@christin 我是手机 eSIM 直接激活的运营商

我来汇总下：
最便宜：Scaleway Stardust ，0.5GB RAM ，每月€0.36 ，限速 100Mbps 不限流量（为仅 IPv6 的价格，约¥2.53 ）

性价比：BuyVM ，1GB RAM ，每月 CA$3.50 ，1Gbps 不限流量（约¥17.77 ）

国内网络好：AWS Lightsail ，0.5GB RAM ，每月$3.50 ，限流量 1TB ，可开日本、法兰克福、美国西部均可直连（约¥22.21 ）

大内存：OVH VPS ，2GB RAM ，每月$3.5 ，限速 100Mbps 不限流量，法兰克福可直连中国，但美国可能绕欧洲。

永久免费：Google Cloud 美国 us-central-1 ，us-west-1 ，us-east-1 区域，1GB RAM ，30GB 最基础的盘，仅 IPv4 ，出站流量自费。这个试用期过了也免费！

你还要考虑能不能离京

PayPal 新用户有消费满$20 减$10 （有概率），于是 App Store 充了 25 刀，实际银行扣费 15 刀

https://cdn.ze3kr.com/6T-behmofKYLsxlrK0l_MQ/2ed3e29d-afc8-4661-9f23-1e08fa07f401/wide10k

更新下新出的 12.3.1

@lockson 你查一下实施三包的部分商品目录，耳机不在里面。苹果实施三包的有手机和电脑

国内买的，我美国换的。我当时就问了苹果客服，那边也是明确说了更换后的只有 90 天。而且国家也没有要求配件需要三包。

而且 EarPods 还防水，是洗衣机里洗了都没事的那种。

刚才就在想我咋没遇到这个问题，一直可以正常互打，后来想起来已经全家迁移美区了。

我一般用 Skype ，往中国手机或座机打电话每月 19 元 400 分钟，比运营商便宜太多。配合 Skype To Go 不用联网就可以打，相当于省了国际长途费用。Skype 音质也比微信和 WeChat Out 好很多（微信不管是国内用还是国外用体验都极差）。

Zoom 是分地区的，不推荐。Skype 貌似国区也下载不了，所以就直接用 Skype 打电话就完事了。

14 寸重量轻，尺寸小，更便携，性能基本无差，只是散热上的微小区别。iPhone 13 Pro 和 Pro Max 的区别

我中邮海外购，美国转运，疫情前两周，去年 3 周左右，今年是 30 天，仓库是免税地址，Amazon 上买几本可以当天到，所以上面的时间就是实打实的。买过 Beats Fit Pro 、药。不过最近美国线路不能运电子产品了，就很烦

然后试过格式化硬盘，DFU 模式刷机电脑，调整硬盘供电，都没用。只有换块新硬盘有效。

我有过，但是是个硬盘问题，只要不插那个硬盘就没事。插了一段时间后就有概率 Kernel Panic （直接卡死并且不重启，只能手动重启），使用硬盘的时候 Panic 概率更高，比如就是 TimeMachine 。报错和你那个不太一样，我那个显示的是硬盘名和 APFS 什么的。不过我那个问题 12.0 就有。最后换了个硬盘解决了

> 是否存在一种 hash 算法，支持通过客户端发送过来的 hash('password'+'2fa') 的结果，和服务端已知的 2fa 这段明文，推算出 hash('password') （用户密码的 hash 值），进而与数据库中存储的密码 hash 值进行比对？这样就不存在明文保存或传输用户密码的问题了。

这种事情不该交给 hash 去做，因为 hash 本身就不是加密解密用的。应该交给正经的加密算法去做

@xuanbg 这样就需要服务器存 hash(password)。这样的问题就是一旦被拖库，你就拿着数据库里拖出来的 hash(password)和数据库里 TOTP 的 Passphrase ，就能直接算出来 hash(hash(pw) + code)了……反而更不安全

相比要求传输明文密码的，你从数据库里拿出来的 hash 反推明文密码还是有难度的

你在浏览器里用纯 HTML 实现的登录，传的密码肯定是明文，去 Console 里看就能看到。因此 Chrome 、Safari 等浏览器只要遇到非 HTTPS 网站填写表单，或者是非 HTTPS 网站有密码输入框，就会警告不安全。

传输时明文不等于数据库里存明文……

> 在实践中这样做，是不是把数据安全完全依赖于 HTTPS 的安全性，面对 MITM 就全泄漏了？

是的。所以 HeartBleed 漏洞一出密码全泄漏。此外 CDN 也能看到密码，如果 CDN 出了 Bug （如 Cloudflare 之前默认开启的 HTML 压缩），密码也泄漏。为什么依然要这样做？个人觉得依赖 HTTPS 更安全，因为这部分是系统 /浏览器实现的，会经常更新，用的非常广泛。自己实现的 Hash 五花八门，未必就安全，而且还要求客户端与服务器实现一样的 hash 。一些服务器依赖的硬件加密模块客户端未必支持。而且如果此时客户端存 hash(password)服务端也存 hash(password)，那就和存明文密码没有多大区别了。如果此时客户端发 hash2(password)，服务端存 hash1(hash2(password))，那这又和客户端发明文密码，服务端存 hash 有啥区别？中间人拿到 hash2 一样破解你。

如果客户端设置密码的时候发明文密码，登录的时候发 hash2(password, time)，能稍微安全一点，但这样还不如 2FA ，因为这样只要拿到了 password ，就能算出来要发送的结果。

Aqara 的，可以用 Homekit 接入安全摄像头，端到端加密

你这么说就好像在别的国家这样做就不违法了一样

数字千年版权法 DMCA 了解下