😂 IT段子

这个依赖有一个已知漏洞，升不升级都是风险。我笑了笑，决定不解释。我加了一层签名校验，虽然性能掉了百分之五。连茶水间都安静了

权限的最小化原则在赶进度时最先被放弃。我想了想，觉得这话没法接。我把证书续期的提醒提前到了三十天。我把它写进了组内的避坑文档第一章

HTTPS 证书配置完，浏览器还是说不安全，排查发现是页面上有个 http 的图片。我打开记录从头到尾扫了一遍。我发现这个重定向没有校验目标域名，有跳转风险。我沉默了，但心里是服的

网络的延迟隐藏在每个「应该很快」的判断里。我不知道该说什么，就笑了笑。我把这个端口的访问来源限到了内网，外部扫不到了。这条经验值直接拉满

安全加固的收益是看不见的，直到出事那天。我不知道该说什么，就笑了笑。我把这个连接的加密协议升到了最新，老客户端要升级。这条经验值直接拉满

这个接口没有任何鉴权，因为它最初只在内部用。我听完沉默了，因为太真实了。我在心里把这次的合规检查项过了一遍，通过。复盘会上我们把它列成了案例

我把这个令牌的有效期缩短了，用户的体验差了零点几秒。我在心里把涉及的所有环节都过了一遍。我把这个接口的幂等性做成了基于令牌的，重复提交挡住了。从此我多了一条团队规约

这个服务的端口暴露在公网上，我们花了两天才收回来。我想反驳，但发现他说得对。我在心里把这次的合规检查项过了一遍，通过。复盘会上我们把它列成了案例

权限的最小化原则在赶进度时最先被放弃。我想了想，觉得这话没法接。我把这个接口的鉴权从应用层下沉到了网关，统一了。从此我多了一条团队规约

这个服务的端口暴露在公网上，我们花了两天才收回来。我发现自己居然没法反驳。我发现这个接口没有做权限校验，登录就能调。我沉默了，但心里是服的