今年有段时间一直在折腾国产化办公环境统信UOS和银河麒麟两台机器轮流装系统、配服务。WebScannerService这个服务名字看上去像个扫描组件实际上是一套以Web API形式对外提供扫描能力的常驻服务常常被用于内容审核、文件检测或安全巡检这类场景。起初以为“装上Java环境、跑起来就好”结果在UOS上踩完一轮坑又在麒麟上重新踩了一遍。整个过程走完我觉得很有必要把这套兼容性实测记录下来给后续要在国产Linux系统上部署WebScannerService的同行提供一个参考。这篇文章不打算只写“怎么装”我会把两个系统的差异、依赖处理的思路、systemd托管服务的细节、问题排查的方法都讲清楚。适合正在做信创适配、国产系统运维或者准备把自己的服务迁移到统信UOS/银河麒麟上的朋友阅读。已经踩过的坑你就别再踩了。1. 整体设计与思路拆解1.1 为什么选WebScannerService做兼容性测试很多人第一次接触国产系统习惯性以为“不过是个Linux换皮”装软件就用yum/apt跑服务就用systemd。实际遇到的第一个问题不是系统本身而是软件的运行环境是否完整、依赖组件是否齐全、授权认证是否兼容。WebScannerService这个服务我比较熟悉它本身是Java系服务启动不复杂但对外依赖不少需要Java运行时、HTTP端口、日志目录、配置文件可能还要连外部存储或数据库。这类服务的安装过程恰好能覆盖国产Linux适配中的常见难点包管理差异、依赖缺失、目录权限、systemd集成、防火墙和selinux策略。测完这两个系统基本就能摸清一套业务服务在国产环境中“能不能跑、跑起来稳不稳、出问题怎么定位”。还有一个好处WebScannerService本身是跨平台的在x86_64架构下编译统信UOS和银河麒麟都支持这个架构。如果你的环境是ARM架构比如鲲鹏、飞腾流程基本一样只是安装包需要选aarch64版本下文我会单独提。1.2 两个系统的特性差异与安装策略统信UOS桌面版和银河麒麟桌面版底层都有Debian的影子但具体实现已经各自分化。我实测下来的感受对比维度统信UOS银河麒麟底层基础Debian系dpkg/apt偏CentOS体系时用rpm/yumV10 ARM版也有dpkg系内核版本5.x内核为主V10多为4.19/5.4V11新内核默认Shellbashbash服务管理systemdsystemd软件安装apt/dpkg为主支持debrpm/yum/dnf为主也支持源码编译常见问题依赖库哪里找依赖库太老、源过期所以安装WebScannerService时我先确定了安装包格式。统信UOS走deb方式银河麒麟走rpm或者通用tar包方式。如果你只是把WebScannerService做成一个免安装的tar.gz目录那两边流程就可以统一成“解压配环境写systemd单元”这是最省心的做法。我最终采用的就是tar包形式再把服务做成systemd unit这样两边共用一套方案差异只在于依赖库的补充和权限调整。这一点值得大家借鉴跨发行版部署时不要一开始就纠结打包格式先用通用方式跑通再考虑要不要改造成deb/rpm。2. 环境准备与识别2.1 确认架构、系统版本和基础依赖在动手之前先把机器信息摸清楚。三条命令能解决uname -a cat /etc/os-release getconf LONG_BIT我在UOS上执行时系统显示为UOS Desktop 20x86_64架构。银河麒麟那台跑的是V10 SP1同样x86_64。确认完架构接下来确认Java环境java -version如果提示没有Java两个系统都需要单独安装。UOS上直接sudo apt update sudo apt install openjdk-11-jre-headless银河麒麟如果用yum源还能拉包试一下sudo yum install java-11-openjdk-headless我遇到过一种情况麒麟机器的yum源是内网离线源里面软件包不全Java装不上。这种时候只能从其他机器拷贝JDK目录或者干脆下载对应架构的JDK tar包解压到/opt/jdk然后通过环境变量指向它。国产系统离线部署是常事建议提前准备好JDK 8/11的x86_64和aarch64安装包指不定哪台机器就用上了。2.2 WebScannerService运行基础配置WebScannerService解压后一般会有这几个目录bin、conf、lib、logs、data。它启动时读取conf下的配置文件默认监听一个HTTP端口比如8080或8443。解压之前注意一点目录名字不要带中文和空格否则部分脚本解析路径时会出错。我习惯统一放到/opt/webscanner下面sudo mkdir -p /opt/webscanner sudo tar -zxvf WebScannerService.tar.gz -C /opt/webscanner接下来需要创建专用账号避免用root跑业务服务。这一点在国产系统上同样重要root启动的服务权限过大一旦有漏洞影响面会波及整个系统。创建账号并授权sudo useradd -r -s /sbin/nologin websvc sudo chown -R websvc:websvc /opt/webscanner有些同事习惯用chmod 777一步到位我在实际运维中非常不建议对服务目录这么做。正确的做法是给目录755权限给日志目录单独可写权限给配置目录600权限。权限给得太宽日志和配置文件容易被其他用户读取甚至篡改。3. 统信UOS上的安装与配置3.1 安装步骤与依赖处理在统信UOS上我先确认了系统是否自带libcap、libltdl之类的动态库。WebScannerService里某些二进制组件会依赖这些库缺了启动时会直接报error while loading shared libraries。比较稳妥的方式是用ldd检查启动器依赖ldd /opt/webscanner/bin/scanner-server缺哪些库就补哪些。UOS有桌面源很多库可以直接装sudo apt install libltdl7 libcap2-bin如果某个依赖库在UOS源里找不到试试安装libffi-dev、libpcre3-dev这类开发包有时把开发包装上运行时库也会一起带上。另外统信UOS默认发行版的glibc版本不算旧大多数Release构建的Java服务和原生组件都能跑。我唯一一次遇到so库不兼容是因为WebScannerService里一个内置组件是为CentOS 7编译的链接的是老版本libstdc。这种情况下我建议优先换组件版本不要试图强行替换系统的libstdc否则会引发更大范围的不兼容。3.2 配置WebScannerService参数并做冒烟测试配置方面主要关注三块监听IP和端口、日志路径、数据目录。编辑conf/application.yml或者类似名称的配置做以下修改server: address: 0.0.0.0 port: 8080 logging: file: /opt/webscanner/logs/scanner.log storage: path: /opt/webscanner/data注意地址设置为0.0.0.0意味着监听所有网卡。如果这台机器只在局域网内提供服务建议把监听地址设成具体的内网IP稍微降低暴露面。改完配置后先手动启动一次看看能不能跑起来cd /opt/webscanner sudo -u websvc ./bin/scanner-server start然后看日志和端口tail -f /opt/webscanner/logs/scanner.log ss -tnl | grep 8080日志里出现“Server started successfully”说明服务起来了。用curl做一次接口探测curl -i http://127.0.0.1:8080/health看到HTTP 200就说明基本没问题。3.3 把WebScannerService托管为systemd服务手动启动只是第一步真正的生产环境必须做成系统服务开机自启、崩溃自动拉起。在/etc/systemd/system/webscanner.service新建单元文件[Unit] DescriptionWebScannerService Afternetwork.target [Service] Typeforking Userwebsvc Groupwebsvc ExecStart/opt/webscanner/bin/scanner-server start ExecStop/opt/webscanner/bin/scanner-server stop Restarton-failure RestartSec5 PIDFile/opt/webscanner/run/scanner.pid [Install] WantedBymulti-user.target之所以用Typeforking是因为这类服务脚本启动时会在后台生成子进程主进程退出实际服务进程挂在后台。如果你用Typesimplesystemd会认为主进程一退出服务就结束了这会导致服务状态错误。写完后执行sudo systemctl daemon-reload sudo systemctl enable --now webscanner.service systemctl status webscanner.service这里有一个坑有些启动脚本不会自动创建run目录导致PIDFile指定的pid文件写不进去。解决方法是提前建好目录并赋予websvc用户写权限sudo mkdir -p /opt/webscanner/run sudo chown websvc:websvc /opt/webscanner/run4. 银河麒麟上的安装与适配4.1 银河麒麟的差异化处理换到银河麒麟V10后最直观的感受是软件管理方式回到了rpm体系。WebScannerService的tar包两边通用所以解压部分直接重复上面的操作即可但环境依赖和系统设置需要调整。银河麒麟离线场景特别多内网机器没法访问公网yum源。我建议先把常用的rpm包备份在一个U盘/共享目录里包括java-11-openjdk-headless、libnsl、zlib等。装包的时候用sudo rpm -ivh java-11-openjdk-headless-11.0.x.x86_64.rpm注意rpm -ivh遇到依赖缺失会直接报错这时候不要急着加--nodeps强制跳过否则Java装上了也可能起不来。先看看缺什么缺哪个就补哪个。V10上最常缺的依赖是libnsl.so.1老程序会用到。可以从CentOS 8的仓库里找到libnsl包装上就安静了。4.2 权限、SELinux和防火墙的进一步处理银河麒麟桌面版默认没有强制开启SELinux但有些服务器级定制版默认会开。如果WebScannerService端口无法访问优先排查SELinuxgetenforce如果输出Enforcing可以临时放行端口sudo semanage port -a -t http_port_t -p tcp 8080没有semanage命令就先安装policycoreutils-python-utils。当然如果你觉得维护SELinux策略麻烦也可以临时设置setenforce 0测试但生产环境不建议长期关闭最好维护对应策略。银河麒麟的防火墙默认叫firewalld跟CentOS一样sudo firewall-cmd --permanent --add-port8080/tcp sudo firewall-cmd --reload这一步容易漏。我在UOS上装完服务能通是因为UOS默认防火墙规则比较宽松到了麒麟上端口不通先检查防火墙再检查监听地址顺序不要反。先看ss -tnl确认服务在监听再动手改防火墙别一上来就关防火墙。4.3 源码方式替代安装的适用场景银河麒麟V10的软件源比较“有个性”WebScannerService如果某个原生组件需要编译安装就会出现gcc版本过老的兼容问题。我实测中遇到过需要编译一个扫引擎插件的情况麒麟V10自带的gcc 7.x编译出来的so运行时会有告警但不至于崩溃所以多数场景直接用预编译so更合适。但如果确实需要源码方式安装我总结一下流程sudo yum install gcc gcc-c make cmake tar -zxvf scanner-plugin-src.tar.gz mkdir build cd build cmake .. -DCMAKE_INSTALL_PREFIX/opt/webscanner/plugins make sudo make install编译出错的先确保系统locale是UTF-8部分老代码在GBK环境下编译会报编码错误export LANGen_US.UTF-8然后再重新编译。这个细节虽然小但在麒麟系统上遇到概率不低。5. 常见问题排查与实战避坑5.1 systemd启动失败与日志定位两个系统上我都遇到过systemd启动WebScannerService失败但日志信息很少的情况。排查时先看unit状态systemctl status webscanner.service -l如果看不到有效信息去翻journalctljournalctl -u webscanner.service -n 100 --no-pager实际遇到最多的失败原因是上述的pid目录权限不足、Java路径不对、配置文件中模板变量未被替换。配置文件里有${JAVA_HOME}这类占位符如果没有被脚本正确解析启动脚本会把路径拼错。我的排查顺序是先手动以websvc用户执行启动命令用sudo -u websvc看能不能跑起来能跑起来说明脚本没问题问题在systemd环境不能跑起来跟着日志往前走。如果手动能跑、systemd起不来十有八九是Environment或EnvironmentFile没配好。Java路径不写在脚本里写在service文件里更直观EnvironmentJAVA_HOME/opt/jdk11 EnvironmentPATH/opt/jdk11/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin5.2 依赖库缺失、权限和端口冲突速查表我把两个系统安装过程中遇到的高频问题汇总成一张速查表方便大家直接对照问题现象可能原因解决办法启动报错error while loading shared libraries缺libnsl/libltdl等安装对应库或用ldd逐一定位端口8080已占用其他服务占用了端口ss -tnlp找到占用进程改WebScannerService端口日志报Permission denied服务目录或日志目录属主不对chown -R websvc:websvc /opt/webscannersystemd启动后立刻退出Type类型不对或pid文件路径错误改用Typeforking确认PIDFile目录存在curl内网IP不通防火墙未放行或监听地址为127.0.0.1修改监听地址为0.0.0.0放行防火墙端口页面能开但接口超时后端组件需要libpcap之类权限检查so库权限必要时添加capabilitiesJava版本过低系统自带jre版本太老安装JDK 11并设置JAVA_HOME第三项比较容易被忽视WebScannerService日志里权限报错经常被误判为配置错误我一开始也以为是配置文件格式不对折腾了半天才发现是解压时用了root日志目录虽然能看但websvc用户根本写不进去。所以解压完第一步就做属主修改能少走很多弯路。5.3 跨平台部署前必须养成的三个习惯第一备份配置再修改。修改application.yml前先复制一份application.yml.bak改坏了可以瞬间还原。这个习惯在UOS和麒麟上都救过我。第二先小范围验证再批量推广。我在UOS上跑通之后先把服务开放给测试环境的三个业务方试用观察了两天日志确认没有异常才部署到麒麟生产测试节点。不要一上来就在所有机器上铺开。第三把操作记录写成内部文档。每个系统和版本的差异点都记下来日后同类型的JDK服务也好、其他扫描组件也好都能复用这套笔记。尤其要记“为什么这么改”比如“为什么这台机器不能加--nodeps”因为跳过依赖检查会导致运行时找不到so库这类信息比命令本身更有价值。写在最后统信UOS和银河麒麟虽然都是国产Linux的扛把子但实际适配时各有脾气。我觉得最核心的差别不在包管理而在系统里默认软件的完整度。UOS的桌面体验更贴近Windows用户习惯但源里的开发组件偏少麒麟V10对服务器场景更友好然而离线源一旦缺包补依赖特别考验耐心。这次WebScannerService的安装让我把两套系统的脾气都摸了一遍也验证了一个道理跨平台部署国产系统服务本身能不能跑是一回事系统里有没有配套的依赖、权限、服务管理策略是另一回事。后来我再装类似的Java服务基本都能预判问题出在哪速度比第一次快了很多。如果你手上也正在做类似的国产化适配我的建议是不要被系统的图形界面吓到也不要因为命令行风格变化乱了阵脚。先用通用tar包跑通核心流程再逐步打磨成deb/rpm包最后针对每个系统的防火墙、SELinux、目录权限做差异化调整。这个过程走完你会发现国产系统并没有那么难相处。