单个小项目可以用Trac，其他直接上Redmine吧

@skywinger RSA如何做到相同明文每次加密密文不同，表示不解

@9hills 安全策略本来就只能在确定你需要的安全等级后，相互challenge，排除了所有疑问之后才可以指定的。看看选个AES，到后面剩下几个选项在当时都没有哪怕不太明显的漏洞了，不还得继续相互challenge。

@9hills 因为很难权衡，随着时间推移安全的长度会逐渐变长，你得选择一个合适的策略，在合适的时候让用户换密码。

@yyfearth 不能，因为设备可以伪造，哈哈哈

@yyfearth 所以负责任的态度是只能选择不存，因为快的要被暴破，慢的要被DDoS

@yyfearth hash消耗计算能力过多，你就等着被DDoS吧

@yyfearth 量子只是特别适合攻击RSA。对于别的类型的计算还没找到有效的算法。所以是另一个问题。

@9hills 不是这个策略。比如CSDN存的是 SHA1(salt + password) ，有人拿到了 600W 帐号，对他来说，更好的策略是先算 600W帐号 SHA1(salt+'12345678') 而不需要分别计算彩虹表。

@9hills 你也太低估现在的显卡了，有个估算表，你可以参考一下 http://golubev.com/gpuest.htm

@9hills salt再长也挡不住人家拿着高频密码或者弱密码一个个试过来，试不出来就放弃的策略。

有个问题，万一硬盘丢了， 只要 cat ~/.bash_history 一下，你的密码就全曝光了

@lijia18 一直是这么做的，刚才发生问题的原因是 http://www.v2ex.com/t/24554#reply16

@mywaiting Django ORM还是比较容易用的，如果刚好能满足你的需求的话。而且文档还算比较全的那种了。

@lwjef 没有salt， 用户序号只是在生成cookie内容的时候用到

于是，这里又牵扯出v2ex另一块安全问题了，v2ex保存密码的时候，是直接存SHA1的，连salt都没有哦。至于改了密码不删那个伪session，简直就是在挑战你的想象力。

@1212e 好吧，你是对的。改密码的时候，memcache里的auth没有被删掉，只能等那个memcache的记录过期才行，过期需要两周。

@1212e 不是的，cookie里面是这么写的 auth: HEX(SHA1(uid ':' HEX(SHA1(password)))) ， 也就是你改了密码，之前登录的Cookie都会不行的。

ipod touch上仍然是登录状态？