@mbooyn 啊对不起我没审题

真假难辨呀，之前全是 cursor 现在全是 cline

为什么有人说后端有计算成本？ n 次迭代是在客户端进行的，迭代后得到私钥派生出 ecdsa 公钥和 hash(user)给后端存下来。验证时，后端只需要发出挑战让前端签名后返回后端验证，后端一次 ecdsa 验证不是很正常吗，浏览器迭代 1e8 次最终服务端也只需要验证一次，哪儿来的计算成本。

@iqoo OP https://etherdream.github.io/parallel-pbkdf2/ 为什么并行数量一样时，iter 迭代 10 次与 1e6 1e10 的时间都差不多？ chrome safari 都一样

@baobao1270 趁帖求教大佬，在只谈“用户输入密码登录”这种场景下（先不说 passkey 和 oauth2 ），是不是用户设置了弱口令就无药可救？只能限制要求注册类似 8 位以上包括字符字母数字这种才行？在 webcrypto api 范围内有没有其他更好的建议方案？ 另外如今 ai 和量子计算这么快，ecdsa 还稳吗，大佬怎么看？

@fengshils 感谢, page assist 好像只支持本地模型不支持 API.

颇有同感，独立完成一个项目 0 到 1 真的很难，楼主“算你厉害”

@kizunai 谢谢你让我想起这个接口的名字

前段时间我的巨硬邮箱也是频繁提示我 24 小时不间断换 ip 尝试登录，巨硬说邮箱很安全开了 2fa ，我也没管，反正我也不值钱 p

@baobao1270
@moefishtang
正解


@Actrace
@zzzsy
@Peace2021
ttttt.link ddz.cool 这俩站好使，但 ddz 看上去不知道能开多久哈哈


@forty 主要就在论坛和下载站下东西时候提供的都是网盘云盘神烦。

@songray 手滑打错了，所有者和上传者。

@songray
想让访客的钱直接打到云服务供应商那是百分百不可能的….
---
所以我就是想问有没有这种的服务商，可以直接让上传者和下载者付费的。如果没有的话，那网站所有者和下载者都必须得获点利才行，是吧？

@songray 想象中上传文件应该有个时间限制，比如我在这个网站上传一个 5G 的固件，想刷固件的访客就去下载，付个 5 毛一块的，给 10G 的流量限制，生成个临时 ftp 用户名密码，没用完以后可以下别的。
我想问的重点是，如何按照空间和流量的使用自动给服务商充值。

我遇到同样的问题，换个机场就好了，飞机上不用设置代理。
@yjcn

@restkhz
@cndenis
我想我知道 SOP CORS 和 CSP 的用法的，我也知道 CORS 是保护用户浏览器中的数据安全而不是服务器安全。但是我想不到一个场景“后端无须参与，单凭前端既可确保不被攻击”。如果没有这种场景的话，那必须就有后端判断来源合法恶性，那么还需要后端进行 CORS 设置干嘛？

@restkhz 特别喜欢能够站在提问者角度讲解的答主，感谢。
浏览器访问 a 网站时 a 网站的脚本访问 b 网站，无论是 post get 还是 options ，是否响应是 b 网站自身逻辑说的算的，即便 Access-Control-Allow-Origin:* 也只是告诉浏览器 b 允许所有来源访问，至于如何响应是看代码。那么 b 网站设置 Access-Control-Allow-Origin 和 Access-Control-Allow-Methods 的意义是啥？后端不可能只声明不处理,curl postman 就能钻空子，声明了还是需要处理，那为啥还要声明？一定是某个场景需要，我就这点没搞懂。

@crackidz copilot 是不是只有代码补全，没有创建文件和理解多个文件的功能吧？还是我不会用。cursor 的 cmd+i cmd+l 用起来真舒服。

@Puteulanus
“后端安全的一个原则就是客户端发过来的所有东西都可能是不可信的” 学到了。
“是给后端一个操纵前端（浏览器）行为的 API” 操控换成约束也不对，毕竟无法约束更无法操控，像 @Quarter 说的“是双端一起努力的结果”比较贴切。

弱弱的问，有 api 密钥也有风险吗？

如果要做任务的话，你应该试试 cursor 。
GPT Claude 这俩家伙只会说不会干，cursor 是真干。