@tomychen 我倒是见过最关键的密码需要两名管理人员到场，一人输入一半的操作

TrustedInstaller > SYSTEM > Admin
你这样提权似乎是提不到 TrustedInstaller 的
搜索了一下，重启电脑的问题似乎是 BIOS 中将 USB 存储启动了（为了检查启动介质？）
Windows 内除了弹出以外没有办法，你考虑下做个移除可移动存储的工具放 shell:startup 里去吧

@Vegetable WPS 原生支持 Linux 是用爱发电？不是瞄准国家战略方向吗？
魔都，官方采购预装已经是中标麒麟了哦

@dingwen07 现在钓鱼都已经直接 proxy 到正常网站了，只是页面内增加了文本框内容捕获……
谁还专门适配啊，现在一大堆形态各异的验证码你适配不？要是发请求的特征与用户有差异，导致触发风控呢？

我说得有点混，是它替代了密码管理器的部分功能，通过 Scoped 性质来客户端验证域名。但具体实现细节我不清楚，我不确定它是否实现得正确，目前的原理解释又都是长篇……

@dzdh 安全又不是忠诚，“XX 不绝对就是绝对不 XX”并不适用
（真要说的话，衣服有过敏的风险，食物有中毒的风险，住宅有失火的风险，出门有撞车的风险……）
任何一分一毫增加安全性的措施均是有效的。在成本限制下通过有效的安全措施把风险降低到可接受的程度 —— 这是另一个专业范畴，准确地说也是一种“技术”，只不过不是“计算机技术”。我司安全方面出重大事故直接就是直辖市级政治命题；所以我被各种教育培训、各种要求填表搞得略通一二……

@dzdh 主要是“关闭验证”太简单了。
curl -k
wget --no-check-certificate
requests.get(..., verify=False)
NODE_TLS_REJECT_UNAUTHORIZED=0 （任意一个被引入的 js 文件中的并不显而易见的环境变量就可以破坏整个体系，太恐怖了
签名密钥泄漏可以被发现继而解除密钥权限；但关闭验证…… 不看对面代码一百年不会被发现，看了代码也不一定能发现，各种语言各种工具采用了各种各样不同的名称，又很少添加任何“危险警示标志”（ Sigh

考虑犯蠢准确地说不是技术问题，是风险管控问题。
至于遗留 / 习惯，是人脑的系统性偏差，这你得问造物主怎么想的（ https://www.solidot.org/story?sid=67470

@boris93 不能挡，一点点都不能。没有任何方式去阻止钓鱼网站拿到你的一个 TOTP 的瞬间用这个 TOTP 进行任意危险操作 —— Time-based 你知道什么意思吧。out-of-band 倒还能让你警惕一下，但目前 OOB 中明确提示该代码将“授权危险操作”的网站也非常少，大网站似乎都没有，我唯一一次见是一个小到不能再小的网站，甚至我注册的时间点在我用密码管理器之前。不过具体提示情况需要调查一下。
不要陷入“安全的幻觉”。2FA 设计上是为了“网站验证用户”，而不是反过来的。
PS：ssh 每次链接到未被信任的 host 都会让你确认 host 的公钥。

@dingwen07 WebAuthn 不止是 2FA，它也兼有密码管理器的功能（“Scoped”，See ？）

@dzdh SSL/TLS 对面可以手动关闭验证的，你不能保证对面不会犯蠢把验证关了，尤其关闭的选项还不复杂，置个 false 就成。
当然，都 ssl pinning 了，你对 Client 端似乎是有控制能力的？不过我都建议过“为了避免将来的自己犯蠢，不要在用户提交的格式化文本中使用 html （即使你能正确地使用白名单摆平一切）”…… 参考墨菲定律

存在一些实现或者 binding 中没包含客户端证书实现

遗留问题就是旧系统已经有签名了，习惯就是旧系统上搞了签名，新系统思维定势，就像明明有 prepare 了还搞一堆字符限制，明明 UTF-8 支持非常普遍且应当是默认，仍然有用 GBK 的人

上面一直在说重放，其实在恰当的使用下 SSL/TLS 已经可以避免中间人重放（两边都是每次需要产生新随机数，握手信息重放直接导致密钥不相等，但不过保持 TCP 链接重放就不清楚了，应当会被 CBR 防下来）
对了，有时会遇到没有根证书的情况，得自己想办法搞一个…… 我写 ponylang 的时候就发现 ponylang 的 SSL 库没法尝试从操作系统中获得证书信息，只能自己带了个 cacert.pem （但是将来也不太可能进行更新，是个隐患）
https://github.com/no1xsyzy/project-v2c/tree/master/v2c-pony

SSL/TLS 不能确定对方是否对你的证书进行了验证。
双边证书使用相对麻烦。
然后还有遗留问题和习惯问题。

《超级扫描器》，男主过于种马（

@tabris17 我怀疑这种 app 甚至可能根本没有服务器。
“非一手服务的提供方” 和 “用户代理（ User-Agent ）” 是比较难区分的，除了用案例去猜测法官的看法以外没什么有意义的区分尝试。因为不采用判例法，所以法官的看法也比较随意。

如果是 H1H2H3H4 这种怎么办？

是否有 AA1234 这种地址？ [A-Z]\d 看上去不够

1. POST /data-source
2. GET /data-source/_types
3. POST /data-source/_ping
4. POST /data-source/_initialization

用 _ 来表示 meta 操作，是完全可理解、且常规的。而且越不常见的操作名字应当越完整、最好长得多。
但是令我迷惑的是，为什么会有单独的 4. 操作？不应该 1. 操作时直接做掉吗？

如果本身不提供服务，其实跟 youtube-dl 和 popcorn time 也差不多了，两个也就关闭一段时间，然后又恢复上线了

https://www.solidot.org/story?sid=66113
https://www.solidot.org/story?sid=64459

@Jooooooooo 著作权不归工信部管

1. 看上去此 App 不提供盗版服务，而是提供访问盗版服务的途径，这个行为是否正当有待考究，法律上并未良定义。
2. 浏览器到爬虫中间并没有明确的分界线，而更像是 “光谱式” 的分别。
3. 目前爬虫造成的刑事责任主要是：a. 绕过反爬机制（无论此机制多么地简陋），均可视为破坏计算机系统； b. 对服务器造成了过大压力（一秒跑几百 G 的爬虫，说出来都没人信这是爬虫）； c. 爬取的内容权利人另有其人，与 Web 服务的提供人不同（比如常规状态下不会直接提供的大量个人信息、通过消除 Cookies 换 IP 的方式反复获取试看内容）。Web 服务的提供人未能对 Web 服务进行恰当的保护（需要整改），并不意味着你能任意利用这些信息。a 和 c 有点不直观，这么类比：a. 别人穿着裙子再短，你掀别人裙子拍不行； c. 别人光身子乱跑，你拍照去卖不行。

不懂，机械键盘不就是轴嘛，跟厂牌有什么关系？

说道那个编辑按钮，其实是自动 fork-edit(&commit)-pull request 的流程

但是不如像这个一样说得清晰点：
https://github.com/piroor/treestyletab/blob/trunk/CONTRIBUTING.md#translations-pull-requests

说句，Go 更像 Python

@xuanbg 这句话原本说的是花钱干的事儿。
小孩有时间没钱，大人有钱没时间