Go
4 篇文章
- 给桌面客户端做下载加速：从「桶直接公开」到「边缘优先、源站兜底」的三代演进安装包下载最初是「桶直接公开、URL 写死在网页里」——能用，但任何人猜到路径就能镜像、刷流量。第二代把它改成桶私有 + 一次性令牌 + 三层限流，把链接变成「能力」。第三代接入 EdgeOne Pages 承载安装包字节，源站对象存储退成兜底：服务端兑换令牌时用一次 HEAD 探测决定跳边缘还是跳预签名链接，探测结果缓存 30 秒。这篇把三代的设计、代码、操作步骤与验证方法都写下来，包括一个差点让整个功能静默失效的路径前缀不一致。
- 买家回复激活码邮件被退信：一个 Reply-To 头，和顺便重写的邮件模板Scorpius 的买家回复「Scorpius 激活码」邮件，却收到「域名不存在」的退信——因为发件人是只发不收的 noreply@apikv.com，而正文让人「直接回复本邮件」。修复不止加一行信头：回信地址的优先级、中文显示名的 RFC 2047 编码、敢于承诺「回复有用」的文案，以及把纯文本邮件换成剥掉样式也能读的品牌 HTML。
- 给桌面软件官网接入支付宝：从沙箱到生产，踩过的七个坑Scorpius 官网 6 元买断卖激活码，接入支付宝电脑网站支付。Go 没有官方 SDK 就按规范自己签名；沙箱能做什么不能做什么；私钥抄错一个字符、私钥进 Helm values、买家没填邮箱导致码丢失、表单编码错导致验签失败——这些坑都真实发生过，把实现、数据模型与上线清单一起写下来。
- 把 admin=false 改成 true：拿自己的网关代码做一次攻防复盘从「改一个布尔值就能进后台」这个经典教学场景出发，先厘清所谓「截取请求」到底发生在哪一端，再逐层审计一套 Go 网关的真实代码——身份头剥离、不透明会话、RS256 验签、下游独立鉴权。四道防线都成立，却挖出两处可复现的真实漏洞：匿名购物访客 cookie 的横向越权，以及 OAuth 回调把「第 1 步校验过」当成保证而导致的会话 ID 外泄。含 PoC 输出、完整攻击链、已落地的修复与回归测试。