授权码建议

本贴最后更新于 188 天前,其中的信息可能已经天翻地覆

image.png

吐槽一下目前授权码的机制,除了非本地访问纯纯就是安慰剂。。。

建议把忘记密码的处理机制改为只能重置密码,比如对 accessAuthCode 加密,忘记密码时只能删掉重置而不是直接告诉你密码是什么,基于这种机制旁人想打开也会畏首畏尾,就算真的敢重置用户也能及时知道

  • 思源笔记

    思源笔记是一款隐私优先的个人知识管理系统,支持完全离线使用,同时也支持端到端加密同步。

    融合块、大纲和双向链接,重构你的思维。

    19808 引用 • 75832 回帖 • 1 关注
3 操作
wslrj 在 2023-12-28 11:07:42 更新了该帖
wslrj 在 2023-12-28 10:59:23 更新了该帖
wslrj 在 2023-12-28 10:59:01 更新了该帖

相关帖子

18 回帖

欢迎来到这里!

我们正在构建一个小众社区,大家在这里相互信任,以平等 • 自由 • 奔放的价值观进行分享交流。最终,希望大家能够找到与自己志同道合的伙伴,共同成长。

注册 关于
请输入回帖内容 ...
  • 这个讨论过很多次了,本身就是防君子不防小人的,本地存储也是明文的,直接删了你的配置也能进去。

    1 回复
  • wslrj

    还是有区别的,一个是进去了不知道一个进去了知道,再者也不一定不能防小人,删掉配置就会重置密码正常人敢删吗?

    2 回复
  • 比如在社区里问怎么重置授权码,比如直接把你的空间拷贝走,方式很多。

    1 回复
  • wslrj

    你是不是看成“正常人能删了”。。。

    1 回复
  • 我是说,不删也可以,直接把数据拷走完事,主要这种重置方式是公开的。历史遗留的问题,暂时也没什么好方法。

    1 回复
  • wslrj

    你这话预设的前提:旁人十分了解思源、肯花大量时间精力在我的电脑前狗狗祟祟、随身携带移动存储设备
    大哥,我只是不想让别人随随便便就看到我的笔记有必要这么极端的反驳吗。。。意外防不住总不能不防把自己暴露给意外吧。。。

    1 回复
  • zxkmm 1 1 赞同

    这个主意确实不错,但是要明确几点:

    1. 做不到防止数据被看到
    2. 做不到防止别人篡改密码
    3. 做不到数据加密。

    这个主意的好处只是假设你到处都用同一个密码的话,可以防止密码明文泄露

    1 操作
    zxkmm 在 2023-12-28 12:11:36 更新了该回帖
  • 没有极端啊,是已经有这样反馈啊,那时候老是有人问怎么重置,所以我才说历史遗留的问题。而且别人还找到你的工作空间呢,那不是花了精力特意来拷贝的吗?

    1 回复
  • 我想带出的信息是:

    1.重置机制做得再复杂也没用,因为本地存储不是加密的。

    2.删了这个提示后,很多人到社区或者群里问,也不是什么秘密。

    3.就算放了这个提示,别人还得找到你的空间,要全盘搜索你电脑的人也不是什么君子了,远离他或者不要把重要数据放在这个电脑上。

  • wslrj

    《找到工作空间》《蓄谋已久的拷贝》,加上这两个前提更极端了。。。我的诉求只是不想别人随随便便就能看到我的笔记谢谢

    1 回复
  • 不找到你的工作空间,又怎么查看你的授权码呢?对吧?这个提示不是直接显示密码啊。

    1 回复
  • wslrj

    所以把授权码加密就好了啊,正常生活中大多数人到了这一步基本就放弃了
    我不想别人随便便便就看到我的笔记,这是我第三遍说我的诉求了,现在的机制和直接把密码告诉你有什么区别?加密了还不放弃了那不叫“随便”叫“恶意”,“因为会被破解所以做再多也没用”就是一句正确的废话,你所有的密码都有破解的方法那就不设密码了?

    1 回复
    1 操作
    wslrj 在 2023-12-28 13:34:05 更新了该回帖
  • 攻击者进去了你能得知,这点是做不到的。攻击者可以先把你原先的加盐值抄写(或者保存)下来,然后自己把自己的加盐后的密码填进去,看完你的笔记以后再把你的加盐后的密码填回去。

    或者更简单的就是直接看源文件。

    1 回复
  • royc1 1 赞同

    你误会了我的意思,我的意思是了解思源的人不需要破解授权码也能看,不了解思源的人连工作空间都找不到,看不到你的笔记的。而这个提示是因为太多人问怎么重置后的妥协办法,暂时没有更好的办法。

  • temacc0531

    简单点说,现在的授权码机制是用在对外公开使用的,也就是说即使这个信息公开了其他人也访问不到你的机器上的配置文件,而不是用来当作本地锁屏密码使用的

  • wslrj

    技术层面可以通过随机盐解决,但不管怎么解决总会有破解的方法,所以没必要纠结这个
    现在的问题是其他人打开笔记的门槛过于低了,配上解锁的提示可以说稍微带点脑子都能神不知鬼不觉的进去,不求 D 大会把授权机制做到极致,但做好适用大多数人的防护措施我觉得是很有必要的 @88250

  • 跟加密相关的讨论已经超级多了,D 大的意思是要做就做全套,一点缝都不留,但现在还做不到。

    是否提供文档级“加密”以保护隐私?(含投票)

  • 可以换一种思路,比如我一般是随手用鼠标手势或按快捷键直接锁定电脑屏幕。

请输入回帖内容 ...

推荐标签 标签

  • jQuery

    jQuery 是一套跨浏览器的 JavaScript 库,强化 HTML 与 JavaScript 之间的操作。由 John Resig 在 2006 年 1 月的 BarCamp NYC 上释出第一个版本。全球约有 28% 的网站使用 jQuery,是非常受欢迎的 JavaScript 库。

    63 引用 • 134 回帖 • 733 关注
  • 招聘

    哪里都缺人,哪里都不缺人。

    189 引用 • 1056 回帖 • 2 关注
  • Sphinx

    Sphinx 是一个基于 SQL 的全文检索引擎,可以结合 MySQL、PostgreSQL 做全文搜索,它可以提供比数据库本身更专业的搜索功能,使得应用程序更容易实现专业化的全文检索。

    1 引用 • 191 关注
  • BAE

    百度应用引擎(Baidu App Engine)提供了 PHP、Java、Python 的执行环境,以及云存储、消息服务、云数据库等全面的云服务。它可以让开发者实现自动地部署和管理应用,并且提供动态扩容和负载均衡的运行环境,让开发者不用考虑高成本的运维工作,只需专注于业务逻辑,大大降低了开发者学习和迁移的成本。

    19 引用 • 75 回帖 • 618 关注
  • API

    应用程序编程接口(Application Programming Interface)是一些预先定义的函数,目的是提供应用程序与开发人员基于某软件或硬件得以访问一组例程的能力,而又无需访问源码,或理解内部工作机制的细节。

    76 引用 • 429 回帖
  • jsoup

    jsoup 是一款 Java 的 HTML 解析器,可直接解析某个 URL 地址、HTML 文本内容。它提供了一套非常省力的 API,可通过 DOM,CSS 以及类似于 jQuery 的操作方法来取出和操作数据。

    6 引用 • 1 回帖 • 476 关注
  • Spring

    Spring 是一个开源框架,是于 2003 年兴起的一个轻量级的 Java 开发框架,由 Rod Johnson 在其著作《Expert One-On-One J2EE Development and Design》中阐述的部分理念和原型衍生而来。它是为了解决企业应用开发的复杂性而创建的。框架的主要优势之一就是其分层架构,分层架构允许使用者选择使用哪一个组件,同时为 JavaEE 应用程序开发提供集成的框架。

    942 引用 • 1458 回帖 • 118 关注
  • 前端

    前端技术一般分为前端设计和前端开发,前端设计可以理解为网站的视觉设计,前端开发则是网站的前台代码实现,包括 HTML、CSS 以及 JavaScript 等。

    247 引用 • 1347 回帖
  • Hprose

    Hprose 是一款先进的轻量级、跨语言、跨平台、无侵入式、高性能动态远程对象调用引擎库。它不仅简单易用,而且功能强大。你无需专门学习,只需看上几眼,就能用它轻松构建分布式应用系统。

    9 引用 • 17 回帖 • 610 关注
  • 锤子科技

    锤子科技(Smartisan)成立于 2012 年 5 月,是一家制造移动互联网终端设备的公司,公司的使命是用完美主义的工匠精神,打造用户体验一流的数码消费类产品(智能手机为主),改善人们的生活质量。

    4 引用 • 31 回帖 • 4 关注
  • 又拍云

    又拍云是国内领先的 CDN 服务提供商,国家工信部认证通过的“可信云”,乌云众测平台认证的“安全云”,为移动时代的创业者提供新一代的 CDN 加速服务。

    21 引用 • 37 回帖 • 519 关注
  • 单点登录

    单点登录(Single Sign On)是目前比较流行的企业业务整合的解决方案之一。SSO 的定义是在多个应用系统中,用户只需要登录一次就可以访问所有相互信任的应用系统。

    9 引用 • 25 回帖
  • FreeMarker

    FreeMarker 是一款好用且功能强大的 Java 模版引擎。

    23 引用 • 20 回帖 • 437 关注
  • 服务

    提供一个服务绝不仅仅是简单的把硬件和软件累加在一起,它包括了服务的可靠性、服务的标准化、以及对服务的监控、维护、技术支持等。

    41 引用 • 24 回帖 • 10 关注
  • HBase

    HBase 是一个分布式的、面向列的开源数据库,该技术来源于 Fay Chang 所撰写的 Google 论文 “Bigtable:一个结构化数据的分布式存储系统”。就像 Bigtable 利用了 Google 文件系统所提供的分布式数据存储一样,HBase 在 Hadoop 之上提供了类似于 Bigtable 的能力。

    17 引用 • 6 回帖 • 58 关注
  • Swagger

    Swagger 是一款非常流行的 API 开发工具,它遵循 OpenAPI Specification(这是一种通用的、和编程语言无关的 API 描述规范)。Swagger 贯穿整个 API 生命周期,如 API 的设计、编写文档、测试和部署。

    26 引用 • 35 回帖 • 12 关注
  • BookxNote

    BookxNote 是一款全新的电子书学习工具,助力您的学习与思考,让您的大脑更高效的记忆。

    笔记整理交给我,一心只读圣贤书。

    1 引用 • 1 回帖 • 2 关注
  • Spark

    Spark 是 UC Berkeley AMP lab 所开源的类 Hadoop MapReduce 的通用并行框架。Spark 拥有 Hadoop MapReduce 所具有的优点;但不同于 MapReduce 的是 Job 中间输出结果可以保存在内存中,从而不再需要读写 HDFS,因此 Spark 能更好地适用于数据挖掘与机器学习等需要迭代的 MapReduce 的算法。

    74 引用 • 46 回帖 • 561 关注
  • Android

    Android 是一种以 Linux 为基础的开放源码操作系统,主要使用于便携设备。2005 年由 Google 收购注资,并拉拢多家制造商组成开放手机联盟开发改良,逐渐扩展到到平板电脑及其他领域上。

    334 引用 • 323 回帖 • 25 关注
  • QQ

    1999 年 2 月腾讯正式推出“腾讯 QQ”,在线用户由 1999 年的 2 人(马化腾和张志东)到现在已经发展到上亿用户了,在线人数超过一亿,是目前使用最广泛的聊天软件之一。

    45 引用 • 557 回帖 • 181 关注
  • LaTeX

    LaTeX(音译“拉泰赫”)是一种基于 ΤΕΧ 的排版系统,由美国计算机学家莱斯利·兰伯特(Leslie Lamport)在 20 世纪 80 年代初期开发,利用这种格式,即使使用者没有排版和程序设计的知识也可以充分发挥由 TeX 所提供的强大功能,能在几天,甚至几小时内生成很多具有书籍质量的印刷品。对于生成复杂表格和数学公式,这一点表现得尤为突出。因此它非常适用于生成高印刷质量的科技和数学类文档。

    9 引用 • 32 回帖 • 152 关注
  • Telegram

    Telegram 是一个非盈利性、基于云端的即时消息服务。它提供了支持各大操作系统平台的开源的客户端,也提供了很多强大的 APIs 给开发者创建自己的客户端和机器人。

    5 引用 • 35 回帖 • 1 关注
  • V2Ray
    1 引用 • 15 回帖 • 1 关注
  • Kubernetes

    Kubernetes 是 Google 开源的一个容器编排引擎,它支持自动化部署、大规模可伸缩、应用容器化管理。

    109 引用 • 54 回帖
  • 一些有用的避坑指南。

    69 引用 • 93 回帖
  • App

    App(应用程序,Application 的缩写)一般指手机软件。

    90 引用 • 383 回帖
  • 尊园地产

    昆明尊园房地产经纪有限公司,即:Kunming Zunyuan Property Agency Company Limited(简称“尊园地产”)于 2007 年 6 月开始筹备,2007 年 8 月 18 日正式成立,注册资本 200 万元,公司性质为股份经纪有限公司,主营业务为:代租、代售、代办产权过户、办理银行按揭、担保、抵押、评估等。

    1 引用 • 22 回帖 • 703 关注