不说。

楼上老哥解释的很详细； 原来 lua 是默认调用了一个 openssl 的自动生成 iv 的函数，不是用全 0 的 iv ；

其实一般做法 iv 都是自己写段逻辑自己生成的，用随机数也好，不重复生成的算法也好。 因为传输密文的时候这个 iv 怎么传得跟对方约定好的，是单独一个业务字段，还是放到开头结尾； 所以 iv 这块总是要自己处理的；

OP 意思是同样的 key ，同样的明文，2 和 3 结果不一样吗？

如果是这个意思的话，那是因为 cbc 模式要求有 iv ，正常的做法，每一次加密 iv 都是一个不一样的值，同样 key 同样明文，iv 不同获得的密文也不同； 接收方要解密的时候必须知道 key + iv 才能解密，一般是约定附加在密文开头或者指定另一个字段；

你这两个都没有明确设置 iv ，那得看 lua 的默认行为和 java 默认行为最终导致的进入运算的 iv 一不一样； op 可以手动设置 iv ，或者查查手册把 iv 打印出来

@Hurriance

OP 就按这个老哥说的提，原文复制。

如果再把“请问”去掉，语气会更加柔和。

@hirenloongdddd 从未见过严谨文件用英语写的，不都是要用法语吗？

1. 不罕见；
2. 孩子思想价值观还没成熟，正在探索这个世界，我觉得发展到这里非常非常正常，所以是未成年人嘛，需要大人和学校纠正和保护，可以庆幸发生的时间晚，并且是小事，不是拿刀捅同学或者把同学推下楼这种无可挽回的事；
3. 我觉得你的处理方式挺好的；

直接起诉打官司？ 也恶心他们一下

@happyxhw101

OP 用这个方法就行，最简单实用的，cookie 双重认证， 你所有的重要请求都在页面上用 js 发 post ， 发的时候把 cookie 里面的 token 值带到请求上，放 post 参数、header 里都行；

你后端收请求的时候：
1. 先看 cookie 里面有没有 token ，没 token 就拒绝，然后 set-cookie 种个随机数 token ；
2. 再看请求里面带没带和 cookie 一样的 token ，不一样就拒绝；

对 csrf 的问题就解决了；


网上有很多会结合 xss 和 csrf 考虑的，我个人认为这样复杂了，一般有了 xss 漏洞就不考虑 csrf 了，xss 能做的太多了；有 xss 的问题修 xss 的问题，讨论 csrf 都是要在没 xss 没钓鱼的情况下讨论，不然说不清；

没事，瞎写就行，你又不是什么大负责人；
有那精力给自己的项目或者开源项目搞搞不香吗；

除非大家瞎写你又要负责系统可用性，然后系统真的因为大家都瞎写反复挂的时候，你再考虑怎么定定规范，搞搞 ci 流程之类的， 没到这一步不用想。

主要没钱吧，要有钱我肯定包养很多女人，然后选个牛逼的女的结婚让她当大太太管着她们；

我觉得如果不去当英语老师，学 8 级没有必要，自学不如学点 BEC 雅思托福； 8 级的内容不实用，偏语言专业了，就是听起来 nb ；

想今天加他好友找他对线，又怕骂不过自取其辱。
---------
我教你，放弃任何逻辑，直接什么字脏骂什么，放开骂，不可能有骂不过这一说

nb ～ 立即下载

大家有没有好看的蔡徐坤图标啊

然后实体书这块，我还是建议孩子小的时候一起和孩子看实体书，虽然实体书又重又伤眼睛，但是可以培养孩子专注力，实体书只有单一内容，可以深度阅读，在平板上孩子注意力容易被很多内容抢走；