HTTP
2022-08-20
Server Push 服务器主动推送资源，客户端请求 A 的时候，服务器把 A 相关的资源 B, C, D 都一起推送给客户端。-
Early Hints HTTP 103 状态码。客户端请求 A 的时候，
- 如果是普通情况，服务器返回 200 状态码，带上资源信息
- 如果应用上 Early Hints，服务器返回 103 状态码，带上需要资源信息（Link 头），然后是资源信息
好处就是节省了浏览器解析 HTML 获取子资源信息的延迟。刚解析 103 头，就可以开始请求子资源了。
就最近的几个月，主流浏览器开始提供支持。
-
Preload Critical Assets 就是 HTML link 头中的 rel="preload"，提前加载文件，避免按照文件解析生成的调用链顺序来加载，而提升资源加载速度。
谷歌博客显示，在 Chrome 106 和其他基于 Chromium 的浏览器的下个版本中，默认情况下将禁用对 HTTP/2 服务器推送（HTTP/2 Server Push）的支持。
HTTP/2 允许服务器在实际请求之前 “推送” 服务端可能需要的资源， HTTP/2 的 Server Push 特性解决了 HTTP/1.x 的无脑按顺序加载资源的问题，本意是提高网页的响应性能。
然而这功能逻辑本身就有问题，比如资源存放在单个业务服务器上，并行推送多个静态资源只会降低响应速度，性能不升反降。而对于前后端分离的业务来说，HTTP/2 本身就支持多路复用，server push 只能稍微降低浏览器解析 html 的时间，对现代浏览器来说性能提升可以忽略不计。
HTTP/2 时代也只有 1.25% 的 HTTP/2 站点使用了这个特性。在 HTTP/3 出来之后，该功能更是彻底被遗忘了，最新的分析中，网站对 HTTP/2 的支持率从 1.25% 下降到 0.7%。
替代方案
103 Early Hints 是 Server Push 的首选替代方案，它具有 Push 的许多优点，而缺点则少得多。与服务器推送资源不同，103 Early Hints 只向浏览器发送可能受益于请求的资源提示。浏览器可以控制它是否需要这些资源，比如浏览器已经在 HTTP 缓存中拥有这些资源，则无需额外加载。
预加载关键资源是另一种选择，它允许页面和浏览器一起工作，在页面加载的早期抢先加载关键资源。它不如 Server Push 或 Early Hints 快 —— 但它不会延迟关键页面资源，而另外两种解决方案都可能发生这种情况。
参考资料与拓展阅读
开发者
2022-08-19
《Stop Using TODO for Everything》建议采用更加明确的标记来注释代码：
FIXME/BUG 需要修复（缺陷）CHECKME/REVIEW 需要审查DOCME 需要文档TESTME 需要测试HACK/OPTIMIZE 需要优化
我就是喜欢在代码中写 TODO，以后可以照着这个建议搞些花样。
Auth 信息安全
2022-08-19
2FA / MFA
双因素 / 多因素认证，就是指处理密码之外，再加一些辅助手段用来加强认证。
常见的 2FA 方式：
- 密码 + 短信验证码
- 密码 + 微信公众号推送验证码
- 密码 + 身份验证器
- 密码 + U盾
人体特征
应该有人脸，指纹，声纹，虹膜等方式的组合（甚至在异形 4 中有吹气的方式），这些在我们的数字生活中这些认证方式多少都有一些体验吧。
动态口令卡
事先给客户一张密码表，然后需要的时候要求客户按要求输入指定位置的数字用来验证身份。
原理应该和微信让用户指认哪个头像是自己的好友一样。
证书
银行的 U 盾
OTP（动态密码）
一次性密码，One Time Password
TOTP 的全称是"基于时间的一次性密码"（Time-based One-time Password）。它是公认的可靠解决方案，已经写入国际标准 RFC6238。
不知道密码学上是什么原理，只知道可以每分钟生成一个 6 位密码。只要双方算法和密钥一致，就能实现认证。
软件的，谷歌身份验证器，微软身份验证器，这种。
硬件的，银行的动态口令，早些年网易的将军令，这种。
FIDO
FIDO（Fast IDentity Online，线上快速身份验证）联盟是成立于2012年7月的行业协会。其宗旨是为解决强制认证设备的交互性和用户面临大量复杂的用户名和密码。
主要是一些巨头（Google，微软）和搞 2FA 硬件设备的厂商组件的联盟，目标是通过一个标准，让符合标准的技术能够到处适用，用起来更方便、更安全。
官方定义的愿景是 “减少世界对密码的依赖”。
协议：
- Universal Authentication Framework (UAF)
UAF 1.0 Proposed Standard (December 8, 2014)
UAF 1.1 Proposed Standard (February 2, 2017)
UAF 1.2 Review Draft (November 28, 2017)
- Universal 2nd Factor (U2F)
U2F 1.0 Proposed Standard (October 9, 2014)
U2F 1.2 Proposed Standard (July 11, 2017)
- FIDO 2.0 (FIDO2, contributed to the W3C on November 12, 2015)[4]
FIDO 2.0 Proposed Standard (September 4, 2015)
- Client to Authenticator Protocol (CTAP)
CTAP 2.0 Proposed Standard (September 27, 2017)
CTAP 2.0 Implementation Draft (February 27, 2018)
说明：
- FIFO 由两部分组成：通用认证框架 (UAF) 和 通用第二因素 (U2F)。
我的理解：
- UAF 是一套新设计的认证方案，系统对设备进行认证，然后设备在本地通过 PIN 码，指纹等方式（主要是生物特征）对客户进行认证。
试图取代现在简单密码比对的认证方式。
- U2F 是主密码 + 硬件口令，最早由 Yubico 和 Google 设计。。
- 现在流行的是 FIDO 联盟和 W3C 共同制定的 FIDO2，将 2FA 的相关技术拓展到 Web 领域。
FIDO2 主要由 W3C Web 身份验证（WebAuthn）和 CTAP2 （客户端到身份验证器协议）组成。
浏览器的 WebAuthn JS API + 客户端的 CTAP2。
WebAuthn 向前兼容 CTAP1 / U2F。
- CTAP 支持 USB，蓝牙，NFC 三种方式。
- CTAP1（Client-to-Authenticator）约等于 U2F
- CTAP2，CBOR 数据格式？
- 主流浏览器都已支持 WebAuthn，也就是说网站可以接入了。
阿里巴巴的 IFAA
腾讯的 TUSI
今天的《科技爱好者周刊（第 219 期）：如何防止帐号被黑》中说：
上周有一起安全事件。两家著名的美国互联网公司----Twillo 和 Cloudflare----被攻击了，前者还被攻破了。
手段还是钓鱼，不止钓密码，也钓了 TOTP 验证码。所以阮一峰在文章中的意思是，物理密钥会更安全。
这么说确实有道理，其实我好多次都想买一个，就是太贵，两三百。
阮一峰还提到，有部分实践（Web Authentication）在尝试采用本地设备的认证手段作为第二因子，比如手机和笔记本上的指纹识别和人脸识别。
还是希望有厂商能够推出廉价一些的 Key。
参考资料与拓展阅读
浏览器 Chrome
2022-08-14
- 根据域名等关键字搜索出来相关记录
在历史记录上点击右键菜单中的 来自相同站点的更多内容 也行，其实就是按域名搜索
- 选中第一个，然后滚动到最下面，按住 Shift，选中最后一个
- 点击右上角的 删除 按钮
Windows
2022-08-13
个人
2022-07-02
个人 阮一峰
2022-07-01
本周的《科技爱好者周刊》讲了冯·诺依曼的故事。
学计算机的，应该没有人不知道冯·诺依曼架构，冯·诺依曼也被称为现代计算机的发明人。他结合了数理逻辑、信息论和生物学，开创了自动机理论，并希望在这个领域做出更大贡献。但是他总是插入其他相对不重要的工作，比如政府相关事务，以致于最后并没有为自动机理论的发展做出应有的贡献。
他本人并非不知道这一点，但就是这种性格，喜欢同时研究很多事情，一旦对某件事情产生了兴趣，就会放下手头的工作，推说稍后再回来接着做，可惜人生并没有为他留出"回过头再做"的时间。
尤其是这句话，我感觉扎心了，妥妥的就是在说我。
我感兴趣的事情实在太多，以致总是被各种事情打断而很少能实现预定目标。我一直就有一种感觉，感觉自己是一只在追赶沙丁鱼群的、“没有经验”的小旗鱼，悲哀！
我要安静下来，仔细思考我的目标到底是什么，它们有一个怎样的优先级。
幻想
2022-06-30
Golang GUI
2022-06-20
明显，fyne 遥遥领先。
开发者
2022-06-17
DB
2022-06-13
开发者 英语
2022-06-06
不看不知道，一看，读错好多单词。
包管理工具 Windows
2022-06-04
winget list
winget list -?
winget search xxx # 搜索
winget install xxx # 安装
winget upgrade # 列出 upgradable 包
winget upgrade xxx # 升级指定包
winget upgrade --all # 升级
winget
Windows 程序包管理器 v1.3.2691
版权所有 (C) Microsoft Corporation。保留所有权利。
WinGet 命令行实用工具可从命令行安装应用程序和其他程序包。
使用情况: winget [<命令>] [<选项>]
下列命令有效:
install 安装给定的程序包
show 显示包的相关信息
source 管理程序包的来源
search 查找并显示程序包的基本信息
list 显示已安装的程序包
upgrade 显示并执行可用升级
uninstall 卸载给定的程序包
hash 哈希安装程序的帮助程序
validate 验证清单文件
settings 打开设置或设置管理员设置
features 显示实验性功能的状态
export 导出已安装程序包的列表
import 安装文件中的所有程序包
如需特定命令的更多详细信息，请向其传递帮助参数。 [-?]
下列选项可用：
-v,--version 显示工具的版本
--info 显示工具的常规信息
可在此找到更多帮助： https://aka.ms/winget-command-help
开发者
2022-06-03
根据最新的 TIOBE 数据, 分析前面 50 中语言。
具体排名的意义对我们来说到不大，只是用来做一个比较热门语言的清单。
开发者
2022-05-22