漏洞与安全设计

下次你在安卓手机上下载新APP时，全世界都能知道这事。那些专门倒卖数据的公司会把这事记下来，结合其他广告公司知道的关于你的信息，最后连你买咖喱角该付多少钱都能被他们操控。就在几年前，你手机里装的任何一个APP都能随便偷看你其他所有APP，根本不用问你同不同意。

Google最近透露，他们在Android系统中开始使用一种叫做“内存安全语言”的编程语言（比如Rust），这是他们“设计即安全”策略的一部分。结果发现，过去

多个开源项目（如Fedora Pagure、GNOME GitLab、KDE） GitLab 等）因受到来自 AI 公司的爬虫流量攻击而面临巨大压力，导致项目不得不采取极端措施，如禁止特定国家或 IP 范围的流量，或实施验证系统以过滤机器人流量。这些爬虫不仅消耗大量带宽，增加了项目运营成本，

报告乱喷17款APP和奇虎公司“有秘密关系”，其实是在抹黑！ 最近有个叫TTP的国外组织发了个报告，硬说17款VPN软件和奇虎公司（中国知名网络安全企业）有“隐藏关联”，其中6款在苹果商店，4款在谷歌商店，7款两家都有。

你正码字码得飞起，突然网页弹窗："会话已过期！" 你骂骂咧咧地输密码（第108次）、收验证码（第108次）、点邮箱确认（第108次）...终于爬回工作界面。结果半小时后——"您的会话已过期" again！ 以前光输密码就算了，现在这些验证码、人脸识

Meta最近被发现在Android设备上使用本地主机跟踪来跟踪用户的活动，这项隐私数据收集功能可能会花费Meta 320亿美元，作者解释了本地主机跟踪背后的技术。 数据工程的一个关键部分是收集高质量的数据，以增强业务决策和智能。我们能在多大程度上跟

CA和浏览器大佬们开会投票决定：以后网站安全证书（TLS证书）的有效期要缩短，证书里验证过的信息也不能一直重复用了。第一批变化2026年3月开始生效。 这个决定吵了很久，改了好多版，听了发证机构和用证书的人的意见。投票在2025年4月11日结束，总算定下来

API密钥不是密码！这些血泪教训让你秒懂区别 你的API密钥不是密码！把它们当密码用？灾难正在路上。

网站和访客之间的互动是无状态的，意思是每次访客向服务器发送请求时，服务器都会独立处理这个请求。一旦服务器发送了响应，它就没有内置的方式来识别同一个访客是否再次发送了请求。静态网站很好用，服务器只是单纯地把内容发给用户，不需要记住每个访问者是谁。因为这种交互是单向的，服务器不需要根据用户个性化

我们刚刚推出了Codacy Guardrails，这是一个IDE扩展，带有用于代码分析的CLI和MCP服务器，可以实时对AI生成的代码执行安全质量规则。 它与AI编码助手（如VS Code Agent Mode，Cursor，Windsurf）挂钩

第三方（又称跨站）Cookie 对网络有害，必须从网络平台中移除。本研究结果解释了为何必须移除它们，并探讨了移除它们所面临的挑战。我们重点介绍了一些依赖第三方 Cookie 的用例，并提供了一些可以替代它们的专用技术示例。规范制定者在提出新的网络平台技术时，应确保不会损害移除第三方 Cook

来，给你们讲个黑客界的"黑吃黑"大戏！ 【惊天大反转】2025年3月，GoDaddy公司的技术员发现一个叫"DollyWay"的病毒（这货8年来一直把受害者骗到"VexTrio"诈骗网站）突然在2024年双11之后改邪归正了！更神奇的是，其

最近有个超酷的黑客大赛，AI（人工智能）竟然把人类团队给“虐”了！这事儿听起来就像科幻电影，但它真真切切发生了！来，我用大白话，给你讲讲这事儿，还得加点料，让你听个过瘾！ AI黑客大战人类，完胜！有个叫“栅栏研究”

Next.js 开源 Web 开发框架中发现了一个严重漏洞，可能允许攻击者绕过授权检查。 该漏洞的编号为 

【震惊！Reddit要搞"扫眼珠子"登录？OpenAI老板的魔幻操作来了！】 以后上Reddit吐槽老师，得先对着一个金属球瞪大眼睛！这可不是科幻片，OpenAI的CEO山姆大叔真搞出了这种黑科技...

由于 UDP 无需握手，攻击者可以利用它向目标服务器发送大量流量，而无需事先获得服务器的传输许可。UDP 泛洪攻击通常会向目标系统的多个端口发送大量数据报。目标系统则必须发送相同数量的数据包，以表明端口无法访问。最终，目标系统不堪重负，导致合法流量被拒绝。