首先 TOTP 有个最大的问题是时间同步，你看一下他的算法就知道了，简单理解就是时间加上用户的唯一序列号做 hash 生成，所以客户端和服务器端要保持时间一致，这也是为什么大部分 TOTP 都是分钟为单位。如果真的做到 10 秒钟，用户这边看到、输入、确认，那边已经超时了比对不一致了。我们早年做过滑动时间窗口做客户端和服务器的时间偏移，但是没有特别的意义。
然后针对脱库这个，库里可以保存用户唯一序列号的强加密数据，这样即使拿到也是加密后的数据。但是加解密也是有时间损耗的，当然不会到秒级，但是用户量大的时候，专门为了登录这个动作而损耗计算时间是否有意义？
最后，现在的合规要求都是多因素，密码+TOTP 是最理想的双因素认证形式。可以考虑在使用 TOTP 的前提下略微降低对密码复杂度的要求，这也是目前部分认证的思路。
再最后，密码这块不要考虑这些有的没的，有任何想法请上 FIDO2 。

最便宜的 titanarmy 曲面屏 2560*1080 ，配合笔记本屏幕，再结合 i3wm 或者 hyperland 之类的，相当于三面方形的屏幕一起用。我的主业是咨询和写报告，偶尔也会写点代码，至少在我的使用场景下非常的爽

win11 自建 kms 激活的 pro 版，美国区域，目前还没收到对应的推送安装，还有点小期待...

@WizardLeo 大小文件都会慢，无所谓分布在 disk 还是 cache 上都一样慢，wifi 和有线也一样，总之似乎是 unraid shfs 的一个特性。找不到 unraid forum 的链接了...

@WizardLeo 不是，我没用 parity ，只上了足够快的 cache 。据说是 unraid 的 shfs 的锅，如果换成 shared disk 那么 smb 速度会正常，不过我没空测试，反正我更多是 wifi 访问本身就有速度限制...

unraid 系统是系统数据是数据，为什么升级系统会丢数据？如果是 docker 和虚拟机，可能 docker 版本或者 qemu 会有一些问题？我是没遇到过。但是数据我想不到有任何影响，除非你要换 fs 。
unraid 从 6.1 用到现在最新版本的前一个版本，因为最新版本居然降级了...硬件也换过好几版，硬盘位置 cache 什么的也调整过好多次，没遇到过数据出问题的。、
unraid 唯一的毛病就是 smb 过慢，我没试过直接 share disk ，据说能解决。除此以外都挺好的。
硬解这个，我现在是 13700 ，配合最新版肯定没问题。6.8 那个年代我还在用 gen10p ，直接物理屏蔽核心显卡...

HDD 的话，linux 直接使用 shred 命令，用/dev/random 作为输入，多复写几次。windows 用自家的 SDelete 就行。如果是 SSD ，全盘使用上边的命令做处理，或者简单考虑碎盘吧。

N3 的实现更类似于 paperwm 吧，当然 paperwm 是横向扩展，N3 似乎实现了二维扩展

@codeself 是这个意思。不过这个平台的搜索非常迷，比如我的每个文件夹都是 20xxxxxx 这样的日期格式开头，后边跟着大概的描述，但是搜索的时候不论输入哪个部分都搜索不出来...好在我的照片我都有印象大概时间，然后按照日期去找。

@Jianzs nextcloud 满足你需求，不做点对点加密的话在服务器端可以直接查看原始文件，但不建议直接文件系统写入。同步的话和 onedrive 之类的完全一致，可以选择文件夹作为同步盘，所有系统通吃。除了服务器端实在是略慢...
如果同步功能是你需要的重点，还是建议 syncthing ，增量同步，多端文件夹一致，速度也理想

@alukongfu x11 下有 autorandr ，wayland 下有 kanshi ，都不想用还可以配合 udev rules 或者做成 key bind 手工切换，比如我就是配合 edid 查找目前接入的显示器，然后在调用上边的命令做切换

Arch + Hyprland ，NVDIA+Wayland ，常用的除了笔记本自己的屏幕之外还有两个显示器，使用下边的命令：
wlr-randr --output DP-1 --mode 2560x1440 --pos 0,0 --scale 1.25 --output eDP-1 --mode 2240x1400 --pos 0,1152 --scale 1.4
wlr-randr --output eDP-1 --mode 2240x1400 --pos 0,0 --scale 1.4 --output DP-1 --mode 2560x1080 --pos 1601,0 --scale 1
每个显示器都完美不虚。如果是 chromium 和 electron 需要考虑在打开应用时候加上 wayland 支持，但即使不开，也仅仅是字体边缘有一些极轻微的虚影，不对比基本看不出来。
NVIDIA + Wayland 前两年确实不行，但是现阶段基本上正常使用没有问题了。

目前我在阿里云盘上保存了 2.4T 的加密照片，大概是不到 8 万个文件的样子，没遇到封号的情况。我是 aliyun 挂 webdav ，然后 nas 自动 rclone 加密上传。像楼上说的，这个纯粹就当作是可有可无的一个文件备份。

我曾经再 archlinux host 上单显卡直通给 windows11 guest ，当然实际使用过程中切换的时候需要 logout 然后才能使用显卡资源，偶尔也出现过 guest 关机之后显卡资源没释放导致需要重启 host 的情况。
不过正如楼上所说，既然是公司给配电脑做办公用途，那就要求公司提供就好了。或者也可以学我自购设备求发展...

135354

和 23 楼类似，自用 plex lifetime ，省心不折腾，几个 rr 配好之后一条龙，各端有独立 app ，除了国剧之外目前没遇到刮削不成功的，当然也可能是我看得少。分享用 emby 破解，建帐号就行，不需要额外买 app ，不需要注册。不过今年黑五打算买 emby premiere 了。

目前 arch+qtile ，之前在用 i3wm+autotiling ，在公司是笔记本+带鱼屏，在家是笔记本+正常 25 寸屏，在外就是笔记本。
怎么说呢，平铺这个在 linux 上确实好用，尤其是多屏环境或者单独带鱼屏这种非标屏幕上，能显著的提升显示效率，不会有浪费的屏幕面积，也不需要不停的切换。平常办公环境下基本相当于三屏在用，笔记本(左，笔记或邮件)+带鱼左 2/3(中，主要干活用，写文档或代码)+带鱼右 1/3(右，其他比如 alacritty 或第二参考内容)。然后通过快捷键切换不同的 workspace 。各个 workspace 之间使用 qtile 或者 i3wm+autotiling 来配合实现不同的分屏比例，可以做到有序办公+摸鱼。
快捷键这个事情吧，不是需要你死记硬背的，在你一轮一轮修改配置文件的过程中，自然就熟悉了...
当然问题也有，比如知名的腾讯会议或者 powerpoint 演示模式在平铺下就非常不友好，所以通常我都还会保留 cinnamon 作为备用方案。qtile 本身支持设置 workspace 为 floating 模式，然而并不是很好用。
当然以上并不适用于 mac

则原上来说 TPM+secureboot+bitlocker 的方案是安全的，底层 TPM 存储和管理最根源的私钥，secureboot 一层一层证书验证确认 bootloader 直到 OS 是完整且可信的，bitlocker 使用 AES 做数据本身的加密，且 AES key 通过 TPM 进行管理，PIN 、Password 这些用来协助取出来 AES key 做解密，恢复密钥存在其他盘或者存在 Onedrive 用来做错误恢复。但是如果都拿到恢复密钥了，那么肯定能解密 bitlocker 啊。他一开始的那个什么免拆机取证估计就是通过雷电或者类似接口的 DMA 直接访问度数据吧。确实都已经能物理拿到设备了，就难不倒取证机构了。

我在用傻多戴的 Inspiron 14 plus ，12700H+nv3050 ，内存可以自行升级到最大 40G ，14 寸 LCD 雾面屏，色彩还算比校准。键盘居中且间距够大，弹性良好，触摸板够大。唯一没有指纹。
目前我在用 archlinux ，全都正常驱动，使用 systemd+dracut ，未启用 secureboot ，自签的证书总体对安全性没什么提高，luks 全盘加密，启动阶段输密码就好。原则上 archlinux 可以启用 secureboot+tpm 。
之前在爱国的 matebook 13 上用的 archlinux ，指纹不能驱动，供参考。

不过 linux 端启用指纹的意义实在不大。windows 上还可以 tpm+secureboot+bitlocker+windows hello 一体化加密认证登录，但是 linux 目前没有完整的链条，当然如果佬能实现一下的话我倒是希望坐享其成。哦对我的傻多戴没有指纹...