Kubernetes是一个开源的容器调度和编制系统，最初由谷歌创建，然后捐赠给云计算基金会。Kubernetes自动安排容器在服务器集群中均匀运行，从开发人员和操作人员中抽象出这个复杂的任务。最近，Kubernetes已经成为最受欢迎的容器协调器和调度器。
当进程需要传输可靠的数据时应使用TCP，当进程需要高效传输数据，可以忽略可靠性时应使用UDP协议
HTTP 协议是一种无状态协议，即每次服务端接收到客户端的请求时，都是一个全新的请求，服务器并不知道客户端的历史请求记录；Session 和 Cookie 的主要目的就是为了弥补 HTTP 的无状态特性。
Vulnhub是一个提供各种漏洞环境的靶场平台，大部分环境是做好的虚拟机镜像文件，镜像预先设计了多种漏洞，需要使用VMware或者VirtualBox运行。每个镜像会有破解的目标，挑战的目标是获取操作系统的root权限和查看flag。
用户认证是一个在web开发中亘古不变的话题，因为无论是什么系统，什么架构，什么平台，安全性是一个永远也绕不开的问题
签发：一般我们登录成功后签发一个token串，token串分为三段，头部，载荷，签名
通常“治理”的意思是构建方案，并且迫使人们通过努力达到组织的目标。SOA治理指导开发者开发可重用的服务，以及随着时间推移，服务应该怎么被设计和开发。治理建立了服务提供者和消费者之间对于服务的协定，告诉消费者能从服务提供获取到什么样的支持。
在我们传统的B\S应用开发方式中，都是使用session进行状态管理的，比如说：保存登录、用户、权限等状态信息。这种方式的原理大致如下：
在过去两年，以Istio为代表的Service Mesh的问世因其出色的架构设计及火热的开源社区在业界迅速聚集了一批拥簇者，BAT等大厂先后也发布了自己的Service Mesh落地方案并在生产环境中部署运行。Service Mesh不仅可以降低应用变更过程中因为耦合产生的冲突（传统单体架构应用程序代码与应用管理代码紧耦合），也使得每个服务都可以有自己的团队从而独立进行运维。在给技术人员带来这些好处的同时，Istio的安全问题也令人堪忧，正如人们所看到的，微服务由于将单体架构拆分为众多的服务，每个服务都需要访问控制和认证授权，这些威胁无疑增加了安全防护的难度。Istio在去年一月份和九月份相继曝出三个未授权访问漏洞（CVE-2019-12243、CVE-2019-12995、CVE-2019-14993）[12]，其中CVE-2019-12995和CVE-2019-14993均与Istio的JWT机制相关，看来攻击者似乎对JWT情有独钟，在今年2月4日，由Aspen Mesh公司的一名员工发现并提出Istio的JWT认证机制再次出现服务间未经授权访问的Bug， 并最终提交了CVE，CVSS机构也将此CVE最终评分为9.0[6]，可见此漏洞之严重性。
A 网站和 B 网站是同一家公司的关联服务。现在要求，用户只要在其中一个网站登录，再访问另一个网站就会自动登录，请问怎么实现？
Arsenal是一个功能强大且使用简单的Shell脚本（Bash），该工具专为漏洞赏金猎人设计，在该工具的帮助下，我们可以轻松在自己环境中安装并部署目前社区中功能最为强大的网络侦查工具、漏洞扫描工具和其他安全研究工具。与此同时，该工具还可以完成相关依赖组件的自动化安装，并将所有安全工具存储在本地设备上。
之前写过两篇关于微服务架构的文章，发现阅读量挺高的，所以打算再聊聊云原生和微服务架构，过去的文章如下：
JWT（JSON Web Token）是一个非常轻巧的规范,这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息, 一个JWT由三部分组成,
面向服务的体系结构（SOA）引入了一种设计范式，该技术讨论了高度分离的服务部署，其中服务间通过标准化的消息格式在网络上通信，而不关心服务的实现技术和实现方式。每个服务都有一个明确的，公开的服务描述或服务接口。实际上，消息格式是通过SOAP进行标准化的，SOAP是2000年初由W3C引入的标准，它也基于XML--服务描述通过WSDL标准化，另一个W3C标准和服务发现通过UDDI标准化--另一个W3C标准。所有这些都是基于SOAP的Web服务的基础，进一步说，Web服务成为SOA的代名词 - 并导致其失去作为一种架构模式的本义。SOA的基本原则开始淡化。WS- *栈（WS-Security，WS-Policy，WS-Security Policy，WS-Trust，WS-Federation，WS-Secure Conversation，WS-Reliable Messaging，WS-Atomic Transactions，WS-BPEL等）通过OASIS，进一步使SOA足够复杂，以至于普通开发人员会发现很难消化。
Ingress、Istio 和 APISIX 都是与云原生环境紧密相关的技术，在现代应用部署中扮演着重要角色，尤其是在微服务架构中。今天这篇文章内容，先弄明白他们都是干嘛的，然后有什么区别，后面的文章再分别深入展开实例了解。
cookie 是后端可以存储在用户浏览器中的小块数据。 Cookie 最常见用例包括用户跟踪，个性化以及身份验证。
Redisant Toolbox 拥有超过30种常用的开发工具；精心设计，快速、高效；离线使用，尊重您的隐私。官网地址：http://www.redisant.cn/rt
Pandora是一款专为红队人员设计的凭证转储工具，该工具可以帮助广大研究人员从不同的密码管理工具中提取和转储各种凭证数据。
HTTP Basic Auth 在HTTP中，基本认证是一种用来允许Web浏览器或其他客户端程序在请求时提供用户名和口令形式的身份凭证的一种登录验证方式，通常用户名和明码会通过HTTP头传递。
我们用PHP的Laravel框架来实现一个用户登录的Restful Api，地址为：
验证 不要使用Basic Auth. 改为使用标准身份验证（例如JWT、OAuth）。 不要在Authentication, token generation,中重新发明轮子password storage。使用标准。 在登录中使用Max Retry和监禁功能。 对所有敏感数据使用加密。 JWT（JSON 网络令牌） 使用一个随机的复杂密钥 ( JWT Secret) 使暴力破解令牌变得非常困难。 不要从标题中提取算法。在后端强制算法（HS256或RS256）。 使令牌到期 ( TTL, RTTL) 尽可
哈喽！大家好，我是小简。今天开始学习《Java-网络编程》，此系列是我做的一个 “Java 从 0 到 1 ” 实验，给自己一年左右时间，按照我自己总结的 Java-学习路线，从 0 开始学 Java 知识，并不定期更新所学笔记，期待一年后的蜕变吧！
在此文章中，我们将学习如何使用 JWT 身份验证在 Laravel 中构建 restful API 。JWT 代表 JSON Web Tokens 。我们还将使用 API 为用户产品创建功能齐全的 CRUD 应用。
原文地址：http://www.cnblogs.com/xiekeli/p/5607107.html
钟馗之眼是一个强大的搜索引擎，不同于百度谷歌，它主要收集网络中的主机，服务等信息，国内互联网安全厂商知道创宇开放了他们的海量数据库，对之前沉淀的数据进行了整合、整理，打造了一个名符其实的网络空间搜索引擎ZoomEye，运用Python接口可以灵活的实现数据采集。
说起鉴权大家应该都很熟悉，不过作为前端开发来讲，鉴权的流程大头都在后端小哥那边，本文的目的就是为了让大家了解一下常见的鉴权的方式和原理。
版权声明：本文为博主原创文章，未经博主允许不得转载。
关于JWT，相信很多人都已经看过用过，他是基于json数据结构的认证规范，简单的说就是验证用户登没登陆的玩意。这时候你可能回想，哎哟，不是又那个session么，分布式系统用redis做分布式session，那这个jwt有什么好处呢？
作者：红心李（https://home.cnblogs.com/u/xiekeli/） 链接：http://www.cnblogs.com/xiekeli/p/5607107.html 几种常用的认证机制 HTTP Basic Auth HTTP Basic Auth简单点说明就是每次请求API时都提供用户的username和password，简言之，Basic Auth是配合RESTful API 使用的最简单的认证方式，只需提供用户名密码即可，但由于有把用户名密码暴露给第三方客户端的风险，在生产环境下
在 Kubernetes 中，我们通常会使用 Secret 对象来保存密码、证书等机密内容，然而 kubeadm 缺省部署的情况下，Secret 内容是用明文方式存储在 ETCD 数据库中的。能够轻松的用 etcdctl 工具获取到 Secret 的内容。通过修改 --encryption-provider-config 参数可以使用静态加密或者 KMS Server 的方式提高 Secret 数据的安全性，这种方式要求修改 API Server 的参数，在托管环境下可能没有那么方便，Hashicorp Vault 提供了一个变通的方式，用 Sidecar 把 Vault 中的内容加载成为业务容器中的文件。
Docker 是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的镜像中，然后发布到任何流行的 Linux或Windows机器上。使用Docker可以更方便低打包、测试以及部署应用程序。
APISIX 是基于 OpenResty + etcd 实现的云原生、高性能、可扩展的微服务 API 网关。它是国人开源，目前已经进入 Apache 进行孵化，牛逼！！！
研究认证相关的安全问题也有一段实践了，今天就对认证相关的安全问题做个总结。其中涉及到一些前置概念这里无法一一讲解，可以在相关RFC文档或者链接中深入阅读，笔者已经把相关资料整理收录在参考链接。本文更多的是对认证相关的安全问题做个总结。另外文中引用了一些网络中的图片，由于来源不一，所以就不逐个标明，在此一并感谢。
既然我们已经对Istio的核心概念有了深入的了解，那就让我们来使用它吧。我们将部署包含在Istio发行版中的示例Bookinfo应用程序，稍后我们将使用一些Istio bells和whistles对其进行改进。具体来说，我们将演示Zipkin的分布式跟踪和JWT的强制用户身份验证。
HTTP 是一种 超文本传输协议(Hypertext Transfer Protocol)，HTTP 是一个在计算机世界里专门在两点之间传输文字、图片、音频、视频等超文本数据的约定和规范
“关注 前端开发社区 ，回复“ 1” 即可加入 前端技术交流群，回复 “ 2” 即可免费领取500G前端干货！
cookie 重要的属性属性说明name=value键值对，设置 Cookie 的名称及相对应的值，都必须是字符串类型
https://juejin.im/post/5e055d9ef265da33997a42cc
文章目录 1. 认证机制 1.1. 常见的几种认证机制 1.1.1. HTTP Basic Auth 1.1.2. OAuth（开放授权） 1.1.3. Cookie/Session 认证机制 1.1.4. 基于 Token 的认证机制 1.1.5. 有状态服务和无状态服务 1.2. 基于JWT（JSON WEB TOKEN）的Token认证机制实现 1.2.1. 头部（Header） 1.2.2. 载荷（Payload） 1.2.3. 签名（Signature） 1.3. JJWT 1.3.1. 添加
2、前端携带 token 请求用户中心服务获取jwt令牌，前端获取到jwt令牌解析，并存储在sessionStorage
1.Gauges（度量） 2.Counters（计数器） 3.Histograms（直方图） 4.Meters（TPS计算器） 5.Timers（计时器）
各位FreeBufer周末好~以下是本周的「FreeBuf周报」，我们总结推荐了本周的热点资讯、优质文章和省心工具，保证大家不错过本周的每一个重点！
osquery是用于记录本机的一些系统信息，如passwd文件的改变，用户的增加等，有了它，我们可以在系统发生改变后，能够及时查询出来。
前端请求资源服务需要携带两个token，一个是cookie中的身份令牌，一个是http header中的jwt令牌
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
