@jhytxy #8 我也是这样的，以前手机不是 iPhone （甚至没有智能手机），我用的第一个也是最喜欢的密码管理器就是 KeePass 。但是现在也转到 1Password 、Bitwarden 这些数据存在云端的商业软件密码管理器了，因为手机 App 的使用体验差别还挺大的。

不过我还是保留了 KeePass 、pass 这些本地的管理器，鸡蛋没放在一个篮子里

@pkoukk #76 我用 Vaultwarden 的理由除了数据放在「自己」手里之外，主要是 Vaultwarden 免费提供了一些官方付费账号才有的功能。

@anyliz #46 https://bitwarden.com/help/auto-fill-browser/

支付宝 /微信绑定国际信用卡？

我用 Rust ，一个 Cargo project, 里面一个 pub mod solution ，里面有一个 pub struct Solution {}。

然后每个题都在一个 mod solution 的 submodule 文件里，例如 solution/_0001.rs ，里面是这道题的 impl Solution {pub fn ......} （这样可以直接原样粘贴到 leetcode 上）

然后用 {project_root}/tests/_0001_test.rs 这样的文件写 tests 。

然后 cargo test 0001 这样可以测试。

@zqlcrow #6 不是「只能」，是「只」。就好比你上 Twitter ，你的浏览器看到的都是你关注的（和 Twitter 给你推的）部分推文，但你的电脑不可能一打开 Twitter 就把 Twitter 服务器上所有数据都下载下来。

但你是「可以」看全 Twitter 上任何公开的推文的的。

关于去中心化的要素举几个例子：

每个实例可以自定义自己站内的规则（例如禁止什么样的话题），但不会影响联邦宇宙的其他实例；一个实例宕机不会影响其他实例；没有一个人可以轻易删光全联邦宇宙上的信息，因为不同实例所在的服务器在不同人手里

是这样的。邮件也是一样的：如果你邮箱 A 被封了，换个邮箱 B ，你如何证明你是以前的 A ？朋友收到你新邮箱发来的邮件，朋友们如何知道要联系 A ，现在应该找 B ？

不过你可以使用自己的域名（无论是邮箱后缀还是 Mastodon 后缀），域名被封的可能因素会少一些、概率会小一些。如果邮件 /Mastodon 服务器被封，你可以用同样的域名换家服务商继续。

WordPress 是一个开源软件（官网是 wordpress.org ），你可以将这个开源软件在自己电脑 /服务器上运行起来（可能需要买服务器），搭建一个自己的（ Self-Hosted ） WordPress 博客。

但有些人觉得我不想买服务器，我只想用 WordPress 写博客…… 于是 WordPress 「软件」的创始人之一了解了这个用户需求之后，创立了 WordPress.com 网站（在线服务），让用户可以在上面直接注册账号写博客，该网站使用的服务端软件是 WordPress 。你就不用自己买服务器安装 WordPress 程序。


Reference:
- https://wordpress.com/dailypost/2013/11/14/com-or-org/

@luhe #7 原来都是和上图第四行一样，方形的。现在突然无故变胖了，想不出理由是什么

强迫症觉得不一样宽很难受

https://i.imgur.com/3Ee8Xgtl.png

1. GitHub (git-crypt), Syncthing, rsync 到移动硬盘
2. 有一个 Hugo 静态博客，想发布某篇笔记的话，会直接把 .md 文件复制过去
3. 不会
4. 不会

@emberzhang 香港官网只有 Apple Store 的电子卡，至于 iTunes/App Store 的我目前从来没见过香港官网有电子卡销售页面。只在 7-Eleven 见过实体卡

@luckycat #21

我觉得 (1)密码管理器是辅助解决来自互联网另一端的威胁（ e.g., 黑客猜出你的简单密码），但有时候不能防范本机硬盘 /内存被 Malware 攻击后的风险 (2) YubiKey 等智能卡一定程度上可以防范来自电脑内部 Malware 的攻击，可以作为密码管理器之外的一个辅助。

但两者都没有特别针对**物理安全（即不怀好意的人可以接触到你的个人设备）**设计，实际上 YubiKey 很多操作要求你摸一下，重点就是通过硬件设计避免**电脑内部的恶意软件**擅自触发操作，而不是为了「分辨摸它的人的身份」。所以在这里讨论物理安全其实有点儿 out of scope 了。

但也不是完全没有物理安全，YubiKey 作为 SSH/GPG 智能卡大多数操作都是有 PIN 保护的；作为 U2F 设备虽然有时候不需要 PIN ，但用于 2FA 啊，2FA 的前提是已经正确输入用户名密码了啊。所以别人即使接触到你的 YubiKey 也做不了多大的坏事（设备防盗是另一个话题）。

https://www.reddit.com/r/yubikey/comments/i29k46/is_there_any_risk_in_leaving_yubikey_5c_nano/

====
我同意你说的一个观点就是大多数人不需要（或不认为）自己需要那么强的保护。但是我个人不认为 YubiKey 不适合日常使用或者用了更不方便 /不安全之类的。有 Key 不会比没 Key 更坏，hhh

@luckycat #9 长按输出静态密码在我看来只是 YubiKey 的一个「边缘」的小功能，我也是用来输出密码管理器的主密码（但我的主密码不 [只] 是 YubiKey 那一串输出）

至于 TOTP ，虽然有一个 Yubico Authenticator 的确可以用 YubiKey 存储 secret key 然后展示 6 位数字那种验证码，但这也是「边缘」的应用；真正使用 YubiKey 进行两步验证的网站，大多是使用 WebAuthn ( https://webauthn.io/ ) 摸一下 YubiKey 完成 2FA ，而不是输入 6 位数字。

YubiKey 的硬件设计（若不考虑硬件 /固件漏洞）是只能写入密钥 (write only) 而无法读取。基本上如果需要进行什么敏感的操作（例如调用私钥进行签名认证等），大致是电脑把需要签名的消息发送给 YubiKey ，YubiKey 的芯片完成最重要的密码学操作然后把结果（如 Signed response ）发回电脑。整个过程，电脑是接触不到私钥的。

所以理论上即使你电脑中了木马，也不会导致私钥泄露，比带 Passphrase 的 SSH 私钥文件还安全一些的样子。

保持打开健康码的不便；时刻提醒自己需要随时打开健康码的生活 不是正常的生活。