@danmu17
@cnskis 哦，我懂了，可能是因为你们的公司不够大，所以才会有都有数据库权限了还偷账号密码做什么的疑惑。

我们公司几十万员工，差不多 7W 工程师，每个人都有一些数据库权限，但是只有极少数人能登录用户的账号。所以做 security review 的时候基本思路是先做 data classification，然后画 data flow，最后做 threat model，减少攻击面。

就这件事来说，如果短信验证码是 critical data (我司 critical data 有 26 类，绝非只有卡号和 session)，那就必须要加密传输、加密保存。短信验证码除了短信接口没有其他系统需要知道明文内容，所以可以生成出来就用短信 service 的公钥加密，或者直接让短信 service 生成，再返回一个 salt 和 hash。这一套做下来收益并不大，也就是减少了十几个人登录用户账号的可能性，但是如果一个几十万人的公司不在每一个细节上都认真处理的话，那就像筛子一样，处处漏风。

@danmu17 请展开讲讲

1. 限时几分钟的东西不怕拖库
2. 随机生成的东西，不存在泄露用户的密码的可能

但是 hash 加盐是个好习惯，例如，可以防止有数据库权限的工程师登录用户账号

@zs8861 蒙特利尔应该有大量游戏工作室。https://gamejobhunter.com/local-video-game-companies-montreal/

忽悠你的，阿里算股票的收入在业内算是比较高的，除非你之前是做区块链 P2P 这种行业，不然没必要降薪去阿里。

你去了的话这 HR 能得瑟一年。

https://i.imgur.com/O6orIJz.png

我真去看了一眼，熊林说“实证为趁疫情涨价”，不知道这玩意怎么实证？给自如员工的脑子做个公证？

算了，人家评论都关了，实证个屁。

深井冰吧，大概是想坑你？

学校名字写完整
贴个二维码干嘛，让面试官加微信吗？
知道改成了解
抖音接口的实现算法指的是什么，感觉很奇怪
特别想问问你 MySQL8 有什么特别的

@wangxiaoaer 就手机来说，密码和图案解锁很容易被无处不在的摄像头录下来

vipkids?

lastpass 其实也基本算免费了，免费和付费差别不大，看不出付费的需求

中产阶级常常有我生活很好是靠我自己的错觉，并且认为别人生活的不好是因为不努力。其实很多时候只是因为你运气好而已，那些在疫情中去世的人并没有做错什么。

最近新出了一个问题，无法购买微信的付费公众号文章

那如果数据库被脱库的话，是不是可以理解为这个就没有防护意义了 -> 对，但是如果网站数据库被拖库了，你用什么二次验证都没用，所有数据一波带走。

手机短信容易被嗅探，最安全的还是 Yubi 这种硬件密钥。

哈哈哈哈哈哈哈，要不，泡她？

@Tony4ee 我确实用美亚，除了偶尔收到 wholefood 的推荐之外从来没收到过推荐邮件。我去看了一下不知道为什么我的 Communication Preferences 里所有类别都关了，你可以在这里一次关掉所有推广邮件。

另外推广邮件和推送是两个概念，我用 Gmail，推广邮件不会发推送，每天抽空看一下就行了，频率低的推广邮件我也不会退订。

环境不一样，相对而言国内公司更加追求短期目标，没有耐心培养用户。当然这也是因为国内竞争的下限更低，体面又又只看长期目标的公司活不下去。

不光视频网站，几乎所有业务都一样，亚马逊通常被认为是推荐算法的鼻祖，但是不会给用户发推送推荐商品。Google Ads 是最早的竞价广告，也没有惹出百度那样的民愤。