看了下，签名文档还是有的，就是太乱了。

服务端签名直传
客户端源码解析： https://help.aliyun.com/document_detail/31927.html#title-egj-818-dnc
在“从服务端返回的消息解析如下：”下面讲了服务端签名返回内容，和对应 Post Policy 的链接： https://help.aliyun.com/document_detail/31988.html#title-5go-s2f-dnw

Post Policy 下面就是 Post Signature

这你敢信？当年阿里收购中国雅虎，推出无限容量的终生邮箱，结果 2 年就关掉空间，6 年就结束了“终生”。

年轻人，我劝你小心，阿里的吃相比百度还要难看。

我理解的无状态是指“服务端的某一层或某一个组件，不专门为访问用户维护一份会话数据”，这不代表整个服务端没有状态。

一个组件有状态是怎么样的？比如 FTP，当你连接 FTP 打开一个目录，你问 FTP 我在哪儿，FTP 会给你返回当前目录。这就叫有状态，FTP 自己维护了会话。

无状态呢？ HTTP 是无状态的，当你连接 HTTP 打开一个目录，你问 HTTP 我在哪儿，HTTP 并不知道，因为 HTTP 处理完就算了，这就叫无状态。你告诉 HTTP 要去哪个路径，HTTP 就带你去，但是不会记下来，所以你每次都要告诉 HTTP 去哪儿。

但是，这并不代表着通过 HTTP 实现的业务就不能有状态了。通过 IP 、HTTP Header 、Cookies 等信息，你也可以标记唯一用户，在处理 HTTP 请求的时候给用户维护一份会话数据，但这就跟 HTTP 无状态没关系了，你不能把通过其他方式实现的会话说成是 HTTP 的状态。

所以说，把会话数据存在客户端也可以是无状态。而且无状态必须要把会话数据存在客户端，这样才能告诉无状态的服务组件我是谁我要去哪儿。如果只存一个身份标识，像以前的 Session ID，就要求服务组件有状态了，在多服务器的时候必须同步会话数据。

可以保证，但是代价高。

以前在外企涉密岗位的朋友，配备专门的办公笔记本，不能外接设备，系统是定制的，联网可用，直通公司内网，系统用户只通过公司网关去访问互联网。

系统会持续上报用户行为，有安全部门负责审查，出现违规操作（比如安装未经批准的软件）就会被要求断网关机，等待安全部门把电脑取走调查。

据说连屏幕都有肉眼看不见的特殊水印，手机拍屏幕事后也能通过照片恢复出来一些信息。

应该有专门提供这种系统的服务商，就看你们公司愿意花多少钱去做了。这种级别的方案，估计费用不低。

@nicoljiang #30 哦，8 月更新了条款啊，才看到。我是知道有这么个东西，自己没在用，所以没关注到。

既然 JSDelivr 限制流量了，就注意使用吧，不用作图床。

考虑过用云函数自己撸一个，云函数+DNS 通过定时任务自动更新证书，推送到不同的云产品和服务器。

目前在用 acme.sh ，暂时来说够用，就没那么有动力去搞。

@hoyixi #3 都是干这行的，如果写着“随机”或者“最高”我就不会上当了。

美团直接写“立减 8 元”，没有随机、最高、抽奖之类的字样。我想着这种活动其他 APP 都搞过，我也确实领过，就没多想，结果中招了。

@dhkjenfbfu #17 网银转账早免费了，异地跨行收费 1%，但最高也才 50 块，支付宝微信这些提现服务费可是没有上限的。

要想便宜，#5 说的 JSDelivr 是最好选择。

JSDelivr 免费，有多家大厂赞助，也做了 Bootstrap 的官方 CDN，更重要的是他们在国内有备案，有国内的节点。

唯一的缺点是使用公开项目库，这就意味着你的网站图片能被人一次性打包下载，需要注意管理。

常规做法是通过 URL QUERY 传参，你可以留意巨硬在 office 和 outlook 的登录跳转，那 access_token 字符长度近 2000，用 . 隔开了几段，啥都能带了。

不用专门去生成，这样我干过，不方便，没必要。

你在 nginx 配置两个 server，一个源站后端，一个用户前端，前端 proxy 后端，根据路径把内容页 proxy_cache 了就行了，改样式之后直接把缓存目录清空了就好了。

掉十多根怕啥，大惊小怪了，洗个头都不止了，每天一百以内都是正常的。

有个自测方法，洗头第二天测，大拇指、食指和中指轻轻捏住一小缕头发往外拉五次左右，如果每次都有三根以上就说明有脱发问题。

站点监控，我用腾讯云的，可以自定义 UA，只能匹配静态的 HTML 内容，JS 改过的不行，不够用就自己用云函数撸一个吧。

想到小米路由的逆向操作，劫持 404 页插广告。。。

我第一个邮箱是 QQ 邮箱，基本没用过，后来真正要用的时候选了中国雅虎邮箱，因为当时他们的宣传是“终生邮箱”。

万万没想到，“终生邮箱”几年就完蛋了。这是我第一次见识到，阿里收购一家毁一家。

无状态，加盐加时间戳能防破解，但是在有效期内有重放问题，适合的场景不多。

没看懂这跟手动输入压缩包文件名有什么区别。