@Worldispow 你不用这个功能当然可以关掉嘛，我是希望有这个功能的。也不需要默认支持，只要可以开启 markdown 模式就行

也就中国能骂别人用贫铀弹，人家用贫铀弹是因为钨不够用，我们不用是因为世界上一大半的钨都在中国，属于是老祖宗的馈赠了。

以我目前的架构，我可以以 yubikey 的 FIDO 加上一段短密码为凭证，向 SSH CA 请求签发有效期两分钟的证书
但是我好像没这种需求

Chrome 能调系统 API 拿到你的 hostname 很正常，然后上传给谷歌即可。你试试用 Firefox 还行不行？

@jimmy2010 WebRTC 应该只能拿到 IP ，拿不到 hostname

@boorabee 请问能提供消息来源吗？

怀疑浏览器缓存，开个隐私窗口试试

@thinkm 可以，他们检测不到的时候会打电话来问，你告诉他哪个子域名就行。腾讯云就问过我。
当然我也不保证会不会有哪个逆天厂商不问就给你注销了。

我感觉不像 healthcheck ，healthcheck 一般是从容器内部发起的
其实日志输出里有 remoteAddress=/172.19.0.2:42386 ，你搞清楚这个 ip 和端口号上跑的啥玩意不就知道了

@yxd19 准备装 Windows 专业版，学校买了授权，是正版
而且就算是重装家庭版，也可以用 OEM 激活的啊

@arvinsilm 确实，但是可以下载其国外版本，通常没有国内版那么流氓。而且无论如何肯定要装硬件驱动，真要搞你逃不掉的，除非用 Linux 而且只用开源驱动。
我这个策略就是利用欧美的隐私保护法律增强自己的安全，保证安全是不可能的。

@arvinsilm https://v2ex.com/t/944715

分母

@Tyris 哦 base64 也就不行了啊，我才知道。打星号的机制的目的本来就是防止你意外泄漏，对攻击是没办法的，只能靠日志去查。
不过鉴于 commit 不会记录进安全日志，攻击者是可以删掉 commit 记录和 action 运行记录的，只能说用 2FA 保护好你的账户了。

@Tyris 直接 echo 是不行的，会变成星号，但是可以输出 base64 啥的
这个的设计的目的之一是，一些组织 /公司内部有专门的凭据管理人员，非凭据管理人员不应该看到凭据，即使他们可能有读取甚至读写仓库的权限。在这种情况下虽然开发可以进行你所说的攻击，但是显然是可以被追责的。在 GitHub 上还有一个目的，公开仓库是向所有人公开 Actions logs 的（不需要登陆仓库所有者的账号，所有人都能看到），可以对他们隐藏 secret 。
另外，即使是攻击者能够更改和运行 workflow ，他也会留下记录，凭据所有者可以比较及时地发现并重置凭据，而如果不用 secret 攻击者可以直接把凭据复制走，没有任何记录，可能引发了重大安全事故你才发现。

教育网连接正常，检查一下是不是你自己网络环境的问题

看 iCloud 和你的本地挂载的云盘的实现。是可以不耗本机存储在云存储之间复制文件的，rclone 就是，原理是流式传输，缓存你可以认为是内存，因为流式传输所以需要的缓存并不大。

虚拟机

不开源，没官网，只有个 tg 频道，感觉不是很放心