1. 从 telnet 到 PHP 脚本squid 缓存清除的真实痛点做运维的朋友大概率都经历过这个场景CDN 或者反向代理层用了 squidPHP 应用更新了页面内容用户却还在看到旧缓存。于是你打开终端telnet squid_host 80手敲purge http://example.com/index.php HTTP/1.0回车看到200或者404再退出。一次两次还行页面一多、服务器一多这种手工操作就变成了纯体力活。更麻烦的是团队协作。你请假了同事不知道 purge 的端口和 ACL 规则你换了台机器fsockopen 的写法又得重新翻笔记。所以一个能跑在浏览器里、支持多台 squid 服务器、批量输入 URL 的 PHP 清除工具就成了刚需。这篇就聚焦 squid 反向代理下 PHP 应用缓存清除的完整落地从squid.conf的 purge ACL 配置到 PHP 侧清除脚本骨架再到用 curl 验证缓存是否真的失效。同时结合 TaoToken 统一 Key 管理调用凭证把「谁能触发清除」这件事也管起来。适合谁看正在用 squid 做反向代理、PHP 应用需要主动清缓存的运维和后端同学以及想把 purge 接口做成内部小工具、但不想暴露裸接口的开发者。2. TaoToken 前置统一 Key 管住 purge 触发入口先说清楚一个设计原则purge 接口不应该裸奔。squid 的 PURGE 方法一旦被外部随意调用等于把缓存控制权交出去了。所以我在 PHP 清除脚本里加了一层凭证校验而凭证的签发和轮换交给 TaoToken 来统一管理。TaoToken 在这里扮演的角色是「统一 Key/API 通道管理」你可以在控制台创建不同用途的 Key比如purge-tool-prod、purge-tool-staging分别对应不同环境的清除权限。PHP 脚本收到请求时先拿请求头里的 Key 去校验校验通过才继续走 fsockopen 发 PURGE。这样即使脚本被扫到没有有效 Key 也触发不了清除。需要提前准备的东西一个 TaoToken 账号进入控制台创建 API Key。控制台地址https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentconsole如果你还想让脚本在清除后调用模型做日志摘要或异常判断可以在模型对话页先试通调用https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentmodel_chatKey 的创建入口在 API Keys 页面https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentapi_keys接入方式和鉴权细节看文档https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentdocAPI 基地址统一用https://taotoken.net/api注意这个地址不带 UTM 参数直接写进配置即可。如果你后续要把清除工具接到 Coding Plan 做长期自动化入口在这里https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentcoding_plan注意Key 只存在服务端环境变量或配置文件里不要写进前端 JS也不要在 URL 里明文传递。3. 可复制配置squid.conf 缓存规则与 purge ACL先解决 squid 侧。默认情况下 squid 不允许 PURGE 方法必须显式配置 ACL。下面这段可以直接贴进squid.conf我按「只允许内网清除、只允许特定来源」的思路写# 定义 purge 方法 acl PURGE method PURGE # 定义允许发起 purge 的来源网段按你的实际内网改 acl purge_src src 10.0.0.0/8 acl purge_src src 192.168.0.0/16 # 定义允许被清除的目标域名 acl purge_dst dstdomain .example.com # 只允许内网来源对指定域名发起 PURGE http_access allow PURGE purge_src purge_dst http_access deny PURGE # 缓存规则PHP 动态页面默认不缓存静态资源缓存 7 天 acl php_url urlpath_regex -i \.php$ cache deny php_url refresh_pattern -i \.(jpg|jpeg|png|gif|css|js|ico|svg|woff2?)$ 10080 90% 43200 refresh_pattern . 0 20% 4320几个关键点解释一下。acl PURGE method PURGE是必须的没有它 squid 会直接返回 403。purge_src限定来源避免公网随便 purge。purge_dst限定目标域名防止误清其他站点。cache deny php_url让 PHP 动态页面不进缓存这样你 purge 的主要是静态资源和被显式缓存的接口。改完配置后重载squid -k reconfigure如果重载报错用squid -k parse先做语法检查它会告诉你哪一行有问题。实测下来最常见的报错是 ACL 名称重复定义比如你之前已经定义过acl PURGE再写一次就会冲突。4. PHP 清除脚本骨架批量 URL Key 校验 fsockopen接下来是 PHP 侧。原始版本用fsockopen直接发 PURGE能用但缺校验、缺错误处理、缺批量结果汇总。下面这个骨架在保留 fsockopen 思路的基础上加了 TaoToken Key 校验和更清晰的结果输出。?php // purge.php - squid 缓存清除工具骨架 // 凭证从环境变量读取不要硬编码 $expectedKey getenv(TAOTOKEN_PURGE_KEY); $clientKey $_SERVER[HTTP_X_TAOTOKEN_KEY] ?? ; if (empty($expectedKey) || !hash_equals($expectedKey, $clientKey)) { http_response_code(401); echo json_encode([error invalid key]); exit; } // squid 服务器映射按环境区分 $servers [ prod [host 10.0.1.10, port 80], staging [host 10.0.2.10, port 80], ]; $env $_POST[env] ?? prod; if (!isset($servers[$env])) { http_response_code(400); echo json_encode([error unknown env]); exit; } $host $servers[$env][host]; $port $servers[$env][port]; // 批量 URL每行一个 $raw $_POST[urls] ?? ; $urls array_filter(array_map(trim, explode(\n, $raw))); function purge_url(string $host, int $port, string $url): array { $fp fsockopen($host, $port, $errno, $errstr, 5); if (!$fp) { return [url $url, status connect_fail, detail $errstr ($errno)]; } $header PURGE {$url} HTTP/1.0\r\n; $header . Connection: Close\r\n\r\n; fwrite($fp, $header); $firstLine fgets($fp); fclose($fp); // 解析 HTTP/1.0 200 OK 或 HTTP/1.0 404 Not Found $parts explode( , trim($firstLine)); $code $parts[1] ?? 000; $map [ 200 purged, 404 not_cached, 403 acl_denied, ]; return [ url $url, status $map[$code] ?? unknown, code $code, ]; } $results []; foreach ($urls as $url) { $results[] purge_url($host, $port, $url); } header(Content-Type: application/json); echo json_encode([env $env, results $results], JSON_UNESCAPED_UNICODE);这个骨架和原始版本的区别一是用hash_equals做常量时间比较避免时序攻击二是结果用 JSON 返回方便前端或 curl 解析三是把服务器映射抽出来加环境时只改数组。fsockopen的超时设了 5 秒避免某个 URL 卡住整个批量任务。调用方式curl -X POST https://your-tool.example.com/purge.php \ -H X-TaoToken-Key: $TAOTOKEN_PURGE_KEY \ -d envprod \ -d urlshttp://www.example.com/static/app.js http://www.example.com/static/style.css5. 验证请求curl 确认缓存是否真的失效清除完不算完得验证。最直接的办法是看响应头里的X-Cache和Age。squid 命中缓存时通常带X-Cache: HIT回源后是MISS或TCP_MISS。先看清除前的状态curl -sI http://www.example.com/static/app.js | grep -iE x-cache|age如果输出类似X-Cache: HIT和Age: 3600说明缓存命中且已经存了一小时。执行 purge 后再看curl -sI http://www.example.com/static/app.js | grep -iE x-cache|age期望看到X-Cache: MISS或Age: 0。如果还是 HIT说明 purge 没生效往下看排查部分。再验证一次 PURGE 请求本身的返回码curl -s -o /dev/null -w %{http_code}\n -X PURGE \ -H X-TaoToken-Key: $TAOTOKEN_PURGE_KEY \ http://10.0.1.10/static/app.js返回200表示清除成功404表示该 URL 本来就没被缓存403表示 ACL 没放行。这三个码对应三种处理方向别混。如果你想让脚本在清除后自动记录一条结构化日志可以顺手调一下模型对话接口做摘要Key 复用同一个 TaoToken 凭证体系入口在模型对话页https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentmodel_chat6. 本篇常见错排查403、404 与连接失败403 请求被拒绝九成是 ACL 没配对。检查http_access allow PURGE purge_src purge_dst这一行是否在http_access deny PURGE之前squid 是按顺序匹配的。另外确认purge_src的网段包含你发起请求的机器 IPNAT 环境下看到的是出口 IP不是内网 IP。404 未被缓存这个不是错误是提示。说明该 URL 当前不在缓存里或者已经被清过了。如果你确定它之前是 HIT那可能是refresh_pattern把它判成了不可缓存检查 URL 后缀是否匹配你的静态资源规则。连接失败 connect_failfsockopen连不上 squid 的 80 端口。先telnet 10.0.1.10 80确认端口通不通再看 squid 是否监听在http_port 80而不是其他端口。防火墙规则也要确认内网到 squid 的 80 入站是否放行。Key 校验一直 401检查环境变量TAOTOKEN_PURGE_KEY是否真的注入到了 PHP-FPM 进程。用php -r var_dump(getenv(TAOTOKEN_PURGE_KEY));在命令行测如果命令行有、Web 没有说明 FPM 的env配置没透传需要在php-fpm.conf里加env[TAOTOKEN_PURGE_KEY] $TAOTOKEN_PURGE_KEY。批量清除部分成功部分失败看 JSON 返回里每条记录的status。connect_fail是网络问题acl_denied是权限问题unknown是返回码没在映射表里把原始code打出来看。别用一个while循环硬扛逐条记录才能定位。7. 把清除链路接进长期编码与自动化单次跑通之后下一步通常是把它接进发布流程代码上线后自动触发 purge或者定时清理过期资源。这时候凭证管理就更重要了——不同流水线用不同 Key出问题能快速吊销单个 Key 而不影响其他工具。如果你打算用 Coding Plan 做长期的自动化脚本维护和 Agent 编排可以把 purge 工具封装成一个可调用的动作Key 体系继续复用 TaoToken。入口https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentcoding_plan接入文档里对鉴权头、错误码、重试策略都有说明遇到 401/403 先翻文档再改代码比盲试快得多https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentdoc最后留一个我踩过的坑squid 的 PURGE 对带查询参数的 URL 是按完整 URL 匹配的/app.js?v1和/app.js?v2是两条缓存。如果你的静态资源带版本号purge 时要把版本号一起带上否则清了等于没清。这个细节在squid.conf里没法自动处理只能在 PHP 脚本的 URL 列表里保证完整。