml-toolkit实现基于SAML2的SSO

Shine_ssr — Thu, 03 Sep 2020 07:52:37 GMT

1.为什么使用SAML2

saml是用于web浏览器单点登录的基于XML的标准,由OASIS安全服务技术委员会定义。该标准自2002年以来一直存在，但近来由于其以下优点而变得流行：

可用性-从门户或Intranet的一键式访问，深层链接，消除密码和自动续订会话，使用户的生活更轻松。
安全性-SAML基于强大的数字签名进行身份验证和完整性，是世界上最大，最具安全意识的企业所依赖的安全单点登录协议。
速度-SAML速度很快。
一种浏览器重定向就是将用户安全登录到应用程序所需的全部操作。
网页仿冒防范-如果您没有应用程序密码，就不会被欺骗在虚假的登录页面上输入密码。
IT友好-SAML简化了IT的使用寿命，因为它集中了身份验证，提供了更大的可见性并使目录集成更加容易。

2.SAML Java工具包使我们可以将Java应用程序转换为可以连接到IdP（身份提供者）的SP（服务提供者）。

支持:

SSO和SLO(由SP启动和由IdP启动).
断言和nameId加密.
断言签名.
消息签名: AuthNRequest, LogoutRequest, LogoutResponses.
启用断言消费者服务(ACS) 端点.
启用单一注销服务(SLS) 端点.
发布SP metadata(可以签名).

3.开始使用

1.工具包引入

Maven引入方式

<dependency>
    <groupId>com.onelogingroupId>
    <artifactId>java-samlartifactId>
    <version>2.5.0version>
dependency>

lib方式引入

只需要把 java-saml.jar 与java-saml-core.jar 添加即可(可以通过拉下来的项目直接打包支持源码修改以适应具体使用情况)

2.使用java-saml-toolkit所提供的简单SP demo工程

从git上面获取demo项目

项目包含三哥模块,其中core是核心包, toolkit是对外工具集合,samples是项目提供的SP demo 工程.

samples项目介绍

resources 目录下的onelogin.saml.properties 是该工具包的核心配置文件(所有配置都在这边文件里,正式项目中需要放入class 根目录即可读取到)
index.jsp Web应用程序的首页。
dologin.jsp SP启动的SSO端点。
dologout.jsp SP启动的SLO端点。
acs.jsp服务提供商声明消费者服务端点。
attrs.jsp显示从SAMLResponse收集的属性。
sls.jsp服务提供者单一注销服务端点。
metadata.jsp发布SP元数据。

4.IDP 服务搭建

这里我们使用oneLogin 提供的IDP服务来进行开发测试SAML协议,该服务需要注册开发者账户后获取.下面将介绍如何搭建

1.在OneLogin中创建应用连接器

登录 OneLogin.
Go to Apps > Add Apps.
搜索 SAML Test Connector.
选择 SAML Test Connector (IdP w/ attr) app.
如果需要，请编辑显示名称。如果使用demo1应用程序，请输入demo1
接受默认值并单击保存。

2.在onelogin.saml.properties中配置(IDP)身份提供者参数

从SSO选项卡中复制值，并将其粘贴到onelogin.saml.properties的“ idp”（身份提供者，以onelogin.saml2.idp开头的参数）部分，如下所示

复制SSO标签字段值	settings.json位置
Issuer URL	onelogin.saml2.idp.entityid
SAML 2.0 Endpoint (HTTP)	onelogin.saml2.idp.single_sign_on_service.url
SLO Endpoint (HTTP)	onelogin.saml2.idp.single_logout_service.url
X.509 Certificate > View Details	onelogin.saml2.idp.x509cert

保存配置后进入下一步

3.在onelogin.saml.properties中定义(SP)服务提供商的参数

以我们demo项目根路径(http://localhost:8080/)为例我们的具体参数为以下

onelogin.saml2.sp.entityid = http://localhost:8080/metadata.jsp
onelogin.saml2.sp.assertion_consumer_service.url = http://localhost:8080/acs.jsp
onelogin.saml2.sp.single_logout_service.url = http://localhost:8000/sls.jsp

对于onelogin.saml2.sp.nameid格式，将unspecified更改为emailAddress.在正式项目中根据实际情况来进行配置,这里是目前是OneLogin使用的值。

保存配置后进入onelogin连接器的配置选项卡,然后将值从onelogin.saml.properties复制到``配置’’选项卡字段中，如下所示。

复制settings.json值	配置选项卡字段
onelogin.saml2.sp.assertion_consumer_service.url	ACS (Consumer) URL
onelogin.saml2.sp.assertion_consumer_service.url	Recipient
onelogin.saml2.sp.single_logout_service.url	Single Logout URL
onelogin.saml2.sp.entityid	Audience

RelayState 参数可以不用填写在发起sso代码处可以指定
现在，将ACS（消费者）URL验证器设置为。*。
最后进行保存.

IDP端的配置可以实时修改保存(在正式项目环境中我们通常用metadata文件来进行配置交互)

4.部署运行samples项目

5.onelogin.saml.properties配置文件解读

以下是我的demo环境的配置文件

# 该配置表示加密环境 正式中为true(只要是报文加密都为true)
onelogin.saml2.strict = true
# debug 模式 调试日志打印
onelogin.saml2.debug = true

#  SP端配置
# 协议配置 基本上默认 没有特殊修改

# SP entityId
#  Identifier of the SP entity  (must be a URI)
onelogin.saml2.sp.entityid = http://localhost:8080/metadata.jsp

# SP 断言解析服务地址
# Specifies info about where and how the  message MUST be
#  returned to the requester, in this case our SP.
# URL Location where the  from the IdP will be returned
onelogin.saml2.sp.assertion_consumer_service.url = http://localhost:8080/acs.jsp

# SAML protocol binding to be used when returning the 
# message.  Onelogin Toolkit supports for this endpoint the
# HTTP-POST binding only
onelogin.saml2.sp.assertion_consumer_service.binding = urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST

#单点登出 服务地址 主要是提供给 IDP端用于接收登出响应的
# Specifies info about where and how the  message MUST be
# returned to the requester, in this case our SP.
onelogin.saml2.sp.single_logout_service.url = http://localhost:8080/sls.jsp

# SAML protocol binding to be used when returning the  or sending the 
# message.  Onelogin Toolkit supports for this endpoint the
# HTTP-Redirect binding only
onelogin.saml2.sp.single_logout_service.binding = urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect

# nameID 格式 一般使用 unspecified 默认参数 
# Specifies constraints on the name identifier to be used to
# represent the requested subject.
# Take a look on lib/Saml2/Constants.php to see the NameIdFormat supported
onelogin.saml2.sp.nameidformat = urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress


# sp端用于报文加密签名使用到的证书
# 这里我们可以自签的x509格式证书 也可以使用pem格式通过 以下方式转换(我使用的是https证书 other下载而来的)
# 公钥转换 openssl x509 -in x509cert.pem -text -out Cert.pem
# 私钥转换 openssl pkcs8 -topk8 -inform pem -nocrypt -in sp.rsa_key -outform pem -out sp.pem
# 证书粘贴注意不要前后注释 并保持在一行上 证书解析对空格换行符敏感

# Usually x509cert and privateKey of the SP are provided by files placed at
# the certs folder. But we can also provide them with the following parameters
onelogin.saml2.sp.x509cert =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

# Requires Format PKCS#8   BEGIN PRIVATE KEY     
# If you have     PKCS#1   BEGIN RSA PRIVATE KEY  convert it by   openssl pkcs8 -topk8 -inform pem -nocrypt -in sp.rsa_key -outform pem -out sp.pem
onelogin.saml2.sp.privatekey =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

# IDP端配置

# IDP  entityId
# Identifier of the IdP entity  (must be a URI)
onelogin.saml2.idp.entityid = https://app.onelogin.com/saml/metadata/2edb5038-be70-40f5-ad3b-2de9d00ab1a3

# SSO endpoint info of the IdP. (Authentication Request protocol)
# URL Target of the IdP where the SP will send the Authentication Request Message
onelogin.saml2.idp.single_sign_on_service.url = https://westinfosoft-dev.onelogin.com/trust/saml2/http-post/sso/2edb5038-be70-40f5-ad3b-2de9d00ab1a3
# SAML protocol binding to be used when returning the 
# message.  Onelogin Toolkit supports for this endpoint the
# HTTP-Redirect binding only
onelogin.saml2.idp.single_sign_on_service.binding = urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect

# SLO endpoint info of the IdP.
# URL Location of the IdP where the SP will send the SLO Request
onelogin.saml2.idp.single_logout_service.url =https://westinfosoft-dev.onelogin.com/trust/saml2/http-redirect/slo/1095020

# Optional SLO Response endpoint info of the IdP.
# URL Location of the IdP where the SP will send the SLO Response. If left blank, same URL as onelogin.saml2.idp.single_logout_service.url will be used.
# Some IdPs use a separate URL for sending a logout request and response, use this property to set the separate response url
onelogin.saml2.idp.single_logout_service.response.url =

# SAML protocol binding to be used when returning the 
# message.  Onelogin Toolkit supports for this endpoint the
# HTTP-Redirect binding only
onelogin.saml2.idp.single_logout_service.binding = urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect

# 正式项目中 sp端都是从SP_metadata 中获取 的
# Public x509 certificate of the IdP
onelogin.saml2.idp.x509cert =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

# 以下是 指纹模式的配置 不过官方不建议使用 应为hash碰撞的问题 
# Instead of use the whole x509cert you can use a fingerprint
# (openssl x509 -noout -fingerprint -in "idp.crt" to generate it,
# or add for example the -sha256 , -sha384 or -sha512 parameter)
#
# If a fingerprint is provided, then the certFingerprintAlgorithm is required in order to
# let the toolkit know which Algorithm was used. Possible values: sha1, sha256, sha384 or sha512
# 'sha1' is the default value.
# onelogin.saml2.idp.certfingerprint = 3E:3B:0D:FA:F2:80:B2:0E:95:46:36:07:9A:78:BD:04:CC:76:CE:A8
# onelogin.saml2.idp.certfingerprint_algorithm = sha1


# Security settings

#安全配置 在演示项目中使用不多 不过在正式环境中 需要注意开启对应的加密项

# Indicates that the nameID of the  sent by this SP
# will be encrypted.
onelogin.saml2.security.nameid_encrypted = false

#认证请求的加密
# Indicates whether the  messages sent by this SP
# will be signed.              [The Metadata of the SP will offer this info]
onelogin.saml2.security.authnrequest_signed = false

#登出请求的加密
# Indicates whether the  messages sent by this SP
# will be signed.
onelogin.saml2.security.logoutrequest_signed = false

#登出响应的加密
# Indicates whether the  messages sent by this SP
# will be signed.
onelogin.saml2.security.logoutresponse_signed = false

# Indicates a requirement for the ,  and
#  elements received by this SP to be signed.
onelogin.saml2.security.want_messages_signed = false

# Indicates a requirement for the  elements received by this SP to be signed.
onelogin.saml2.security.want_assertions_signed = false

# Indicates a requirement for the Metadata of this SP to be signed.
# Right now supported null (in order to not sign) or true (sign using SP private key) 
onelogin.saml2.security.sign_metadata =

# Indicates a requirement for the Assertions received by this SP to be encrypted
onelogin.saml2.security.want_assertions_encrypted = false

# Indicates a requirement for the NameID received by this SP to be encrypted
onelogin.saml2.security.want_nameid_encrypted = false

# Authentication context.
# Set Empty and no AuthContext will be sent in the AuthNRequest
# You can set multiple values (comma separated them)
onelogin.saml2.security.requested_authncontext = urn:oasis:names:tc:SAML:2.0:ac:classes:Password

# Allows the authn comparison parameter to be set, defaults to 'exact'
onelogin.saml2.security.onelogin.saml2.security.requested_authncontextcomparison = exact


# Indicates if the SP will validate all received xmls.
# (In order to validate the xml, 'strict' and 'wantXMLValidation' must be true).
onelogin.saml2.security.want_xml_validation = true

# Algorithm that the toolkit will use on signing process. Options:
#  'http://www.w3.org/2000/09/xmldsig#rsa-sha1'
#  'http://www.w3.org/2000/09/xmldsig#dsa-sha1'
#  'http://www.w3.org/2001/04/xmldsig-more#rsa-sha256'
#  'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
#  'http://www.w3.org/2001/04/xmldsig-more#rsa-sha512'
onelogin.saml2.security.signature_algorithm = http://www.w3.org/2000/09/xmldsig#rsa-sha1

# Organization
onelogin.saml2.organization.name = SP Java 
onelogin.saml2.organization.displayname = SP Java OA
onelogin.saml2.organization.url = http://
onelogin.saml2.organization.lang = 

# Contacts
onelogin.saml2.contacts.technical.given_name = Technical Guy
onelogin.saml2.contacts.technical.email_address = technical@example.com
onelogin.saml2.contacts.support.given_name = Support Guy
onelogin.saml2.contacts.support.email_address = support@@example.com

6.SP端代码解读

keyStores

Auth构造函数支持从KeyStore读取SP公共证书/私钥的功能。
必须为KeyStoreSettings对象提供KeyStore，别名和KeyEntry密码。

import java.io.FileInputStream;
import java.security.KeyStore;
import com.onelogin.saml2.Auth
import com.onelogin.saml2.model.KeyStoreSettings

String keyStoreFile = "oneloginTestKeystore.jks";
String alias = "keywithpassword";
String storePass = "changeit";
String keyPassword = "keypassword";

KeyStore ks = KeyStore.getInstance("JKS");
ks.load(new FileInputStream(keyStoreFile), storePass.toCharArray());

KeyStoreSettings keyStoreSettings =  new keyStoreSettings(ks, alias, keyPassword);
Auth auth = new Auth(KeyStoreSettings keyStoreSetting);

动态配置

可以以编程方式建立设置。您可以从其他来源（例如文件，数据库或生成的值）加载值。SettingsBuilder类公开了fromValues（Map samlData）方法，该方法可让您动态构建设置。密钥字符串与属性文件中的相同

Map<String, Object> samlData = new HashMap<>();
samlData.put("onelogin.saml2.sp.entityid", "http://localhost:8080/java-saml-tookit-jspsample/metadata.jsp");
samlData.put("onelogin.saml2.sp.assertion_consumer_service.url", new URL("http://localhost:8080/java-saml-tookit-jspsample/acs.jsp"));
samlData.put("onelogin.saml2.security.want_xml_validation",true);
samlData.put("onelogin.saml2.sp.x509cert", myX509CertInstance);

SettingsBuilder builder = new SettingsBuilder();
Saml2Settings settings = builder.fromValues(samlData).build();
//实例化您编写的Auth类
Auth auth = new Auth(settings, request, response);

关于 HttpRequest

java-saml依赖于javax.servlet：servlet-api，而Auth和ServletUtils类使用HttpServletRequest和HttpServletResponse对象。如果要使用与javax.servlet.http不同的任何内容，则需要基于HTTP请求/响应的新表示重新实现Auth和ServletUtils。

1.发起单点登录

用于向IDP发送AuthNRequest

1 2	`Auth auth = new Auth(request, response); auth.login();`

AuthNRequest将根据安全设置“ onelogin.saml2.security.authnrequest_signed”以签名或未签名的形式发送。然后，IdP将把SAML响应返回给用户的客户端。然后，使用此信息将客户端转发到SP的属性消费者服务。我们可以为登录函数设置一个“ returnTo” URL参数，并将其转换为“ RelayState”参数：

1
2
3

//指定登录成功后跳转的地址
String targetUrl = "https://github.com/onelogin/java-saml";
auth.login(targetUrl);

SP 端点

三个重要的端点,sp元数据(SP_metadata),ACS(断言解析服务),SLS(单点登出响应解析服务)

SP Metadata

这段代码将根据设置文件中提供的信息提供SP的XML元数据文件。

Auth auth = new Auth();
Saml2Settings settings = auth.getSettings();
String metadata = settings.getSPMetadata();
List errors = Saml2Settings.validateMetadata(metadata);
if (errors.isEmpty()) {
   out.println(metadata);
} else {
   response.setContentType("text/html; charset=UTF-8");
   for (String error : errors) {
       out.println(""+error+"
");
   }
}

Attribute Consumer Service(ACS)

此代码处理IdP通过用户客户端转发到SP的SAML响应。

Auth auth = new Auth(request, response);
//具体的 响应断言解析
auth.processResponse();
if (!auth.isAuthenticated()) {
   out.println("Not authenticated");
}

List errors = auth.getErrors();
if (!errors.isEmpty()) {
    out.println(StringUtils.join(errors, ", "));
    if (auth.isDebugActive()) {
        String errorReason = auth.getLastErrorReason();
        if (errorReason != null && !errorReason.isEmpty()) {
            out.println(auth.getLastErrorReason());
        }
    }
} else {
    Map> attributes = auth.getAttributes();
    String nameId = auth.getNameId();
    String nameIdFormat = auth.getNameIdFormat();
    String sessionIndex = auth.getSessionIndex();
    String nameidNameQualifier = auth.getNameIdNameQualifier();
    String nameidSPNameQualifier = auth.getNameIdSPNameQualifier();

    //关键参数
    session.setAttribute("attributes", attributes);
    session.setAttribute("nameId", nameId);
    session.setAttribute("nameIdFormat", nameIdFormat);
    session.setAttribute("sessionIndex", sessionIndex);
    
    session.setAttribute("nameidNameQualifier", nameidNameQualifier);
    session.setAttribute("nameidSPNameQualifier", nameidSPNameQualifier);

    String relayState = request.getParameter("RelayState");

    if (relayState != null && relayState != ServletUtils.getSelfRoutedURLNoQuery(request)) {
        response.sendRedirect(request.getParameter("RelayState"));
    } else {
        if (attributes.isEmpty()) {
            out.println("You don't have any attributes");
        }
       else {
            Collection keys = attributes.keySet();
            for(String name :keys){
                out.println(name);
                List values = attributes.get(name);
                for(String value :values) {
                    out.println(" - " + value);
                }
            }
        }
    }
}

在尝试获取属性之前，请检查用户是否已通过身份验证。如果用户未通过身份验证，则将返回一个空的Map。例如，如果我们在auth.processResponse之前调用getAttributes，则getAttributes（）将返回一个空Map。

Single Logout Service (SLS)

以下代码处理注销请求和注销响应。

Auth auth = new Auth(request, response);
auth.processSLO();
List errors = auth.getErrors();
if (errors.isEmpty()) {
   out.println("Sucessfully logged out");
} else {
   for(String error : errors) {
      out.println(error);
   }
}

如果SLS端点收到注销响应，则该响应将得到验证，并且HttpRequest的会话可能会关闭。如果SLS端点接收到注销请求，则该请求将得到验证，会话将关闭，并且注销响应将发送到IdP的SLS端点。如果我们不希望该processSLO破坏会话，则将keepLocalSession参数作为true传递给processSLO方法。

2.发起单点登出

用于发送Logout Request到IdP

注意此方式是通过SP端发起的单点登出

Auth auth = new Auth(request, response);

String nameId = null;
if (session.getAttribute("nameId") != null) {
    nameId = session.getAttribute("nameId").toString();
}
String nameIdFormat = null;
if (session.getAttribute("nameIdFormat") != null) {
    nameIdFormat = session.getAttribute("nameIdFormat").toString();
}
String nameidNameQualifier = null;
if (session.getAttribute("nameidNameQualifier") != null) {
    nameIdFormat = session.getAttribute("nameidNameQualifier").toString();
}
String nameidSPNameQualifier = null;
if (session.getAttribute("nameidSPNameQualifier") != null) {
    nameidSPNameQualifier = session.getAttribute("nameidSPNameQualifier").toString();
}
String sessionIndex = null;
if (session.getAttribute("sessionIndex") != null) {
    sessionIndex = session.getAttribute("sessionIndex").toString();
}
auth.logout(null, nameId, sessionIndex, nameIdFormat);

将根据安全设置“ onelogin.saml2.security.logoutrequest_signed”以签名或未签名的形式发送注销请求。IdP将通过用户客户端将注销响应返回到SP的单一注销服务。最终在sp的sls中获取登出结果

7 工作流

运行我们示例项目。首次访问主视图http//localhost：8080/index.jsp时，您可以选择登录并返回同一视图，或登录并重定向到属性视图（属性）。
当您单击链接时，：
1。在第一个链接中，我们被重定向到/dologin.jsp视图。AuthNRequest发送到IdP，我们在IdP上进行身份验证，然后将响应发送到SP，特别是Assertion Consumer Service视图：/acs.jsp。在此验证SAMLResponse，提取NameID和用户属性并将其存储在会话中。注意，将RelayState参数设置为启动该过程的URL，即dologin.jsp url，但是我们没有将用户重定向到该视图，而是在/acs.jsp视图上显示了用户数据。
2。在第二个链接中，我们使用“ attrs” GET参数重定向到/dologin.jsp视图。AuthNRequest通过/attrs.jsp视图作为RelayState参数发送到IdP，我们在IdP上进行身份验证，然后将响应发送到SP，特别是到断言消费者服务视图：/acs.jsp。在那里验证了SAMLResponse，提取了NameID和用户属性并将其存储在会话中，然后将我们重定向到RelayState视图，attrs.jsp视图，在该视图中从会话中读取用户数据并进行提示。单一注销功能可以通过两种方法进行测试。
3。SLO由SP发起。单击SP上的“注销”链接，之后，我们将重定向到/dologout.jsp视图，在该视图中，将注销请求发送到IdP，IdP上的会话关闭，并向SP答复注销响应（已发送）到“单一注销服务”端点）。SP的SLS端点/sls.jsp处理注销响应，如果有效，则关闭本地应用程序的用户会话。请注意，SLO工作流在SP处开始和结束。
4。SLO由IdP发起。在这种情况下，该操作在IdP端发生，注销过程在IdP上启动，它向SP（SLS端点，/ sls.jsp）发送注销请求。SP的SLS端点处理注销请求，如果有效，则关闭本地应用程序上的用户会话，然后将注销响应发送到IdP（发送到IdP的SLS端点）。IdP接收注销响应，对其进行处理并在IdP上关闭会话。请注意，SLO工作流程在IdP处开始和结束。

8.相关文档和工具地址

IDP 连接器搭建文档

java-saml工具库代码地址

saml助手网站

saml调试谷歌插件 SAML-tracer

将hexo部署至阿里云服务器

Shine_ssr — Sun, 30 Aug 2020 09:31:06 GMT

将hexo部署至阿里云服务器

使用Hexo搭建博客目前有以下三种方案:

Hexo 框架 + github
Hexo 框架 + github + 自定义域名
Hexo 框架 + 云服务器 + 自定义域名

我主要讲述第三种方式,使用自己已经有的服务器,以及可用的域名来搭建自己的博客.

「Hexo + 阿里云 + 域名」搭建步骤

整体框架结构图

整体流程

本地PC 安装node.js 以及Hexo 的初始化
服务器环境搭建安装 git node nginx配置创建git用户
使用Git 自动化部署发布博客

1.本地Hexo环境

1.1 安装git

1.2 安装 node

1.3 安装 npm 强烈建议使用 cnpm (只要网络问题很多时候 npm 命令会报错导致步骤失败 )

1.4 node -v npm -v 检查版本验证是否安装成功

1.5 安装Hexo

1	`npm install -g hexo-cli`

在本地自己喜欢的地方新建一个博客文件夹 blog 比将其初始化

1
2
3

hexo init blog
cd blog
npm install

初始化之后在项目根目录里面进行Hexo 插件 hexo-deployer-git(自动化部署的时候使用),hexo-server 的安装

1 2	`npm install hexo-deployer-git --save npm install hexo-server`

配置GIT全局变量

项目根目录中打开 GitBash here

1 2	`git config --global user.email "youremail@mail.com" git config --global user.name "yourname"`

2.服务器端

1.会用到 80端口所以需要配置安全组开放80端口(阿里云默认不开启)

2.最好使用 https 在配置nginx时可以一起配置

3.在配置密钥时 .ssh文件夹(隐藏文件夹) 在ftp中默认不可见需要调出来 ls -a 查看

4.在服务器端操作时需要新建 git 用户需要注意当前用户和可操作权限问题

1.安装nginx

安装有多种方式我主要说下配置
首先服务器上需要新建一个hexo 部署目录我使用的是 /home/git/blog

1	`mkdir -p /home/git/blog`

进入nginx配置文件

1 2	`cd /usr/local/nginx/conf vim nginx.conf`

将顶端的user(用户)改为 root
以下为我的配置


user  root;
worker_processes  1;

#error_log  logs/error.log;
#error_log  logs/error.log  notice;
#error_log  logs/error.log  info;

#pid        logs/nginx.pid;


events {
    worker_connections  1024;
}


http {
    include       mime.types;
    default_type  application/octet-stream;

    #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
    #                  '$status $body_bytes_sent "$http_referer" '
    #                  '"$http_user_agent" "$http_x_forwarded_for"';

    #access_log  logs/access.log  main;

    sendfile        on;
    #tcp_nopush     on;

    #keepalive_timeout  0;
    keepalive_timeout  65;

    #gzip  on;

    server {
        listen       80;
        server_name www.xuwx.top;
rewrite ^(.*)$ https://$host$1 permanent;
    }

# HTTPS server
    #
    server {
        listen       443 ssl;
        listen       [::]:443 ssl;
        server_name  www.xuwx.top;

#正式配置
        ssl_certificate      cert/www.xuwx.top.pem;
        ssl_certificate_key  cert/www.xuwx.top.key;

        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout 5m;
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;

        location / {
    root /home/git/blog;  
    proxy_read_timeout 300;
 proxy_connect_timeout 300;
 proxy_redirect     off;
 proxy_set_header   X-Forwarded-Proto $scheme;
 proxy_set_header   Host              $http_host;
 proxy_set_header   X-Real-IP         $remote_addr;  
         }
 
error_page 404 /404.html;
location = /40x.html {
}

error_page 500 502 503 504 /50x.html;
location = /50x.html {
}
    }

}

主要是两个地方 location 下配置 root 为直接的 /home/git/blog 博客要部署的位置以及 80端口的配置

注意修改完毕记得重启 nginx

2. node的安装

这里不再复述当然npm 最好使用国内仓库

3. 服务器端git的安装以及配置

1.git 安装不再复述

新建git 用户 (目的用于后面blog代码的自动化部署)

1	`adduser git`

3.修改git用户的权限 740

1	`chmod 740 /etc/sudoers`

4.配置文件中增加 Git 用户

1	`vim /etc/sudoers`

5.在 root ALL=(ALL) ALL
下添加 git ALL=(ALL) ALL

6.Git 用户的权限改回去。

1	`chmod 400 /etc/sudoers`

7.设置 Git 用户密码

1	`sudo passwd git`

完成了 Git 用户的创建后，接下来我们向 Git 用户添加公钥，就像配置 Github 那样

Git 用户配置 ssh 公钥
将本地pc user\用户.ssh 文件夹下的 id_rsa.pub(没有的话网上参考如何创建该文件) 文件拷贝至服务器 /home/git/.ssh文件夹下

8.1在服务器端切换到 git 用户，在根目录下创建 .ssh文件夹。

1
2
3

su git
cd ~
mkdir .ssh

8.2 用GIT用户身份 .ssh 文件夹内新建 authorized_keys 文件，并将公钥内容拷贝到该文件中。

cd ~/.ssh
cp id_rsa.pub authorized_keys
cat id_rsa.pub >> ~/.ssh/authorized_keys

8.3 修改文件权限

1 2	`chmod 600 ~/.ssh/authorized_keys chmod 700 ~/.ssh`

8.4 确保设置了正确的SELinux上下文

1	`restorecon -Rv ~/.ssh`

8.5 测试一下是否设置成功。在本地任意位置右键打开 GitBash Here，输入公网 IP

1	`ssh -v git@xxx.xxx.xxx.xxx（你的公网 IP）`

成功就会和 xshell 连进去一样了.

9.设置Git仓库

9.1 继续使用Git 用户新建 post-receive 钩子文件

1
2
3

cd ~
git init --bare hexo.git
vi ~/hexo.git/hooks/post-receive

新增如下命令注意跟换为自己的博客部署目录

1	`git --work-tree=/home/git/blog --git-dir=/home/git/hexo.git checkout -f`

9.2 授予钩子文件可执行权限

1
2
3

chmod +x ~/hexo.git/hooks/post-receive
cd ~
sudo chmod -R 777 /home/git/blog

10.完成上述配置之后就可以重启服务器了.

3.自动化部署

1.现在回到本地pc blog 文件根目录找到 _config.yml文件打开并修改

***为自己的服务器公网ip

# Deployment
## Docs: https://hexo.io/docs/one-command-deployment
deploy:
  type: git
  repo: git@***.***.***.***:/home/git/hexo.git
  branch: master

除此之外，URL 项改为自己的域名，没有备案的化可以先填写公网 IP

# URL
## If your site is put in a subdirectory, set url as 'http://yoursite.com/child' and root as '/child/'
url: www.xuwx.top
root: /
permalink: :year/:month/:day/:title/
permalink_defaults:
pretty_urls:
  trailing_index: true # Set to false to remove trailing 'index.html' from permalinks
  trailing_html: true # Set to false to remove trailing '.html' from permalinks

2.Hexo 自动部署
执行以下三个命令(每次文章发布的时候都需要用到)

hexo clean
hexo generate
hexo deploy
或
hexo cl
hexo g
hexo d
或
hexo cl && hexo g && hexo d

最后 hexo s 启动博客

4.参考的文章

https://zhuanlan.zhihu.com/p/144774977

https://www.jianshu.com/p/e1ccd49b4e5d