花園

3 則筆記正在生長。清除篩選 ✕

• Guard 的疊層順序：限流要站在認證前面 平台有兩個全域 guard：限流（throttler）與 JWT 認證。它們的註冊順序是一個安靜但重要的安全決策：限流在前。 順序反過來會怎樣？帶著偽造或過期 token 的請求先被認證擋下、根本走不到限流——攻擊者可以用無效 token 無限次敲你的認證邏輯（含一次 JWT 驗簽的 CPU），暴力嘗試零成本。限流站前…⇄ 1#nestjs #平台 #安全 最後照顧 07-14
• 欄位級加密：只給會動真錢的祕密 資料庫裡有一類欄位外洩即災難：交易所的 API secret、後台填的 SMTP 密碼。整庫加密太重、也解決不了「DB dump 流出」的場景——我要的是欄位級對稱加密，而且只給真正高敏感的欄位用。 設計上的幾個定案 - AES-256-GCM——authenticated encryption，密文被竄改會在解密時直…⇄ 2#nestjs #平台 #安全 最後照顧 07-14
• 結緣、澆灌與一封確認信：匿名網站的信任設計 這個站沒有會員系統——訪客是匿名的。但有兩個功能需要「某種程度的身分」：訂閱常青通知，和rootnote-origin|澆灌的一人一票。怎麼在不建帳號的前提下設計信任，是我在這個站上最喜歡的一組取捨。 訂閱：double opt-in 填了信箱不算訂閱，點了確認信裡的連結才算。這不是形式主義：沒有這一步，任何人都能拿別…⇄ 7#rootnote #nestjs #安全 最後照顧 07-14