@liuxurong HTTP层的劫持除了投诉没有其他办法，直接工信部

http://www.chinatcc.gov.cn:8080/cms/shensus/

这个公司貌似最近上过V2EX头条。。内有BT，慎入

@Veelian 客户端都能反编译了，你用神马都没用，还不如老老实实HTTPS

https就足够安全，不用自己折腾

纠纷的时候用，比如移动的客服骂你一顿，你就可以投诉了。。

短路了呗，用万用表看下

法律规定的

不需要中间人攻击，SMTP可以伪造发件人的（不过SPF, DKIM这些如果接收方验证的话是可以识别出伪造的，但是有些接收方不验证）

根本解决办法就是PGP签名

wordpress + memcache，一般情况就没问题，本身负载不行主要是数据库瓶颈

Chrome直接拽到extension里还没效果，必须用TamperMonkey

@txlty 最后一个链接笑了<_<

是的，用法不对。买之前应该调查下吧，kpw从来就不适合看技术书籍，尤其是扫描版pdf

@raincious 就放弃hash搞密码吧，本身就不是为了密码设计的，因为性能太好了<_<

密码的算法关键是慢，快了反而不安全。Bcrypt的复杂度是能调整的，就是要慢到计算机无法忍受而人类可以忍受的地步，比如0.x s

@raincious

1w IP的站也算是大站了，假设这个站的所有页面都需要登陆（也就是没有匿名用户），Cookie保留1周

也就是每天平均会有 1500个登陆动作，md5一次的时间可以认为是0（ms级别），bcrypt按照0.3s计算

也就是用了bcrypt后，每天多耗费450s，而且是均匀分布的

这点时间成本有节省的必要么。。。


另外MD5就算加salt也不安全，尤其是salt泄漏后，跑个单独的彩虹表是很快的，上1G/s的速度（如果是针对个别用户，用暴破也非常快）

bcrypt是安全和速度的balance，跑彩虹表，跑死吧，一个0.x s <_<

如ls所说，忘记电池存在，想用电池有电池，想用电源用电源

只需要注意两件事：
1. 不要一个月做一次电池校验。。3、4个月或者半年做一次就行了
2. 电池用到30%以下最好就不要用了

@raincious 你可以计算下md5和Bcrypt 的CPU时间差距

以及1w ip的站点每天应该有多少登录动作，以及使用bcrypt比md5来说多使用的CPU时间

@raincious 你的网站是什么规模呢

@Ricepig 7楼我觉得比9楼还醒目，这也要喷么