反向代理后面的真实 IP
直接读 X-Forwarded-For 的第一个值，等于让客户端自报身份。限流、封禁、审计全部建立在「IP 可信」上，这一步做错，后面全部失真。
全部标签 
#安全
共 3 篇文章
密码存储：bcrypt 参数怎么选
密码不能加密，只能哈希。但哈希函数选错、成本因子定错，等于给自己埋一颗定时炸弹——三年前的参数，今天可能已经不安全。
JWT 不是会话，别拿它当会话
JWT 解决的是「跨服务信任」，不是「记住谁登录了」。把它当会话用，就会遇到「无法登出」「无法封禁」这两个死结。