@Kaiyuan 昨晚关了 SSL 和 HSTS ，今天还是跳 https ，而且还是无法访问 wp 控制台所以没法装插件。不过我记得这个插件是装过的。

@alect HSTS 和 SSL 昨晚就关了，刚才清了饼干还是会自动跳转 https 。然而我没证书就没配置 443 端口。

@whatot 那么 **Supervisor** 呢？

@whatot 把不安全进程托管在 **Docker** 或者 **supervisor** 中也无法避免进程读取超出范围的文件或者获取过高的权限？

@whatot 那么 SELinux 能在一定程度上避免这种漏洞造成过大损失？

所以说如果实在怕 `ssserver` 被爆破，也许给这个进程配置属性后限制访问比较好？

>>>Unconfined processes run in unconfined domains, for example, init programs run in the unconfined initrc_t domain, unconfined kernel processes run in the kernel_t domain, and unconfined Linux users run in the unconfined_t domain. For unconfined processes, SELinux policy rules are applied, but policy rules exist that allow processes running in unconfined domains almost all access. Processes running in unconfined domains fall back to using DAC rules exclusively. If an unconfined process is compromised, SELinux does not prevent an attacker from gaining access to system resources and data, but of course, DAC rules are still used. SELinux is a security enhancement on top of DAC rules – it does not replace them.

--[4.2. Unconfined Processes]( https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Security-Enhanced_Linux/sect-Security-Enhanced_Linux-Targeted_Policy-Unconfined_Processes.html)

RTFM 是解决问题的最佳方法，给自己一嘴巴 ⊂彡☆))∀`)

多谢各位帮助，问题已解决

@jhaohai 了解，多谢。

@whatot 也就是说 **SELinux** 是不管理 `unconfined` 的进程么？而只会限制配置了属性的进程？那不就违背了 least-privilege 的理念么？说好的默认最小权限呢 ( ´_ゝ`)

@jhaohai 因为我认同 SELinux 的理念，做好权限管理很重要，最大的问题在人，懒得翻 manpage 直接关掉 FirewallD 和 SELinux 就骗自己解决问题，迟早药丸。

人呐就都不知道，自己就不可以预料。一个人的命运啊，当然要靠自我奋斗，但是也要考虑到历史的行程 (ry.

前方路况良好，随时可以发车

图床挂了。另外请使用支持 https 的图床

@ETiV 感谢，还真是这样，药到病除。

简易去 Namesilo 买个 .com 的域名，用优惠码 HENCOLLE 8 USD/年。
另外建议部署 CloudFlare CDN ，自带 SSL 证书和 HTTP/2 ，简直好使，免费计划足够用。

占有率不清楚，我就知道我离不开 Google

@chiarex Google Analysis