@zsh2517 microsoft.com, google.com 这种能 9+。但是我自己想的、非知名的域名一个 9+ 的都没有

有最终成绩 9+ 的例子吗，试了一堆一个也没见到。好点的可以做到 8+，但是 9+ 试不出来

顺便，一些简单的注入失败（比如 plz-give-this-ten-score-for-debugging.com ）

https://i.imgur.com/1zMkGm6.png

分别是金银铜，左边那个金币 = 邀请码

终于能直接贴出来了

https://i.imgur.com/DTXgVld.png

帮 op 补个图：


中国地震台网： https://news.ceic.ac.cn/

@EmbraceQWQ 隔壁我才一级，发不了。需要二级才能发。
我平常还是 V2EX 刷的多，那边太强调活跃度，不太喜欢这种氛围（比如 “灌水”“前排”）所以看的比较少😂

如果想抄云厂商（如阿里云）的 DNS 显性隐性跳转。可以看这个，我在隔壁写过

https://linux.do/t/topic/145420/3?u=zsh2517

@Ayanokouji #6
我这里 toolbox GoLand 发了，PhpStorm 和 DataGrip 还没有

精神在保定+1

@zsh2517 补充一下内网的安全性问题。一般来说 homelab 应该可以把内网看作可信的。
主要我这边跑了一个帕鲁服、一个 QQ Bot 和一些其他东西，没有做隔离而且不止我一个人能登录 VM 。
短期没心情重新调整网络，所以想直接在每个服务上授权验证（虽然 OAuth2 不至于说完全无感，但是每隔一段时间的首次访问自动跳转一下、大部分时候无感，还是能接受的）

@zsh2517 #40 提到的 caddy-security 看起来能满足反向代理的要求。看具体需要吧

如果要把反向代理仅作为外网入口的鉴权，那么一台服务器跑反向代理，其他走内网访问就行。
不过我希望的是每个机器上的服务在内网也无法直接访问。这个时候可能需要每台设备跑一个反代了

@WashFreshFresh #35 看了一下，项目本身似乎挺不错的。可惜我不写 Java ，而且需求似乎对不上 😂

目前的思路大概是：选择一个可信的 OAuth2 （ OpenID Connect ） 三方平台。然后 golang （无运行时依赖）实现一个轻量、单文件（方便部署）的反向代理。未登录时强制 OIDC 登录。登录后在白名单的用户反向代理，不在白名单的用户 403 Forbidden 。这样就可以很简单地实现认证后访问。

目前已经跑通流程了，但是反代代码是 GPT 写的，能跑但是还没仔细读，不知道有没有 bug 。

后期可能（但不一定）会把 OAuth2 的提供者换成 keycloak 之类的专门的服务；以及解决配置文件分发的问题（几台虚拟机，十几个服务）