@0bject 不用回他，说话难听不要紧，有理由我就能听，但是既然是个说不出理由的 troll，block 就好了。

@danmu17 另外，我也在国外。在国外不是你暴躁的理由，寂寞的话找个女朋友，别在论坛上到处喷人 ➡️ https://www.v2ex.com/t/647128

@danmu17
@cnskis 哦，我懂了，可能是因为你们的公司不够大，所以才会有都有数据库权限了还偷账号密码做什么的疑惑。

我们公司几十万员工，差不多 7W 工程师，每个人都有一些数据库权限，但是只有极少数人能登录用户的账号。所以做 security review 的时候基本思路是先做 data classification，然后画 data flow，最后做 threat model，减少攻击面。

就这件事来说，如果短信验证码是 critical data (我司 critical data 有 26 类，绝非只有卡号和 session)，那就必须要加密传输、加密保存。短信验证码除了短信接口没有其他系统需要知道明文内容，所以可以生成出来就用短信 service 的公钥加密，或者直接让短信 service 生成，再返回一个 salt 和 hash。这一套做下来收益并不大，也就是减少了十几个人登录用户账号的可能性，但是如果一个几十万人的公司不在每一个细节上都认真处理的话，那就像筛子一样，处处漏风。

@danmu17 请展开讲讲

1. 限时几分钟的东西不怕拖库
2. 随机生成的东西，不存在泄露用户的密码的可能

但是 hash 加盐是个好习惯，例如，可以防止有数据库权限的工程师登录用户账号

@zs8861 蒙特利尔应该有大量游戏工作室。https://gamejobhunter.com/local-video-game-companies-montreal/

带她去看医生

忽悠你的，阿里算股票的收入在业内算是比较高的，除非你之前是做区块链 P2P 这种行业，不然没必要降薪去阿里。

你去了的话这 HR 能得瑟一年。

https://i.imgur.com/O6orIJz.png

我真去看了一眼，熊林说“实证为趁疫情涨价”，不知道这玩意怎么实证？给自如员工的脑子做个公证？

算了，人家评论都关了，实证个屁。

深井冰吧，大概是想坑你？

学校名字写完整
贴个二维码干嘛，让面试官加微信吗？
知道改成了解
抖音接口的实现算法指的是什么，感觉很奇怪
特别想问问你 MySQL8 有什么特别的

@wangxiaoaer 就手机来说，密码和图案解锁很容易被无处不在的摄像头录下来

vipkids?

lastpass 其实也基本算免费了，免费和付费差别不大，看不出付费的需求

中产阶级常常有我生活很好是靠我自己的错觉，并且认为别人生活的不好是因为不努力。其实很多时候只是因为你运气好而已，那些在疫情中去世的人并没有做错什么。

最近新出了一个问题，无法购买微信的付费公众号文章

那如果数据库被脱库的话，是不是可以理解为这个就没有防护意义了 -> 对，但是如果网站数据库被拖库了，你用什么二次验证都没用，所有数据一波带走。

手机短信容易被嗅探，最安全的还是 Yubi 这种硬件密钥。

哈哈哈哈哈哈哈，要不，泡她？