大厂生产环境用 MySQL ？？

@snw
我真是高估了某些人的智力水平，连一段这么简单的评论都理解不了。

我提中国人现状的意思是，“先用后付”“免费试用=不退订自动开始收费”“按周收费”这些概念*不适合*大部分中国人或者说中国市场，苹果以及其他很多平台不加严格限制地推广和允许商户使用这些方式收费，实质上是在纵容诈骗行为，应当被批评和限制。

我压根没有讨论“外国人是不是更聪明所以不会被骗”！
老外是什么情况？以美国为例：
1.美国人的信用卡非常普及，所以容易接受“先用后付”“试用期不主动停止=开始收费”这些概念。这是因为*习惯*差异，并不是因为*智力*差异。
2.美国人许多打工人都是双周薪甚至周薪结算，所以美国人更容易理解以“周”作为结算周期；中国大部分打工人都是以“月”或者“次”作为结算周期，很少有周薪双周薪。这也是*习惯*差异，不是*智力*差异。
3.美国人存款少，不少人 live paycheck to paycheck ，一旦账单上有额外开支可能就还不起了，所以容易发现额外收费项目。中国人存款多，很多人支付不关联信用卡而是直接关联借记卡，几十万几百万的余额每月扣个几百元根本扣不完，如果没有短信提示很少会主动关注。这是*消费储蓄习惯/有钱没钱*的差异，同样不是*智力*差异。

还理解不了的话请去找李隽谈心，因为你们的智力水平势均力敌刚好匹配。

@vgjjk
看到“中国人”三个字就 PTSD 了？
但凡评论包含关键词“中国人”+“欺诈”就自动触发模板回复“老外也被骗”？

你这是什么古董机器人代码？
还是你的大脑皮层光滑程度跟李隽相媲美？

我的评论里有提到过中国人不行？
我评论的意思难道在说中国人不如老外？
语文阅读理解都不会是吧？
小学毕业了吗？

你跳出来正好作为典型案例：
你这种人根本无法理解我提到的这些概念！

一直不喜欢西贝。一开始是《舌尖上的中国》宣传的，讲了位老人传承莜面制作手艺、非物质文化遗产（省级）啥的，所以很多人慕名去吃莜面，这些没问题。
但是西贝是资本买了莜面制作手艺，然后资本化运作的餐饮企业，那你就应该跟市场上全国各地乃至全世界的美食同台竞技，拿味道说话，而不是拿情怀说话。

那么西贝好吃吗？我觉得不算很难吃，但相比全国那么多菜肴，莜面根本不好吃，直白点说整个西北菜系在全国菜系中都是倒数的。

花钱下馆子买的是口味，不是情怀。我不想争论预制菜不预制菜，单说西贝口味就不值那个价格，凭啥卖那么贵？

@guzzhao
一提“中国人”三个字就应激了？

我在说“先用后付”“试用后自动续费”“按周付费”这些概念，你在说什么？你只会活在你自己的世界里复读“电诈”？

你真就是个典型例子：根本无法理解这些概念

来点暴论：

1. 绝大部分中国人根本无法理解“先用后付”、“免费试用=不退自动开始收费”的概念，他们的概念只有“一手交钱一手交货”、“免费试用=试用结束自动停掉”。
2. 绝大部分中国人根本无法理解“按周收费”，他们顶多理解“每月收费”（水电账单）、“每年收费”（宽带账单），甚至很多人只能理解“一次性收费”（买东西）。

不要说什么白纸黑字显著提示。所谓的白纸黑字只是在利用知识优势进行合法欺诈，因为他们根-本-没-这-概-念 ！
你说他们认得汉字，但你能指望整天看短视频的人阅读理解文字吗？试试在短视频里绝口不提“免费”而是反复强调“每年收费 3400 元”，看有几个人会订阅？

拿金融来类比，想想为什么卖金融产品要做 KYC 、要设投资经验门槛、要做风险评估？条款都白纸黑字写清楚不就行了？重点风险条款加粗摘录不够吗？
因为确实不够啊，首先要确认客户有能力理解基本概念才行。

你有没有意识到，程序员黑话在别人听起来也是差不多的感受？

穿插英文也好，穿插黑话词语也好，无非就是为了让同事之间沟通变得更高效，用双方都能准确理解的词来描述一个概念，降低沟通成本。

一上午服务收入 500 ，那么一天 1000 ，一个月只算工作日大约 2 万。这是门店营业收入，还是做服务的人工资？

门店营业收入每月 2 万，扣除房租、装修折旧、工具折旧、税费，赚不了多少。

要是人员工资，你这是啥服务连门店人员都月入 2 万？

给 60 秒倒计时就是给了选择？但凡脑子正常都不会说出这种话。
真是见证生物多样性了

用户不在电脑前、用户忙着另一件事没空看，都是常见场景。大脑光滑到什么程度才会觉得倒计时用户必定看到且必定做出反应？

DMIT 的 LAX Pro WEE 稳是挺稳，但速度比较慢，标着 300Mbps 实际国内普通宽带在 150Mbps 左右。

@AoEiuV020JP
原文的“certified Android devices”有链接的，说的是指的是支持 Play Protect 且启用了 Play Protect 的设备。
现在的问题是用户能不能关闭 Play Protect ，如果能关闭的话其实影响不大，和现在国行手机普遍做法一样。

@Lintech
“2027 年以后，这类（ Google Play 建议进行应用扫描的）弹窗将无法点按跳过按钮” 这句话有原始来源吗？

这里的“认证安卓设备”指的是 Play Protect 认证，原文有个链接：
https://www.android.com/certified/partners/


Play Protect 是 Google Play 额外的功能，除了需要设备本身支持外，用户可以选择启用或停用（默认启用）
https://support.google.com/googleplay/answer/2812853?hl=en

要查看 Play Protect 状态：打开 Play Store ，点右上角头像，点⚙️设置，点关于，有一行“Play 保护机制认证”。
要停用 Play Protect：打开 Play Store ，点右上角头像，点🛡️Play 保护机制，点右上角⚙️，关掉“使用 Play 保护机制扫描应用”

文字的话，离远一些用长焦镜头试试？
我不了解苹果是如何让四周保持锐利的

@Greenm
@TsubasaHanekaw
@docx
@zhouweiluan
这个漏洞不需要用户输入信息，也不需要用户同意密码管理器填充信息，用户看到的只有“同意/拒绝 cookies”、“我不是机器人验证”、“关闭广告”等需要用户点击的按钮。
这个确实是正经的密码管理器浏览器扩展漏洞。单独利用危害较小，但对 XSS 漏洞的辅助加成很棒。

稍微总结一下：

1. 在单独利用的情况下，这个漏洞只能盗取不限域名填充的信息，比如个人姓名、邮箱、电话、证件号、信用卡号、信用卡有效期、信用卡 CVV 等。不能盗取必须匹配域名的信息，例如其他站点的登录名和密码等。

2. 在配合 XSS 漏洞的情况下，这个漏洞能利用任意一个子域名的 XSS 漏洞，盗取相同主域名的其他重要域名的重要信息，例如用户名、密码，如果密码管理器支持自动填充 TOTP 的话甚至连 2FA 都没用。
原文的 PoC 利用了 issuetracker.google.com 域名的一个 XSS 漏洞，获取了 accounts.google.com 域名的登录信息+TOTP 。

3. 整个过程中，用户压根不会看到任何“请输入用户名/密码”的提示，也压根不会看到密码管理器提示“请确认是否填入登录信息”，就把密码管理器里面的信息交出去了。

我的评价：单独使用价值不大，但对其他漏洞有很好的辅助加成，能导致受害范围扩大到有良好安全习惯的用户，比如这里的 1 楼和所有给 1 楼点赞的人🐶

看原文吧，如果看不明白文字的先看看视频演示

https://marektoth.com/blog/dom-based-extension-clickjacking/

楼主这心态，让我想起以前一则新闻：

《男子明知被骗仍汇 54 万 称想看骗子能骗走多少钱》
http://politics.people.com.cn/n/2014/1112/c70731-26010029.html

@billccn
以前上海闸机只能刷交通卡的时候，刷卡过闸是非常快的，大概 0.2 秒以内。自从加了二维码需要联网的过闸方式之后，有很长时间连刷交通卡都慢到要几秒时间，现在好一些了，刷卡大约 0.5 秒左右。
反正上海地铁不会论证的。