@des 你的理解是错的 当有数据可以读取的时候进行读取 最多读取 len 字节 并不是你想的一定会读到 len 字节然后才执行下一步
你可以下载一个比较大的文件验证一下

你透漏的信息太少
32 位长度 16 进制编码是肯定的 意味着原数据是 128bit 最简单的就是使用 md5 进行散列就能得到这样的结果
from hashlib import md5
md5(salt+id).hexdigest()
就可以得到类似的结果
如果这个 url 是需要授权用户才能够访问这样做是可能的
如果不是就不能了 因为无法对散列后的结果进行复原

https://www.youtube.com/watch?v=v2dNeJjyTVE&list=PLt0SDK0_hDSDkDFSXgcxCvtR3zc5fXkXJ&index=11
http://verify-email.org/

@hellodigua @ccloli 查了一下，是 paypal 关闭了在土耳其的业务
http://www.businessinsider.com/paypal-is-shutting-down-in-turkey-2016-6

25G 这个量级有点尴尬啊 我觉得想办法先传到国外主机在上传 S3 就好办了
我刚测试了一下国外下载 upyun 速度有 3M/s
你可以这样子 找一台国外主机测试下连接到 upyun/oss/七牛等的速度
先临时将阿里云 VPS 宽带提升到 100MB 将文件上传到以上平台，或者直接对 VPS 使用 aria2c -x15 -s15 -c 开 15 个线程断点续传下载 主要是看哪个快
如果你长期有这样的需求可以写一个脚本 比如每 100MB 分为一个文件上传到 upyun 等 就可以阿里云上传同时国外 VPS 下载了
正常传到国外 VPS 上一切就好办了

https://www.gitbook.com/book/wizardforcel/the-art-of-programming-by-july/details
或许可以看一些这样的简短总结，感觉网上很多文章都特别擅长把复杂的问题让你觉得高深莫测而不是化繁为简(因为深入进去真的涉及特别多，而我们根本不用完全深入)

@mytsing520 域名没有过期，而且即使 8.99 刀那笔订单无效，我当天也有效续费了 71 刀，不存在过期问题，是 namesilo 判定为 8.99 那笔订单欺诈并且删除我的域名设置为赎回期。涉及到了我、代付者、 paypal 、 namesilo ，事发后我和代付者及 paypal 都交流的非常顺利，都能证明这不是一笔欺诈交易。仅 namesilo 不顺而已

@Sakura 域名 whois 查询是 6 月 30 日到期

@shinko paypal 用的少,从来没发起过，也不知道严重性。只是这个 paypal 争议并不是我发起的啊😓

@aiguozhedaodan 我也没想到扣的是坛友的钱，今天联系了坛友没有得到他的回复。感觉争议应该是没办法关闭了

@mrjoel 在第一次用 paypal 付款的时候会设置自动续费吧,在 paypal 个人中心是可以取消或关闭。我在网站上设置自动续费会有用么。。。忘记了自动续费不是我的 paypal 账号是个人疏忽，可是丝毫不沟通就直接删域名删账号也太霸气了点吧。在我看来就是活生生要勒索我 75 刀ヾ(｡｀Д´｡)

并不需要如此麻烦，在 nginx 下配置总结步骤如下(在 root 下执行)
wget https://dl.eff.org/certbot-auto
chmod a+x certbot-auto
./certbot-auto
~/.local/share/letsencrypt/bin/pip install -U letsencrypt-nginx
./certbot-auto --nginx -d www.demo.com -d demo.com --email [email protected] --agree-tos
写入 crontab
* * * * * /root/certbot-auto renew && service nginx reload
------------------------------------------------------------------
如果使用 DNS 挑战，建议使用 https://github.com/Neilpang/acme.sh

安利一波鄙人以前写的 OSX 版本(upyun+pngpaste+pbcopy)
https://gist.github.com/Ficapy/8c57998d14c434ab5df3

@greatonce 你的标题着重写非存储，
我的第一个回复是:"非存储是不可能的 因为要后台要记录错误次数",
你回复:“为什么还需要 cookie 存储”
我回复:"cookies 不需要存储,存储的是错误记录"(手机号对应错误尝试次数，这是唯一需要记录的地方)
=======================
可能你说的非存储只是生成的 md5(hash, phone or email, timeItem)不需要存储，我理解的非存储是整个验证过程中的不需要存储
=======================
对于你后来的算法，是我理解错误了
对于你说的算法。在第一个回复第三行已经给出
over

@greatonce
4 位数字是一万次 说错了
"所以需要限制试错次数，这个不需要我再说了，大家都知道怎么做。"(这才是需要讨论的最重要的步骤)
按照你的意思，假如每隔 1 分钟算一次 md5(mobile+timestamp)。 hashSet 有 3 个。那么一小时会产生 180 个 code 。那么这 180 个 code 都是有效的。无形中让猜的概率大了 180 倍
和我写的思路并没有区别，你最后还是需要记录手机号的验证码次数

接上 限制 IP 也无解 大把的代理 IP 可用 如果不限制错误尝试 没什么安全性可言

@greatonce 假如 4 位数字验证码 别人最多尝试 1000 次就能破 记录则不会发生这种情况
当然你要是根据 IP 限制请求频率也可以 比如 1 分钟最多请求 10 次 那么验证码 30 分钟有效期可以尝试 300 次 另外难免会有公用出口 ip 的用户

@greatonce cookies 不需要存储 只是需要在验证错误的时候记录 否则你错误次数和什么对应起来？