我是怎么自己搭一个下载站的，过程很简单但有几个坑要注意
我是怎么自己搭一个下载站的，过程很简单但有几个坑要注意
我去年帮朋友公司做内部工具分发，嫌网盘太慢、又要频繁更新，就想着自己搭个下载站算了。一开始觉得不就是放个文件、写个页面嘛，结果真干起来才发现，坑比想象中多。今天就跟你们聊聊整个流程，尤其是那些你看了才知道要小心的地方。
先说说为啥要自建下载站，和直接用网盘的区别
当时我手里有几十个版本的亿企财税安装包，还有一堆补丁和配置文件，每次同事要更新就得从微信传来传去，要么就挂在公司内网共享文件夹里。那体验真是糟透了——微信文件过期、内网共享动不动就掉线，还有一次版本搞混，有人装了个旧版导致数据对不上，加班到半夜才搞定。网盘虽然方便，但下载速度慢得让人抓狂，尤其是大文件，动不动就限速，更别说有些网盘还偷偷限制同时下载人数。自建下载站的好处就是全在自己掌控中，速度不依赖第三方，版本管理也清晰，别人要哪个就点本页下载按钮直接拿，省心多了。当然坏处也有，最直接的就是你得懂点服务器基本操作，还有要处理一些安全方面的问题。
下载与安装步骤：从选服务器到上线
搭下载站第一步是搞服务器，我是直接买了一个轻量应用服务器，配置不用太高，2核4G就够用，带宽选5Mbps，一个月几十块钱。系统我选了CentOS 7，主要是稳定，而且网上教程多。连接服务器用的是Xshell，密码一填进去先跑一遍基本的系统更新。然后装Nginx，我用的命令是yum install nginx -y，装完启动systemctl start nginx，这样就能通过服务器IP访问默认页面，说明基础环境搭好了。接下来要上传安装包，比如亿企财税的安装包，我会在Nginx的默认目录/usr/share/nginx/html下建个文件夹叫downloads，把安装包扔进去。为了省事，我用FileZilla工具把文件拖拽上传，速度挺快，几秒钟搞定。最后一步是写个简单的HTML页面，就一行链接：<a href="/downloads/yqcs-setup.exe">点本页下载按钮</a>，保存为index.html覆盖掉原来的。访问服务器IP，就能看到下载页面了。整个过程快的话半小时不到，但别高兴太早，坑在后面等着呢。
服务器配置里的关键参数，稍有疏忽就出问题
第一个坑是Nginx配置文件里有个默认的client_max_body_size参数，默认只有1M。上传安装包时我就吃过这个亏，第一次传一个100多M的亿企财税包，结果提示413 Request Entity Too Large，当时一脸懵。后来查日志才知道是Nginx限制了上传大小，解决办法简单：打开Nginx主配置文件/etc/nginx/nginx.conf，在http块里加一行client_max_body_size 500M，然后重启Nginx。另一个要注意的是防火墙，CentOS 7默认开启firewalld，会把80端口挡住，外面访问不了。用命令firewall-cmd --zone=public --add-port=80/tcp --permanent，再reload一下才能打开。还有一次我改了根目录路径，结果忘了给目录权限，访问直接403，查了老半天才明白是Nginx用户nobody没有读取权限，用chmod 755改了目录权限才解决。这些参数看着小，但每个都能卡你半天。
下载链接正确性检查：十个有九个在这里栽跟头
有次我兴冲冲告诉同事可以用了，结果对方点本页下载按钮后弹出一个404页面，我赶紧去服务器上看文件路径和网页里的链接到底对不对。这类错误很常见，比如你把安装包放在了/downloads里，但网页上写的链接是/downloads/yqcs-setup.exe，如果yqcs-setup.exe文件名拼错或者路径不匹配，自然找不到文件。更隐蔽的是，Nginx默认大小写敏感，如果你文件命名是YQCS-setup.exe但链接里写yqcs-setup.exe，那也会404。另外，如果服务器开启了HTTPS，但网页链接里用的是http，浏览器会报不安全警告，很多用户看到红色警告就退缩了。我记得还有一次，为了测试，我直接复制了服务器本地路径像C:\server\files，忘记改成相对于web根目录的路径，结果也出问题。我现在的习惯是每次上传完安装包后，直接在浏览器地址栏手动输入文件地址测试一遍，不偷懒。总之，检查链接的正确性是最基础也最容易被忽略的一步。
防盗链和流量控制，别让好心变负担
下载站搭好后，我朋友直接把它内网分享给了整个部门，大家用着都说好。结果没几天我发现服务器流量飙升，一看访问日志，居然有外网IP直接引用我站上的安装包链接，免费当CDN用。这就是典型的盗链，如果不处理，带宽被白白占用，月底账户余额亮红灯。解决办法是配置Nginx的防盗链功能，在server块里加一行valid_referers none blocked server_names，再加个if ($invalid_referer)的拦截，只允许我自己域名的请求访问。另一个坑是并发下载过多时服务器可能扛不住，我设了个limit_conn限制每个IP最大连接数为2，避免有人疯狂刷下载。还有一次我发现某个大文件下载到一半断了，原因是代理中间件超时时间太短，所以在配置里加个proxy_read_timeout 600s。这些措施不复杂，但能省掉后续一堆麻烦。如果你只想给自己的团队用，还可以加上简单的HTTP认证，设置用户名密码，外人连页面都进不来。
版本更新与清理的历史教训
最开始我没注意版本管理，直接在downloads文件夹里放了好几个版本的亿企财税安装包，比如v2.3、v2.4、v2.5，有的还带日期后缀。后来同事问我哪个是最新，我都不记得了，只能一个个看文件修改时间。更麻烦的是旧版本占用空间，服务器磁盘满了还得手动删。我后来学乖了，在页面上用表格列出版本号和发布日期，最新版本放最前面，旧版本我定期归档到一个backup目录，但要确认最近没人需要用旧版才删。有次我删了一个旧包后被行政的小姑娘问我还有没有v2.1，说她装不了新版，幸好我有备份。另一个经验是更新安装包时别直接覆盖旧版，先上传新文件并换个名字，测试没问题再把旧版换成新文件，不然中间万一有人下载会拿到残缺文件。还有就是更新后记得修改页面上的链接，否则还是会指向旧包。
安全性也不能忽略，别让人钻了空子
有个同事开玩笑说我的下载站成公网资源了，我开始还没当回事，直到有天在安全监控里发现有人试图上传一个恶意脚本文件到downloads文件夹。原来是服务器没关掉写权限，攻击者利用什么漏洞尝试写入文件。我赶紧把Nginx配置里的autoindex关了，因为它会列出目录下的所有文件，暴露太多信息。另外，我设了一个规则禁止上传除了exe和zip之外的文件类型。还有特别重要的一点是别让服务器开着不必要的端口，像SSH的22端口我改了默认端口号，并只允许公司IP段连接。还有一次有国外IP尝试暴力破解我的服务器密码，幸好我早就开启了fail2ban，自动封禁了那个IP。折腾下来我发现，一个看似简单的下载站，其实和正式网站要关注的防护点差不多，别因为只是分享几个安装包就放松警惕。我现在每个月都会去检查一下日志，看看有没有异常访问，心里踏实多了。