客户的原创内容被人搬运到别的平台，想证明"这是我的"却拿不出证据。我给他们做了两件事：内容指纹（发现搬运）+ 不可见水印（证明来源）。同时我也必须说清楚：这些技术能做什么、不能做什么，以及几行 Python 实现的简单水印到底有多脆弱。
阅读全文
技术博客
分享开发技巧、工具使用教程与行业动态
筛选「安全」共 6 篇文章
查看全部
接了支付之后最怕三件事：用户付了钱没开通（掉单）、一条回调被处理两次（重复入账）、有人伪造回调白嫖。这篇写完整链路：为什么异步通知才是权威、验签怎么做、幂等怎么保证、掉单怎么补偿、每日对账怎么跑，以及我踩过的那些坑。
阅读全文
上线前我跑了一遍 check --deploy，一堆警告。后来真出过的两次事更严重：备份文件被搜索引擎收录、上传功能能传 .html 上去。这篇是完整的加固清单：配置、密钥、传输、响应头、上传校验、依赖扫描，以及怎么把检查变成 CI 步骤自动拦住。
阅读全文
早上九点，用户说网站打不开，浏览器红字写着证书已过期。我们的证书是手动申请的，90 天有效期，没人记得续。这次之后我把证书做成了全自动：acme.sh 申请、cron 自动续期、nginx 平滑重载、过期前 20 天告警。这篇写完整的配置和那些老设备兼容的坑。
阅读全文
接口被刷，一天几十万次请求，解析额度烧光。我第一版按 IP 限 60 次/分钟，结果把一个公司 NAT 后面的两百个用户全挡在门外。这篇写清楚限流的三个维度（速率、并发、配额）、四种算法、Django 和 nginx 两层的落地代码，以及最重要的——怎么不误伤正常用户。
阅读全文
# 直链别裸奔：用 Python 给下载地址加时效签名 token
前面讲防盗链靠 Referer，但 Referer 能被伪造，真要防泄露得靠**签名 URL**——给直链加一个带过期时间的 token，服务端校验通过才放行。这篇用一个最小可用的 Python 实现讲清楚，以及几个别踩的坑。
...
阅读全文
1
第 1 / 1 页