V2EX › Planet › 枫言枫语(IPFS版)

个人理财实践04: 理解风险，分散风险

展开 5429 字的全文

Hi,

我是Justin，本系列是我学习如何做个人理财之后的笔记。相关书籍在第一篇文末有列出，今天我的笔记是关于“风险”以及如何用更低的风险，实现同样的收益。

P.S. 本系列引述的书籍列表可参考《个人理财实践》第一篇底部。

P.P.S. 本系列提到的资产大类有多种持有方式，比如股票类资产，炒个股只是其中一种，而且如果不是专门的金融从业人员，不了解风险，不建议把核心资产放在由自己挑选的个股组合里。

P.P.P.S. 保命声明：本人只是个普通的互联网民工，没有金融背景，此系列文章只是本人阅读学习后的实践笔记，绝非暴富指南。投资需要根据每个人的具体需求来定，因此请勿将本系列作为投资建议使用。

1. 风险

《投资最重要的事》有三个章节专门讲理解风险、识别风险和控制风险，《漫步华尔街》也讲了风险与收益的关系。

所谓不入虎穴，焉得虎子，更高的收益往往意味着更高的风险。随着我国金融监管的逐步完善，现在银行理财产品基本都会标识其风险等级，隔壁再放一个“预期收益”，收益率越高的产品风险往往就越高。

这就给人一种错觉：我想要更高的收益就必须承担更高的风险，唯有冒险才能获利。真的是这样吗？有没有可能，**用更小的风险获得相同或更高的收益?**设想一下，如果货币基金和股票型基金的预期年化收益同样是6%，那么你会选择哪个产品？我想应该大部分人都会选择风险更低的货币基金吧。2014年余额宝曾经有过6%以上的收益，吸引了大量用户把闲钱投入其中，成功地让许多普通民众接触到“理财”这个概念。

所以，如果前文的结论是合理的，即：长期来看，股市的回报率是各类资产中最高的，并且我们要一直在场，那么如何降低自己的股票类资产的风险就是一个非常好的理财角度。

我们经常在朋友圈看到各种股神传说，不是晒200%的收益，就是炒股赚了N百万要辞职退休云云。但问题是，“股神”通过这份投资组合一年赚了200%的收益，那么接下来呢？还要长期坚持这份策略吗？这个组合能在牛市中赚到超过市场的钱，那它能在熊市中亏得更少吗？所谓风险，就是当它不发生的时候它就不存在的东西。同样的投资组合，在下一年可能会亏到回不了本。今年赚50%，明年亏50%，赚了还是亏了？

历史上真正好的投资策略，并不是牛市大涨熊市大跌的策略，而是能以更低的风险，获得相同甚至更多的收益的投资组合，这样的组合，可以在牛市时跟着市场一起上涨，在熊市时跌得比市场要少一些。巴菲特的财富从来都不是主要来自牛市的高收益，而是源自极少的亏损和回撤。

那么如何降低投资组合的风险呢？

2. 分散投资

《漫步华尔街》里，作者提到如何通过“分散投资”来降低风险的例子，假设我们生活在一个海岛经济里，这个小岛只有两家企业，一家做度假村的，另一家则卖雨伞。假设天气对这两家企业的业绩影响是：晴天利好度假村，雨伞卖不出去；雨天利好雨伞企业，但度假村没人去。

假设平均有一半晴天一般雨天，那么我们只投雨伞企业或者度假村的话，就会有一半时间是涨一半时间亏，全年收益12.5%。不过其实一年当中有可能出现连续晴天或者连续雨季，所以无论单独投哪一家，风险都很高。

假设我们两个企业都买，那么其中一个企业虽然在亏钱，但另一个企业却在赚钱，这样下来总收益还是12.5%，但需要承担的风险却大大降低了！

这样极简的例子说明了多元化投资，分散风险的优势。这就是你可以获得预期收益同时又降低风险的秘诀。现实世界比这个例子要复杂得多，在我读的书里，作者基本认同“股市中持有50只规模相当且充分多样化的美国股票”，风险会降低很多。但是超过这个数量，风险却不会再有明显下降。

“数量足够多”且“充分多样化”。

前两天我看到“鹿可 Daisy”的一篇文章，讲她创办一个金融类型的公司，专门给早期互联网大佬做资产配置的。她提到，互联网行业早期的大佬们，本身自己任职的公司会发股票（很多互联网企业会让员工持股，作为薪酬回报的一部分），而且他们智力水平很高，平时也会用投资软件炒股，还都倾向于购买自己熟悉的科技股。这其实就是一个非常典型的“不够多样化”的例子。虽然表面上看你手里持有什么腾讯、阿里、小米、快手，再搭配个苹果、特斯拉、英伟达之类，看似分散，A股，港股，美股都有了，实则全部都是科技股，高度集中在同一个行业。这两天因为SVB破产导致美国银行股集体暴跌，就是一个相关性高的股票组合风险发生时的例子，跟我们把钱全部投资雨伞企业没什么区别。

过去几十年，中美互联网科技股是涨得飞起，虽然有2000年科技股泡沫珠玉在前，但是人类能从历史学到的教训就是，什么也学不到。所以我们可以看到很多互联网大佬，前仆后继把钱都投进科技股上。一帆风顺的时候大家赚得盆满钵满，可是你要一直这样持有下去吗？当连续的晴天到来的时候，雨伞企业可是要崩溃的。

1985年创立于美国得克萨斯州的能源类企业安然公司破产的例子更佳极端。一开始，安然公司还曾连续六年被《财富》杂志评选为“美国最具创新精神公司”，风头正劲。可是到了2002年，安然却在短短几周内宣告破产。《漫步华尔街》讲述了了历史上多个泡沫案例，我觉得这个案例是我读到最能令人警醒的一个。

因为安然公司倒闭前夕，两万多名员工风光无限，他们手持大量安然股票，同时也购买了公司的养老金计划。在繁荣时代这些操作看起来不仅没有问题，而且令人无比羡慕。但随着安然公司的倒下，这些员工发现他们一夜之间突然一无所有，股票不值钱，养老金也没了。在安然工作了这么多年，最后连自己的退休都成了问题。他们的投资组合最大的问题就在于，把绝大部分资产跟一家公司牢牢绑定了。一荣俱荣，一损俱损。

我学会操作股票软件之后，也购买过Apple, Bilibili等互联网企业的股票，在牛市的时候感觉自己像个股神，虽然还没膨胀到发朋友圈的地步，但也觉得赚钱是自己独具慧眼。随着这两年熊市的到来，账户里股票资产大幅缩水，心中滋味自是苦不堪言。虽然我没有把所有资产都绑定到自己任职的公司，但也尝到了互联网企业团灭的苦（虽然比起教培还是要好一些）。

那么普通人在股市中如何分散风险呢？《共同基金常识》的作者约翰·博格根据研究提出，在美股市场，如果“持有50只规模相当且充分多样化的股票”，则风险基本上降低到跟整个市场是差不多的。约翰·博格据此创造了世界上第一支指数基金：Vangard 500 Index Fund，先锋500指数基金。所以对普通投资者来说，可以通过指数基金，承担较低的风险，享受市场整体收益。

有别于基金管理人按照自己的喜好和策略，自由更换投资组合的主动管理型基金，指数基金一般是被动型的，基金经理直接按照该指数中公司的市值分布进行投资。所以通过基金持有股票，尤其是指数基金来持有，会是对普通投资者非常友好的一种方式。既不需要自己选择投资组合，也不需要担心主动管理型基金因为频繁换手导致的高额交易费蚕食收益，更不用担心那些“业绩姣好的基金”在熊市时迎来加倍的下跌幅度。

通过投资指数基金，普通投资者可以轻易获得整个市场的收益，这些收益从哪里来呢？主要是上市企业经营后的利润分红、股息、股价上涨等因素带来的。几位大师的书都表示：买入指数基金就可以轻松跑赢90%的投资者。至于为什么大部份主动管理型基金跑不赢市场，《共同基金》讲得非常详细，《漫步华尔街》稍微没那么详细但是非常好懂。个人投资者在股票市场中参与的不是“零和博弈”而是“负和博弈”，这里我们就不再展开，感兴趣的读者可以阅读这两本书。

3. 资产大类

上面关于股市如何降低风险，选择相关性较低的组合，基本上以指数型基金最为省心省力。但是这种做法只能分散非系统性风险，我们在股市里的资产还会受到系统性风险的威胁。所谓系统性风险就是该市场上所有公司的因素导致的风险，通常受市场整体政治、经济、社会等因素的影响。

比如投资美股，买了指数基金分散单一股票的风险，但是美国遭遇金融危机，像08年一样，我们的投资遭受了巨大损失，这种风险是无法通过购买多个股票来规避的。

可行的办法有：投资其他相关性较弱的市场，分散单一市场带来的风险。比如前几十年美国的投资者喜欢投新兴国家市场，包括中国在内的各个发展中国家，因为那时候企业的体量小，有更大的发展潜力。所以包括创办了桥水基金的瑞·达利欧──他后来写的《原则》在中国也十分畅销──都纷纷在这些新兴市场寻找机会。

如今普通投资者也可以在这两年大有崛起之势的东南亚市场寻找投资机会，但是像越南、印度这样的市场，往往规范程度不够，监管还没跟上，所以风险也是巨大的。

另一种比较稳健的方式是，通过投资几种不相关的资产大类来分散风险。

资产大类的定义我找到一份渤海证券研究所的PDF：《金融周期视角下大类资产如何配置》，稍微有点学术化，大类资产要满足三个特征：

同质性：同一类别资产具有类似的描述和统计特征
排他性：一项资产不能同时归属两个类别
相关性：同一类别资产相关性高，不同类别资产的相关性不能太高

目前通常涉及的资产类别包括：

股票(如国内、新兴市场、发达国家股票等，可通过基金持有)
债券(如利率债、信用债;新兴市场、发达国家债券等，可通过基金持有)
现金及等价物(如货币基金、7 天回购、3 个月期国债等)
另类投资(如房地产、大宗商品、PE、VC、基础设施投资等)

可以看到，股票、债券和现金我们都可以通过基金持有，大大降低了个人投资的门槛，也是《漫步华尔街》等书推荐的个人投资者配置的大类。至于极高风险的“金融衍生品”、“期货”之类，我自觉没有这个能力去理解和操作。

4. 核心资产和非核心资产

在《毫无意义的工作》(Bullshit Jobs)一书中，David提到一个心理实验：

早在1901年，德国心理学家卡尔·格鲁斯就发现，婴儿在第一次发现自己的所作所为能对这个世界产生可预测的影响时，会表现得异常开心。而这种影响是什么，以及对婴儿是否有益，都跟这份开心毫无关联。比如，某个婴儿随机动了一下胳膊，铅笔就动了，然后它发现自己重新做一次刚才那个动作，铅笔又动了，这个婴儿的脸上就会露出非常愉快的表情。对此，格鲁斯创造了“身为原因的快感”这个说法，并表示正是这种快感构成了游戏的基础。在他看来，快感就是为了行使权力而行使权力。

所以希望自己能对这个世界产生影响是根植于人类的天性的，在投资上表现为希望自己选择股票组合，一旦押中，会觉得全靠自己慧眼识珠，非常开心。

这时候我们就需要区分好核心资产和非核心资产。且慢的四笔钱可以帮助我们留出日常用度的活期现金，留出足够的保险费给意外托底，留出足够的储蓄给未来3年买房/买车/结婚使用，只有5年以上用不到的钱，才是可以用于长期投资的钱。

所以，如果真的想验证自己是否慧眼，可以分出来一个独立账户管理“非核心资产”，用一小部分资金去过瘾，而不是全盘操作。否则一旦失手，轻则买房的首付没了，资产缩水，重则倾家荡产，妻离子散。

而且投资也需要时间，世上不存在一夜暴富指南。正如《漫步华尔街》所云:

如果你想得到快速致富的投资策略，那本书不适合你。提供一朝暴富的投资策略，留给那些招摇撞骗的江湖术士去做吧。要是相信他们，你只会快速致穷。要致富，你得慢慢来，而且现在就得行动起来。

参考资料

个人理财实践03: 从财务统计开始

展开 3187 字的全文

Hi,

我是Justin，这是《我的个人理财实践》第三篇，从这一篇开始，我们终于可以“实际操作”一下了。

P.S. 本系列引述的书籍列表可参考《个人理财实践》第一篇底部。

P.P.S. 本系列提到的资产大类有多种持有方式，比如股票类资产，炒个股只是其中一种，而且如果不是专门的金融从业人员，不了解风险，不建议把核心资产放在由自己挑选的个股组合里。

P.P.P.S. 保命声明：本人只是个普通的互联网民工，没有金融背景，此系列文章只是本人阅读学习后的实践笔记，绝非暴富指南。投资需要根据每个人的具体需求来定，因此请勿将本系列作为投资建议使用。

1. 从记账开始，实现个人财务的详细统计

所谓“知己知彼，百战不殆”。想理财首先需要搞清楚自己的财务状况。两年前我在这篇文章介绍了我的自动化记账方法。得益于电子支付方式在中国的普及，我只需要拿到微信、支付宝、银行卡、信用卡的账单，就能统计出我的每一笔收支，实现真正的个人财务统计。

也谈钱在《工薪族财务自由说明书》里提到：

“你可能觉得自己估算一下，就能知道大概的开支水平了。但是根据我的经验，估算的数值再翻一倍，有可能才是你的实际开销。因为估算时很可能没有考虑这些因素：

琐碎的开支，这些开支单笔数额很小但总额很大。

手机、电脑、家电等大件开销。

旅游、娱乐、聚会等不定期开销。

意外导致的开销。

Winnie也在《不上班也有钱》里提到记账的重要性，这两位作者都是能把手动记账这件事情坚持下来的。我很有自知之明，知道我做不到，所以才发挥程序员的优势，开发了适合我个人使用的记账工具。类似的工具还有MoneyWiz，Beancount之类的，希望大家都能找到适合自己的武器。

最近整理、阅读这些书籍我才知道记账之后有一个非常直接的好处：设定预算。但是一直以来我的预算都做得非常糟糕，所以也是从零开始学起，等我实践一段时间如果有效我再分享一下。

需要被统计的数据包括且不限于以下类别：

现有资产

名下所有银行账户、公积金账户、医保账户、股票账户、理财账户等等。

现有债务

名下所有贷款（房贷/车贷等）、信用卡债务，各种“某呗”、“某条”等借贷类型的债务。

收入/开支

每个月的税前收入、交的税，包括工资收入和非工资收入
每一个App服务的月度、年度收费，比如视频网站的会员，主机游戏的会员，各种App的订阅服务等等
车子每年保养、保险、汽油费等可根据历史账单估算的支出
停车费、水电费、物业管理费、宽带费等生活支出

2. 年龄影响投资理财非常重要的因素

普通人二三十岁时和五六十岁时，对投资理财的目标、风险承担能力有很大的区别。

大部份年轻人应该做“长期理财”，投资期限可以很长，不仅因为年轻人距离退休的时间更长，可以承担更大的风险，而且年轻人正处于职业生涯的起步阶段，更应该投资自己，考虑非金融类资产：个人技能、职业生涯等额外因素。

理财是对资产的管理，资产不仅有股票、债券、现金和不动产这些金融资产，我们自己也是一个非常重要的资产。年轻人提升自己的工作能力积累本金，而且多数时候，普通人劳动所得才是自己资产组合的最大增长。“留得青山在，哪怕没柴烧”，在应对极端风险的时候，自己也是最后保底的资产。

如果年龄已经到了50岁，那么可承担的风险会更小，理论上收入增长也会逐渐平缓，所以在资产配置中也应作出相应调整。

比如25岁的年轻人可以把股票类资产（建议指数基金方式持有）占到个人总资产的70%以上，因为这时候投资者工作收入稳定，可投资时间也长，能承担更大的风险，而35-45岁的投资者，则所谓“上有老下有小”，可承担风险的能力会逐步减弱。在《漫步华尔街》中，伯顿·马尔基尔给出一个示例:

这些数字只是作者提出的参考案例，具体的比例还是应该按照每个人不同的情况进行配置。另外，我们不厌其烦地再次推荐且慢的“四笔钱”，只把5年以上用不到的钱拿来投资。

除了风险承受能力，财富对于人的幸福感的提升也跟年龄有关。年轻人的职业生涯有无数上升的可能，虽然当下收入不高，但是能喝到一杯奶茶，看一场电影就能感受到不少幸福度的提升。这阶段可以不用为了储蓄省到奶茶都不舍得喝的程度，毕竟我们赚钱理财不是为了数字本身，而是为了享受财富给我们带来的幸福生活。

3. 划分资产大类

做完这些统计之后就能知道自己的一些基础信息：

自己是否入不敷出：如果是的话，首要问题不是解决“理财”而是想办法开源节流。可以参考也谈钱与Winnie的书。
当下自己的投资组合、资产配置是否合理？（存量资产）
每个月是否有新增现金流需要管理？（增量资产）

有人可能会说，“虽然我还有些盈余，但是钱不多，还需要理财吗？”当然是要的。有些资产的购买会有一些门槛，比如N万起购，但是像“XX宝”这样的货币基金几乎没有门槛。至于我们手里的这些钱，无论多寡，怎么配置才更合理，目前没有任何人能打包票说他的策略就是最好的，稳赚不赔的。

那些写出投资经典的作者，不是经济学教授，就是大型基金的创始人，他们无法做到稳赚不赔，所以任何理财App、银行App、银行经理、基金经理都不行。

我们真正要做的不是“无风险一本万利”，而是“与风险同行”，让时间熨平市场的波动。获得个人资产的全部信息之后，我们可以用一个简单的Excel表格按照各资产大类进行划分。假设小明统计完手里的资产，一共有100万，按照股票类、债券类、现金类划分如下:

仅看这个图表我脑子里已经有好几个问题：

为什么要划分成这几个大类？
小明持有股票比例93%会不会太高了？（股票风险挺高的）
这个比例合理吗？股、债、现金的比例怎样才比较合适呢？有必要配置债券吗？
每个资产大类要怎么持有呢？（比如股票类资产，炒股只是其中一种方式，我们还可以通过基金持有股票资产。）

我们下一篇再见。

参考资料

个人理财实践02: 投资是一件长期的事

展开 3767 字的全文

Hi,

我是Justin，这是我的个人理财实践第二篇，上一篇开头提到我的投资期限是5年以上，但其实我个人真实的想法是：投资期限应该是一辈子，只要我还活着，就需要给自己理财。

那么为什么我写出来“5年”这个时间窗口呢？

P.S. 本系列引述的书籍列表可参考《个人理财实践》第一篇底部。

P.P.S. 本系列提到的资产大类有多种持有方式，比如股票类资产，炒个股只是其中一种，而且如果不是专门的金融从业人员，不了解风险，不建议把核心资产放在由自己挑选的个股组合里。

P.P.P.S. 保命声明：本人只是个普通的互联网民工，没有金融背景，此系列文章只是本人阅读学习后的实践笔记，绝非暴富指南。投资需要根据每个人的具体需求来定，因此请勿将本系列作为投资建议使用。

1. 长期来看，股票类资产的回报率是最高的

牛市期间不乏“短线操作”的“股神”，噼里啪啦短短几天多次买入卖出，然后发个“+200%”的截图，也时常听到有人说某某某“赚了N百万”准备辞职之类。但熊市期间这些“股神”似乎就集体消失了？

短线操作的问题在于高昂的交易成本与股市短期内的不可预测性。

我读到的书基本都引述了宾夕法尼亚大学沃顿商学院的杰里米·西格尔（Jeremy J. Siegel）教授对美国金融资产从1802年到2008年的的研究成果基本上被上述所有作品引用，大意是：长期来看，股票在各大类资产中的回报是最高的。

图中几个资产大类分别是：股票、债券、短期国库债、黄金、美元。

因此，我的理财组合里需要长期持有股票类资产，不做短线操作。所谓的“短线操作高手”，除非能每一次操作都押中，且收获足够的回报（以抵消高昂的交易费用），否则跟赌博无异。

退一步讲，即便有人运气特别好，一次操作“赚了N百万”，那么接下来呢？他要继续参与赌博，还是金盆洗手呢？即便他彻底洗手，那长期管理自己的资产总是要的吧，如果全部投货币基金连通胀都跑不过。

2. 市场周期，均值回归

股市短期内无法预测，但长期来看回报是最高的，而且市场往往有很少的几个瞬间可以赚钱，概率小得跟被闪电劈中差不多。

巴菲特说“闪电劈下来的时候，你一定要在现场”。怎么保证我们一直在现场呢？最好的策略当然是永远不离开，一直持有股票类资产。为什么？

《共同基金常识》引述了园丁强斯与总统对话的小故事：

强斯是一个富人家里的园丁，平时除了看电视就是打理花园。有一天他难得出门就被车撞了，车的主人是总统顾问。总统到顾问家时正好强斯也在那里养病，当时经济形势不佳，美国股市濒临崩溃，总统就问他说对当前的经济形势有什么看法。

强斯说：“在花园里，草木生长顺应季节，有春夏，也有秋冬，然后又是春夏，只要草木的根基未受损伤，它们就可以顺利生长。”

总统非常高兴：“我必须承认，这是很长时间以来我听到最令人振奋和乐观的看法。“我们中的很多人忘记了自然界与人类社会的相通之处。正如自然界一样，从长期来看，我们的经济体系保持着稳定和理性，这就是我们不必害怕自然规律的原因……我们坦然迎接不可避免的季节更替，却为经济的周期变动而烦恼，我们是多么愚蠢啊！”

总统说的周期变动就是股市中的市场周期，从历史数据来看，市场具有牛熊转换的周期，牛市不会一直上涨，涨到了头就会转跌变成熊市，熊市也不会一直下跌，跌到谷底就会回归上涨。

实践“价值投资”一派的投资人也相信股市有内在价值，虽然短期内股市会波动，但是长期来看，会出现均值回归现象：过高或过低的定价最终会以很高的概率向价值中枢回归。

基于此，我们在牛市大涨的时候要警惕狂喜情绪，适时卖出，在熊市下跌时要抓住悲观机遇，便宜买入。因为我们一直在场，所以不会错过上涨的机会，同时也需要体会下跌时的痛苦。只有认识到市场周期，相信均值回归，才能做到在熊市买入，耐心等待春暖花开的到来。

大约六、七年前我跟朋友聊天的时候，提到加密货币的未来，提到股市的未来。当时恰逢牛市，手里的个股都在涨，我的朋友问题：“你知道市场是有周期的吧？”我还真不知道，问：“周期是啥？”但我们很快就聊别的了。如果我当时能好好学习下市场周期相关的概念，也许在经历我的第一个牛熊转换的时候我能少交点学费呢？😂

3. “长期”到底有多长？

因为股票类资产的回报率高，所以我们要持有，因为牛熊转换时间可能会很长，所以我们要长期持有。那么“长期”到底有多长？

因人而异，对我来说，我觉得是一辈子，也即普通人的预期寿命，中国的数据是77.93岁。但更具普适性的期限，我觉得可以参考有知有行的长钱计划，把这笔设定为“5年以上用不到的钱”。因为根据历史数据，股市一次牛熊差不多就是3-5年的时间。这里再次强烈推荐且慢的“四笔钱”，非常亲民好懂，永远不要把“计划3年内要用的钱（比如买房）”投入股市，投资理财不是赌博。

这样我们又多了一个问题：如果我把钱全部投入股票类资产（我个人会通过指数基金持有，而不是自己选择个股，后续会解释），那么我应该给它分配多高的比例呢？这点我们留到“资产配置”来聊。

有知有行设定的5年是考虑了大众比较好接受的时间，不太短也不太长。不过5年之后又是下一个5年，一直重复这个过程最终也是一辈子。一辈子很长，我们有好几十年的时间可以去积累和布局，等待春暖花开的时候到来；一辈子又很短，我们只剩下不多的时间去陪伴家人，去享受生活，做自己真正想做的事情。

4. 理财的最终目标就是无需理财

虽然不是所有人都能像“也谈钱”一样，赚够500万本金然后宣布FIRE（财务自由，提早退休，Financial Independence, Retire Early），但是至少我们可以像《你当像鸟飞往你的山》（Educated）的作者塔拉·韦斯特弗（Tara Westover）一样，在第一次收到主教帮她申请的助学金之后，她想:

我的银行账户里有一千美元。光是想想就觉得奇怪，更别提说出来了。一千美元，额外的，而且是我不迫切需要的。我花了几星期才接受这个事实，这时我才开始体会到金钱的最大优势：考虑金钱以外的事情的能力。

如果把“理财”的时间维度拉长到一辈子，那么“理财”肯定不是为了“赚大钱”而理，学习“理财”最终就是为了不用“理财”。这点跟“也谈钱”的“FIRE”，有知有行的“睡得着”是类似的。

同时，对于年轻人来说，也不要过分关注“金融类资产”，人的时间精力有限，投资自己的“非金融类资产”，比如你的职业技能，兴趣爱好，拓展社交，陪伴家人，这些“非金融类资产”往往会带来无法预想的收获。而且，一个人好好努力赚钱，积累本金，要比不分昼夜盯盘，指望“股运”降临靠谱得多了。

台湾的Winnie写了一本书《不上班也有钱》，讲述她和丈夫老J两人，如何从普普通通甚至毫无经验的求职者开始，努力工作，通过极简生活，一步步存钱理财，达到他们两人心目中的“财务自由”，然后开始环游世界。

B站有对年轻的Up主夫妻，他们希望通过工作积累到380万人民币的本金，然后辞职。他们每个月都在B站发布他们的理财和收支状况。

我想起以前考驾照的时候，不仅教练态度很差，教的都是死记硬背的东西，没有理论，感觉要考过挺难的。后来我给自己一个心理暗示：路上这么多人开车开得好好的呢，如果大家都行，我肯定也行！

这两天我看到知乎和App Store Today都贴出来“年轻人攒钱”的话题，感觉现在的年轻人真的太棒了，这么早就有理财意识。希望各位读者朋友都能顺利理财，把宝贵的时间精力用在自己真正热爱的事情上。

参考资料

个人理财实践01: 教训与实践

展开 3729 字的全文

Hi,

我是Justin，最近一直在读个人投资理财相关的书，又恰逢SVB破产掀起波澜，市场情绪波动激烈。于是近期我台就以“小白如何理财，躺着赚钱睡得着睡得香”为主题，录制了今年第一期读书系列节目（近期就会上线，敬请期待哟😘）。

我把准备节目时的笔记扩展为《我的个人理财实践》系列，在此分享，也作我个人回顾之用。

保命声明：本人只是个普通的互联网民工，没有金融背景，此系列文章只是本人阅读学习后的实践笔记，绝非暴富指南。投资需要根据每个人的具体需求来定，因此请勿将本系列作为投资建议使用。

0. 我当前的理财策略是怎样的？

先说结论，当前我的理财策略如下：

投资期限: 5年以上
资产大类配置目标

股票类: 60%
- 指数化目标50%，未来期望进一步提升指数化比例
债券类: 20%
- 以债券基金持有
现金类: 20%
- 以货币基金持有

房产/债务追踪管理
定期导入电子账单统计每一笔收支

每月一次，包括债务追踪管理

资产再平衡

存量资产根据配置目标，分批卖出上涨资产，买入下跌资产（每年一次，被动择时，高抛低吸）
增量资产以定投形式流入大类

为何如此设计？

为什么把投资期限设定为5年以上？

资产大类是什么？为什么配置目标是这个比例？

股票指数化是什么意思？个股怎么选择？

根据这个策略，现在的我赚钱了吗？其实现在股市下行，我的股票类资产也是下跌的。但是我睡得着，因为我相信市场周期，相信均值回归，而且我的债券类和现金类资产没有亏钱，所以只要调整好布局，耐心等待牛市到来就好了。从这点就可以看出来，每个人对涨跌的感受是不一样的，所以务必不要照抄任何人给出的配置建议。

1. 教训与实践

2021年初我在《我是如何统计个人财务状况的》分享了我做自动化记账的事情。当时我留下了一个问题:

接下来我也不知道能从中分析出什么，能给我带来什么。我希望掌握全面财务状况之后，能帮助我更好地作出投资金融、投资自己或者其他的决策，但是我发现我并不知道应该怎么做。

现在看来，详实的记账习惯确实是投资理财的第0步，相比于手动记账来说，我自己编写自动化工具，依赖各类电子账单也是这个习惯能够保持下来的重要原因。

后来在《我的个人OKR实践》里我提到有知有行开发的《投资第一课》(感谢 @rocry推荐)、且慢的“四笔钱”还有也谈钱的文章，从这些非常棒的分享中我学到了一点皮毛。将其运用在我个人理财实践中，主要表现为通过定投的方式对资产大类进行调整，虽然彼时我尚不清楚资产大类是哪些，为什么要这样配置。

但是通过这几年穿越牛熊的实践，我大概感受到了“长期”的魅力及其背后的逻辑。上周（2023年3月10日）硅谷银行（SVB）流动性问题消息传来，不到48小时就宣告倒闭，引发市场恐慌情绪。大家担心如果SVB像08年次贷危机一样触发连锁反应成片倒下，那么2023年可能就是金融危机发生之时。结果周末美联储出手，到了周一，市场又大涨了一轮。这个例子正是股票市场在短期内无法预测的绝佳案例，也是个人投资者对“股市风险很大”的具象感受。

“长期”的魅力就在于穿越周期之时，可以忽略随机波动带来的焦虑或狂喜。“别人贪婪我恐惧，别人恐惧我贪婪”，这句话讲的是牛市到顶的时候恐惧，熊市到底的时候贪婪，实际上这样的瞬间并不多见，而且基于短期内市场无法预测的逻辑，我们也几乎不可能正确抓住尖峰和谷底。既然无法控制，那就不要控制。相信市场周期，相信均值回归，在市场下跌时布局，上涨时收获。而这，需要个人投资者有“长期”的意识。

最近我阅读了一些有意思的投资理财书籍，通俗版的有飞泥翱空的《傻瓜式投资》、也谈钱的《工薪族财务自由说明书》，大师经典的有伯顿·马尔基尔的《漫步华尔街（原书第12版）》、霍华德·马克斯的《投资最重要的事》、大卫·F·斯文森的《不落俗套的成功》，还有约翰·博格的《共同基金常识》。

这些书与有知有行的理念相符，但读书比读文章篇幅更长，论据更多，论证过程更加细致。像《漫步华尔街》这样常年更新的经典，首版发行于1973年，我阅读的第12版更新于2019年，其理论历久弥新，常读常新。如果读者朋友没时间读完全部，我觉得只读这一本也足够了。

不过我也没自大到觉得读了几本书就是投资大师。皮毛总归是皮毛，人至少需要在一次牛熊转换之间交够“学费”才能自知。我目前边学习边探索，自知打不过金融专业人士，只求“学费”可以少交一点，找到适合自己的理财方式，晚上睡得着就足够了。

毕竟理财的目标是不需要花时间精力去理财，把我们有限的时间精力花在更重要的事情上。我记得以前在Tim Urban的Blog读到他关于“时间”的看法，其中有一个观点非常触动人心：想一下你一年见你父母几次？再想一下人类平均寿命，减去父母当下的年龄，再相乘，这就是你还能见到父母的次数。

人类的大脑会选择性忽略大量信息，以便关注当下。诚然，大部份信息是无效的，但有时候也容易让我们忽略人生真正重要的事情。赚钱不是为了看着银行存款的数字慢慢变大，而是为了这份货币购买力背后能带给我们的生活，钱可以多赚可以少赚，但时间一天就24小时。在德国的也谈钱攒够500万本金就财务自由，台湾的Winnie和她老公攒够钱就开始环游世界，虽然我没有到想要这样做的地步，但有一点是共通的：我不想成为某个东西的奴隶，而希望掌握自己人生更多的主动权。

Kevin Kelly 70岁生日的建议提到:

99%的时间里，真正关键的时刻就是此刻。 About 99% of the time, the right time is right now.

无论什么时候开始都不晚，从此刻开始，从储蓄开始，好好理财吧。

参考资料

Vol. 85 科技快乐星球15: 全世界都在玩ChatGPT

展开 1011 字的全文

Vol. 84 数码荔枝: 正版软件生态、独立开发与远程办公

展开 1269 字的全文

Vol. 83 科技快乐星球14: 苹果发布M2 Mac, CES展会等

展开 1158 字的全文

Vol. 82 余晟: 在德国工作和生活是什么体验？

展开 1578 字的全文

2022 观影推荐之新上映影剧

展开 15259 字的全文

书接上回: 《2022 观影推荐之合家欢影剧》，本文主要列出2022年度上映的，我看过的电影和电视剧。

这些作品就不全是嘻嘻哈哈合家欢了，诸位可自行选择感兴趣的来看。

另文末附带索引和我今年看过的影视作品列表，仅供诸君参考。

一、2022年上映的电影

1. 分手的决心

汤唯2022年凭借此片获春史电影奖、釜日电影奖、韩国电影评论家协会奖、青龙电影奖、韩国电影制作人协会奖、韩国艺术评论家协会、Cine21电影奖、黄金摄影奖全部最佳女主角奖。影片本身更是获奖无数。

影片讲述的故事不是很复杂，包裹一个藏得不是特别深的悬念。但无论摄影风格，叙事节奏，还是汤唯的表演，都值得称赞。

我看下来唯一觉得不过瘾的还是悬念最终的解法，但影片本身质量很高，值得一看。

2. 套装

算是小成本制作单一场景电影，好不好看全靠编剧和演员们的演技。类似的影片有《彗星来的那一夜》，但本作的悬疑属性相对没那么强。

影片场景是在美国芝加哥一家英国人开的裁缝店，在黑帮大佬与夹缝中生存的小裁缝之间展开一场张力十足的表演。106分钟，情节一幕接一幕，峰回路转，全程紧张，是一部制作精良的小品。

3. 花束般的恋爱

movie-2022-I-Fell-in-Love-Like-a-Flower-Bouquet

坂元裕二警告！坂元裕二警告！

2022 年初上映的爱情电影，女主角是在《垫底辣妹》中饰演工藤沙耶加的有村架纯，男主角是《银魂》电影版中的新八鸡──菅田将晖。

坂元裕二这个人，从《东京爱情故事》就不知道赚走多少人的眼泪，那时候他对社畜下手还比较轻一点，到了 2017 年的《四重奏》，松隆子、满岛光的落泪可是深深刺入社畜们的心脏啊。

所以《花束般的恋爱》自然也不能例外。一开始就是美好的校园时代爱情，在影片展示两位主角一边艰难地努力生活，一边开心地有说有笑的时候，大家就要小心了，泪点全部藏在美好的细节里。

坂元裕二深知社畜心态，每个人看他的作品，被触动之处往往各不相同。我最受打动的是第二次在角川书店，有村架纯拿着文学杂志，开心地准备递给男主角的那一刻。脸上的笑容消失的刹那，就是美好的向往破碎的瞬间。

4. 隐入尘烟

中国西北农村，海清主演。导演李睿珺出生甘肃张掖，本片的拍摄地点就在那里。为了拍好这部影片，导演回到自己老家当了一年的农民，海清也在甘肃体验了10个月农村生活。除了海清是专业演员以外，影片中的其他角色都是当地农民。

影片上映以后引发较多争议和讨论，我觉得不用理会。观影过程中有种难以言喻的的郁塞，有几分熟悉，有几分陌生，几分距离，几分亲切。在距离与亲切之间，存在一个无法描述的空间，观影的感受在这个空间里膨胀与充盈。

我是生于南方长于南方的人，这份陌生感可能还更多一些。观影过程中有时觉得无聊，只是这种无聊还夹着不想错过。有点像观看《牯岭街少年杀人事件》熟悉与距离并存，237分钟里有多少让人觉得疲惫又不愿错过的片段呢？

5. 子弹列车

跟前文提到的《套装》类似，基本上全片场景集中在列车里，多位杀手之间的猜疑构成影片的张力，互相的误会爆出不少笑点。

主演布拉德皮特宝刀未老，导演David Leitch此前导过《死侍》、《疾速追杀》(John Wick)等爽片，本作也可以当作爽片来看，适合辅以爆米花食用。

6. 坏蛋联盟

合家欢篇已有简介。

7. 瞬息全宇宙

合家欢篇已有简介，补充一下，杨紫琼凭借此片获得金球奖最佳女演员，她是第二位获得金球奖影后的亚裔女演员，第一位是奥卡菲娜，在本片中出演杨紫琼女儿的角色，她获得金球奖的影片是2019年上映的《别告诉她》(The Farewell)。

8. 巴黎夜旅人

不知道是不是跟法国城市的美丽与优雅相关，法国的电影总是日常得那么浪漫，像午夜电台，用轻柔舒缓的声线，娓娓道出震颤心灵的故事。

影片中的角色，有艰难生活但坚强勇敢的妈妈，有年少轻狂的孩子，有迷途流浪的旅人，不同的灵魂在深夜的巴黎相遇，他们的人生轨迹在纠缠中产生凄美的故事。

我挺喜欢法国的电影，就像落日中的巴黎，城市美得那么不真实，街头的行人匆匆，地下铁的混乱与幽暗，各色人们的人生轨迹在这座城市叠加与激荡，既让我觉得美不胜收，又有一种恍惚的不真实感。

这种氛围很好，像《情书》，像《四月物语》，日本的影片有日本独有的空气，法国的电影也有法国特别的空气。

我想到《登堂入室》与《世界上最糟糕的人》，都是不错的具有法国氛围的电影，有兴趣的读者不妨找来看看。

9. RRR

合家欢篇已有简介。

10. 壮志凌云2：独行侠

此处应有 Berlin 乐队的 Take My Breath Away 主题曲响起。

本作为 1986 年的第一部的续集，《Top Gun: Maverick》，Maverick 即阿汤哥在其中饰演的角色 Pete Mitchell 在空军的绰号。剧情上是第一部的延伸，Maverick作为一个“传奇 Loser”因为犯错而被下放成为教育新兵的教官。

在这个过程中，Maverick 既要面对不知天高地厚的优秀新兵，"Best of the Best"，又要面对自己内心多年来的挣扎。剧情上其实乏善可陈，都是套路，但是阿汤哥几次高光时刻拍得还是令人感觉惊心动魄，效果很不错。属于比较热血的类型。

看完新作我就去把 1986 年的第一部补了，不得不说，这部电影的原声大碟确实很赞。另外看了第一部才知道第二部里大量 callback 第一部的细节，再加上年仅 24 的阿汤哥看上去特别稚气天真的脸，疯狂追求他的教官大姐姐，真是漫画感太强了😂

11. 阿凡达：水之道

合家欢篇已作简介。

12. 利刃出鞘2

第一部《利刃出鞘》(Knives Out)于2019年上映，主演是007的扮演者 Daniel Craig，属于有点阿加莎式的悬疑犯罪片。第一部的女主角也是后来《007: 无暇赴死》中的古巴女神 Ana de Armas。

第一部无论拍摄手法、故事编排，还是演员的演出都很不错，于是我对第二部的期待很高。虽然一般来说，如果第一部的评价很高的话，续集一般都会令人失望。

所以不出意外地第二部崩得厉害。导演与编剧依然是 Rian Johnson，主演大侦探也还是 Daniel Craig。故事主要场景发生在一个无人岛上，属于一场“富豪朋友”的聚会，有点阿加莎《无人生还》的意味。

可惜的是关键情节转折“碰巧”的有点多，让我觉得编剧有种“偷懒”的嫌疑。但整体而言，影片质量还不错，可配合爆米花食用。

13. 不

无论看的过程还是看完了以后都让我觉得一言难尽的作品。

导演 Jordan Peele 此前自编自导过2017年的《逃出绝命镇》(Get Out)，2019年的《我们》(Us)，都是跟种族主义（尤其黑人）相关的惊悚类型片。

在本作《不》(Nope)中，Jordan Peele 继续自编自导，从惊悚片中寻找新的尝试与新的角度。外星人片我们见多了，但是像 Jordan 设计的这样花里胡哨的外星人我还是第一次见。

对于本作我只能说我理解能力有限，还是多来点《逃出绝命镇》这样的作品我觉得还比较好消化。至今 Betty Gabriel 在影片中又哭又笑的一幕仍深深烙印在我记忆里，每次想起都非常佩服 Betty 的演技与影片对矛盾冲突的极致表现力。

14. 奇异博士2：疯狂多元宇宙 (不推荐)

一言以蔽之：漫威十年最后一部影片《复仇者联盟4：终局之战》(Avengers: Endgame)之后，漫威的影片乏善可陈。不知道漫威还要休养生息多久，才能再出佳片。

二、2022年上映的电视剧

聊完 2022 上映的电影之后，我们来看看 2022 上映的剧集。出乎我意料的是，不仅 Apple TV+ 再造神作，2022 年 AMC 与 Amazon 都有不错的作品上映。

1. 人生切割术第一季

Apple TV+ 2022 最强作品无疑。

剧集基于科幻假设，假如一个人工作的记忆可以和生活的记忆分开(Severance)，是不是就可以解决“工作没有意义”的问题，让“本体”过上天天不上班的美好生活呢？

这项手术被发明出来，真是让打工人落泪，资本家狂喜啊。

我想这部剧之所以能受到那么多人的欢迎，跟 David Graeber 写的《毫无意义的工作》(Bullshit Jobs)是有异曲同工之妙的。

我们且看剧中人物，如何在小小迷宫中觉醒与突围。主悬念非常新颖有创意，这是本剧的最大看点没有之一。接下来故事展开的套路就比较常见，但由于核心悬念足够新鲜，所以发生的许多故事就很有趣。本剧一共 9 集，中间过程稍有乏善可陈之起伏（俗称拖进度，现在叫水视频），但总体来说质量还是很高的。

据说第二季可能会在今年或明年初上映，我非常期待。

2. 万神殿第一季

画风清奇的科幻动画片，改编自美籍华裔作家 Ken Liu (刘宇昆)的短篇小说。由 AMC+ 发行。

近年来短视频的火爆让算法推荐这样的 AI 应用进入公众视野，2022 年无论 OpenAI 的 ChatGPT，还是 Midjourney 等各种 AIGC 产品的流行更是让“人工智能”的热度再次登顶。

万神殿的故事可谓对人工智能的终极问题的探讨：人造意识是否可能？

这并不是一个新的话题，自从科幻作品开始讨论人工智能以来，是“人”还是“机器”，何为“人类”何为“机器”就长久地在两个极端之间来回动荡，每次碰撞都会诞生不错的作品。

《万神殿》的想法让我想到《命运石之门 0》，但两者探讨的侧重点不同。《万神殿》对技术细节的更多描述让喜欢硬科幻的影迷更加兴奋。对于“人造智能”的搭建和应用在本作中有不少创造性的想象，我觉得这些点都是本作的优势所在。

但是总的来说，其探讨的内核没有特别大的变化，结论也是大爱 peace and love，这点可以说是本作之不足。不过瑕不掩瑜，本作依然是画风清奇的优秀科幻作品。

3. 赛博朋克：边缘行者

如果说《万神殿》画风清奇，那么《赛博朋克：边缘行者》(Cyberpunk: Edgerunners)就是画风非常地“赛博朋克”了。（废话🤦‍♂️）

2020 年 6 月，《赛博朋克 2007》游戏发布前的一场 "Night City Wire" 直播中，被玩家戏称“波兰蠢驴”的游戏公司 CD Project 宣布与日本动画制作公司的 Studio Trigger 合作，将推出同样设定的动画作品。

《赛博朋克 2007》发售后口碑一言难尽，我个人是挺喜欢这款游戏的，但毕竟我一个人代表不了整个资本市场。

不过这部同款设定的动画片却口碑极佳。当 Lucy 手脚并用抓着 David 的急救担架车，在高速公路上疾驰，那疯狂的表情，呼啸而过的车辆，漫天流光的城市，这实在是太赛博朋克了！

动画对于强化套装的表现也是独树一帜，既表现出了强化后 David 的超强实力，又不至于太过直白。

赛博朋克类型的科幻作品始于 60-70 年带的美国，当时日本突飞猛进的半导体行业让原本领先的美国感到巨大的压力。于是作家们创作出了以日本东方文化为主导的高科技、低生活的未来废土世界。后来的《银翼杀手》可谓是“赛博朋克”风格视觉化的绝佳表达。

这部动画基于这样的背景，但是感动影迷的却不再是新奇的废土世界，而是剧中人物被百般无奈的生活按在地上摩擦，即使变得更强又怎样，无论 David 把自己改造得再怎样强大，还是不得不低头。被社会的车轮来回碾压的打工人，在 2022 年这个全球“大衰退”的时代看到这部作品，其揪心程度不亚于坂元裕二针对打工人内心狠狠戳下的金句啊。

4. 闪亮女孩

Apple TV+ 2022 年的悬疑佳作，改编自 Lauren Beukes 的同名小说《The Shinning Girls》。

故事主角是一位平凡的芝加哥女记者 Kirby，以她的视角看到她所体验的世界充满各种诡异的变化。这种变化从第一集开始就形成观众脑中的悬念，是比较典型的悬疑套路。

其创新之处在于对“时空旅行”的新诠释。在一个已经被人全方面多维度挖掘得一干二净的主题下，作者能拿出什么新的有趣的情节呢？这里我就不剧透了，总之《闪亮女孩》的角度非常不错，值得一看。

虽然这样的作品都逃不开一个问题：如何填坑？

就好像 2004 年的悬疑神作《迷失》(Lost)一样，第一季挖出一堆满分的坑，后面填得不好可是要招骂的。

我觉得这部剧的坑填得就差强人意吧，诸位读者可自行观看评价，哈哈。

5. 黑鸟

Apple TV+ 2022 年可是杀疯了啊，又一部悬疑作品，不过这部剧的悬念没有那么强，勾引得也不是那么好。主角是《王牌特工》里由 Taron Egerton 饰演愣头青小伙。

套路也是比较常规：把主角一次次丢进谷底，看他怎么发挥聪明才智，以出人意料的方式爬出来。

结合故事背景在监狱，让我感觉有点《越狱》的意思。不过《越狱》的节奏是要快太多了，毕竟是部欲罢不能的神作。

6. 真实身份

日本的悬疑电视剧，一般来说，总是顾左右而言他。比如石原里美主演的《非自然死亡》，每集一个故事，看似在解决悬念，实则悬念不过是一个工具，带你看尽角色们各自的苦难。

《真实身份》也有类似的手法，当然从“逃跑”这个设定上，可能更像《金色梦乡》。主演龟梨和也的颜值也是本剧受欢迎的原因之一。

总的来说，是个不费脑筋的“悬疑片”，比较下饭，可以边泡面边食用。

7. 初恋

满岛光啊！有满岛光就够了！还要啥自行车😂

寒竹百合自编自导的作品，她之前自编自导过《天使之恋》，主演佐佐木希有多好看自不消说。

本作男女主演佐藤健和满岛光都是三十多岁的人了，演这种中老年感慨青春回忆杀的角色真是绝了。

剧集场景在浪漫的北海道札幌，市中心的交通岛，札幌PARCO，旭川空港，札幌天文台，天狗山等等，这是要跟《情书》比胜地巡礼啊😂

剧集名字《First Love》就是来自宇多田光的同名专辑，1999年发行，剧集中的青少年版故事正是发生于此年间。该剧播出后，宇多田光还发行了这张专辑的Remix版本，新版封面用的是 16 岁的大头照，中年人看到这些不得老泪纵横一把。这波 Netflix 扳回一城

少女版的女主角由八木莉可子饰演，跟满岛光的长相差异挺大，观影时也许会稍觉异样，还请诸位读者留意。

8. 开端

堪称 2022 年最强国产悬疑电视剧，赵今麦与白敬亭主演，正午阳光出品，在腾讯视频上映。剧本改编自晋江文学城作者祈祷君的同名小说，大体设定是在一辆公交车的两位主句遭遇爆炸案后进入时空循环的故事。

时空循环的作品并不少见，比如阿汤哥主演的《明日边缘》，改编自小畑健的漫画 All You Need Is Kill，还有《源代码》。

在这样的设定下，主角通常是要打破循环，要嘛活下去要嘛获得什么。循环从一开始是看似无限的，实则随着循环次数的增多，主角会发现越来越困难或遭遇某种极限，从而在极限到达之前进行故事的大决战。整体架构如此，符合三幕剧，非常适合轻松吸引观众的电视剧改编。

近年来国产电视剧水平越来越高，《隐秘的角落》，《沉默的真相》都是非常不错的作品。希望未来能看到越来越多出色的国产电视剧上映吧。

9. 星期三

合家欢篇已有简介。

10. 僵尸校园

2022 年韩国上映的校园丧尸片。就是末日丧尸片的套路，加上一群青少年们聚在一起，有的无私奉献，有的自私自利。再来个英雄爸爸之类的，都比较套路化。

一开始觉得有点漫画《漂流教室》的感觉，似乎也有同名电视剧，越看越觉得就是套路爽片。

所以本作质量如豆瓣评分，诸位读者可择而食之。

11. 爱，死亡和机器人第三季

自 Netflix 2019 年上映第一季以来，已播出 3 季，颇有年货的感觉。第三季延续了之前的传统，每集一个故事，由不同的工作室、编剧制作。

本季第九集 Jibaro 金色鳞片舞者与武士的故事尤其出圈，由 Alberto Mielgo 自编自导，基于印度、北非、北欧等地的民间神话故事创作。

我觉得出彩的单集是有的，不过整季来看不如前两期那么具有想象力与冲击力。即便如此，Love, Death & Robots 也依然是值得每季都看的好剧。

三、上述作品索引

电影

分手的决心
套装
花束般的恋爱
隐入尘烟
子弹列车
坏蛋联盟
瞬息全宇宙
巴黎夜旅人
RRR
壮志凌云2：独行侠
阿凡达：水之道
利刃出鞘2
不

电视剧

人生切割术第一季
万神殿第一季
赛博朋克：边缘行者
闪亮女孩
黑鸟
真实身份
初恋
开端
星期三
僵尸校园
爱，死亡和机器人第三季

为什么Ghost会无限301 Redirect?

展开 5765 字的全文

前阵子我们在用的Newsletter服务Revue宣布要关闭了:

我们只能寻找其他替代品。在平台还是自建两者之间，最后还是选择了自建，我曾经试过用Wordpress，但确实这套古老的系统多年没有特别大的进化，后来Newsletter编辑部的伙伴提议用Ghost，看上去确实不错。

Ghost项目是由前Wordpress UI团队负责人John O'Nolan离职后创办的。2012年他在启动项目的Blog上说道:

WordPress is so much more than just a blogging platform

我只能说Can't agree no more.

Ghost作为一个平台使用起来非常简单，设计感非常棒，当然官方host的价格也很喜人。好在Ghost是开源的项目，愿意动手折腾的也可以鼓捣起来。

周末鼓捣Ghost的时候就发现，它在setup完https证书之后就会无限301 redirect loop，最终问题是解决了但我想搞清楚到底是怎么回事。

怀疑是Nginx开启了无限循环先从Nginx配置下手。一个完整的Nginx Conf实例可以参考官网这里，理论上我们配置多个不同的server时，listen在80端口(http)和443端口(https)，然后对80的server配置做host判断，直接全量转发到https。

server {
    if ($host = example.com) {
        return 301 https://$host$request_uri;
    } # managed by Certbot

    listen 80;
    listen [::]:80;
    server_name example.com;

    return 404; # managed by Certbot
}

现在有certbot配置起来很方便。我看了半天没发现Nginx有错配的情况。

最后看这篇文章提到需要增加这个配置:

proxy_set_header X-Forwarded-Proto https; 文章还提到Cloudflare的SSL规则也有可能导致无限301但我那时候域名已经从Cloudflare DNS转出了，所以跟Cloudflare无关。

Ghost使用NodeJS写的，默认运行端口是2368，我们在Nginx接入之后肯定要把请求转发的，官方的Ghost-CLI 在setup后却没有这一条:

location / {
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme; #自己补上
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header Host $http_host;
    proxy_pass http://127.0.0.1:2368;
}

参考Nginx官方文档相当于我们对入站的请求重定义了HTTP HEADER，其中 X-Forwarded-Proto 也是一个“事实标准”Header，可见Mozilla文档。文档称该Header主要用于客户端告知用于连接到代理的协议是用HTTP还是HTTPS。真正的标准详见Forwarded字段。

为什么必须带X-Forwarded-Proto Header？既然不是Nginx导致的301 redirect，那就是Ghost咯？

让我们翻一下Ghost的代码看看。原来Ghost用的ExpressJS做Server，其中 ghost/core/core/shared/express.js 的代码有这样一段:

// Make sure 'req.secure' is valid for proxied requests
// (X-Forwarded-Proto header will be checked, if present)
app.enable('trust proxy');

好的现在压力给到了Express.js这边，我们看看express的代码，这个'trust proxy'都干了些啥。

在lib/application.js里面，app.set这个方法针对trust proxy写入配置:


  switch (setting) {
    case 'etag':
      this.set('etag fn', compileETag(val));
      break;
    case 'query parser':
      this.set('query parser fn', compileQueryParser(val));
      break;
    case 'trust proxy':
      this.set('trust proxy fn', compileTrust(val));

      // trust proxy inherit back-compat
      Object.defineProperty(this.settings, trustProxyDefaultSymbol, {
        configurable: true,
        value: false
      });

      break;
  }

其中compileTrust()方法里面又是通过proxy-addr完成的，项目在这里，

这一步是把IP地址描述进行翻译，比如:

app.set('trust proxy', 'loopback') // 一个子网描述
app.set('trust proxy', 'loopback, 123.123.123.123') // 一个子网加一个IP
app.set('trust proxy', 'loopback, linklocal, uniquelocal') // 多个子网
app.set('trust proxy', ['loopback', 'linklocal', 'uniquelocal']) // 多个子网

后面这部分参数就会被compile()函数处理。Ghost的代码里:

app.enable('trust proxy');
// 等价于如下代码
app.set('trust proxy', true);

所以后面的参数为空，说明 trust everything。因为express是被代理过来的，所以后续获得客户端请求的真实IP之类的信息还得靠proxyaddr来解析。

所以不仅需要X-Forwarded-Proto，事实上，Ghost-Cli的Nginx配置模板是配齐了几个关键字段的:

location  {
    proxy_set_header X-Forwarded-For $remote_addr;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header Host $http_host;
    proxy_pass http://127.0.0.1:;
    proxy_redirect off;
}

Ghost是怎么把http请求转发给https的？ Ghost的配置文件使用nconf管理，当我们在Ghost目录下配置http协议的URL时不会有无限redirect的问题，但是https的会。

即：如果你配置了网站url为https://example.com，但是访问了http://example.com，Ghost会自动帮你redirect到https。

具体实现在ghost/core/core/server/web/shared/middleware/url-redirects.js，核心函数是这个:

/**
 * Takes care of
 *
 * 1. required SSL redirects
 */
_private.getFrontendRedirectUrl = ({requestedHost, requestedUrl, queryParameters, secure}) => {
    const siteUrl = urlUtils.urlFor('home', true);

    debug('getFrontendRedirectUrl', requestedHost, requestedUrl, siteUrl);

    // CASE: configured canonical url is HTTPS, but request is HTTP, redirect to requested host + SSL
    if (urlUtils.isSSL(siteUrl) && !secure) {
        debug('redirect because protocol does not match');

        return _private.redirectUrl({
            redirectTo: https://${requestedHost},
            pathname: requestedUrl,
            query: queryParameters
        });
    }
};

Ghost有给用户看的前端页面(FrontendApp)和给管理员用的后端管理页面(AdminApp)，前端页面启动的时候也是启动一个Express Server，然后使用上述middleware，检查每一次请求是不是secure。这个secure与否来自req.secure，而这个req.secure在启动了trust proxy的情况下，会取Header里的X-Forwarded-Proto作为依据。代码在Express项目的lib/request.js文件里，defineGettter里关于protocol和secure这两个函数。

defineGetter(req, 'protocol', function protocol(){
  var proto = this.connection.encrypted
    ? 'https'
    : 'http';
  var trust = this.app.get('trust proxy fn');

  if (!trust(this.connection.remoteAddress, 0)) {
    return proto;
  }

  // Note: X-Forwarded-Proto is normally only ever a
  //       single value, but this is to be safe.
  var header = this.get('X-Forwarded-Proto') || proto
  var index = header.indexOf(',')

  return index !== -1
    ? header.substring(0, index).trim()
    : header.trim()
});

从上述代码可知，express会先检查this.connection.encrypted属性，我猜Nginx的转发是不加密的，因为本地express server只是打开了一个http服务，Nginx转发给它确实也不需要加密。于是就会跳到取Header这一步。所以如果我们的Nginx配置不带X-Forwarded-Proto，express就会认为客户端真实请求不是https，于是redirect给https，结果就是无限循环。

What's next? 虽然Ghost这个问题解决起来很简单，“改个配置就好啦”。但是经过层层追踪，查看各个项目代码的过程也很有意思。在这篇文章里，作者有提到x-forwarded-proto会被Ghost检查，但是既然整个服务涉及Nginx，Ghost，Express，我就想弄明白到底问题出在什么地方。

通过这次追查也初窥了Ghost项目的大致架构，过程还是挺有趣的，不过看起来Ghost还不是特别开放，毕竟平台hosting才是这个项目最赚钱的部分。Wordpress这么多年，现在已经变成一个颇具历史包袱的巨无霸，这些年各种“替代开源CMS”也层出不穷，但是也起起落落落，消失了不少。看到Ghost现在能赚钱我感觉还是很棒的，唯有持续盈利，才能一直走下去。

Ghost的设计感确实在目前的开源CMS中无出其右，希望Ghost能一直长青。

1. 风险

2. 分散投资

3. 资产大类

4. 核心资产和非核心资产

参考资料

1. 从记账开始，实现个人财务的详细统计

2. 年龄影响投资理财非常重要的因素

3. 划分资产大类

参考资料

1. 长期来看，股票类资产的回报率是最高的

2. 市场周期，均值回归

3. “长期”到底有多长？

4. 理财的最终目标就是无需理财

参考资料

0. 我当前的理财策略是怎样的？

1. 教训与实践

参考资料

时间轴

相关信息

节目收听方式

时间轴

相关信息

节目收听方式

时间轴

相关信息

节目收听方式

时间轴

相关信息

节目收听方式

一、2022年上映的电影

1. 分手的决心

2. 套装

3. 花束般的恋爱

4. 隐入尘烟

5. 子弹列车

6. 坏蛋联盟

7. 瞬息全宇宙

8. 巴黎夜旅人

9. RRR

10. 壮志凌云2：独行侠

11. 阿凡达：水之道

12. 利刃出鞘2

13. 不

14. 奇异博士2：疯狂多元宇宙 (不推荐)

二、2022年上映的电视剧

1. 人生切割术 第一季

2. 万神殿 第一季

3. 赛博朋克：边缘行者

4. 闪亮女孩

5. 黑鸟

6. 真实身份

7. 初恋

8. 开端

9. 星期三

10. 僵尸校园

11. 爱，死亡和机器人 第三季

三、上述作品索引

电影

电视剧

1. 人生切割术第一季

2. 万神殿第一季

11. 爱，死亡和机器人第三季