用 nmap 看看自己到底开了什么

ss -lntp 只显示本机视角。云厂商的安全组、上层的防火墙、NAT，都会改变外网实际能连到的端口。

从外部扫一遍：

nmap -Pn -p- --min-rate 2000 <你的公网IP>

-Pn 跳过主机发现（很多主机禁 ping），-p- 扫全端口。扫出来再和本机 ss 对比，多出来的通常是安全组没关、或者 Docker 发布的端口。

注意扫描自己的机器是允许的，扫别人不是。频率也别太高，有些云厂商会把端口扫描识别为攻击行为。

定期扫一次，尤其是加过新服务之后——很多时候以为只开了 443，实际上 8080 也在监听 0.0.0.0。