V2EX › phithon 的所有回复 › 第 35 页 / 共 47 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

1 ... 31 32 33 34 35 36 37 38 39 40 ... 47

❮

❯

2017 年 4 月 11 日

回复了 only0jac 创建的主题 › 程序员 › 贴图库家的程序员真牛 b，『没时间解释』

@only0jac 但你原始 token 没有暴露呀，这个新 Token 只是个签名而已，用户如果要上传其他文件（文件名不同），就必须要一个新的签名，只要原始 Token 没有暴露，用户就不能随便上传内容。

2017 年 4 月 11 日

回复了 only0jac 创建的主题 › 程序员 › 贴图库家的程序员真牛 b，『没时间解释』

@only0jac
你可以这么理解，你不是怕 Token 被别人拿到么，那你就把 Token 和文件名一起 md5 以后，作为一个新 Token 。
但这个方法需要“贴图库”那边支持，他们那边拿到这个新的 Token ，需要将你原本的 token 和文件名一起 md5 ，再和新的 Token 比较。

2017 年 4 月 11 日

回复了 only0jac 创建的主题 › 程序员 › 贴图库家的程序员真牛 b，『没时间解释』

纯前端不应该有这种 token 的验证方式，而是应该改成签名验证。
举个简单例子，用用户 id+时间戳+图片名+Token ，生成一个 hmac 签名，和 id 、时间戳、图片名一起发送到服务端。
服务端接收到以后，根据用户 id 从数据库里查出这个用户的真实 token ，对用户传过来的 id 、时间戳、图片名进行签名，再和用户传过来的签名进行比较。（可能中间还需要比较当前时间和用户传来的时间戳在一定范围内，防止重放枚举爆破攻击等）

2017 年 4 月 10 日

回复了 oddcc 创建的主题 › Python › Django 中类似功能的实现方法?

三楼+1

2017 年 4 月 9 日

回复了 phithon 创建的主题 › Django › 用了 transaction.atomic 还需要用 select_for_update 么？

需要

2017 年 4 月 6 日

回复了 xiaoyanbot 创建的主题 › Android › 因为反编译工具的存在，安卓 APP 理论上是不是代码相当于裸奔？

网上那些使用开源程序的网站和服务，不能算裸奔吧，关键还是代码质量和通信过程的安全。

2017 年 4 月 6 日

回复了 rogwan 创建的主题 › 程序员 › “分页”的方式，大家通常怎么处理？

非常讨厌下拉加载，不是社交类型的网站（用户喜欢刷刷刷的）千万别用。。。有的博客用这种方式，导致想找资料和文章，非常不方便。