我一般只有讨论特别重要的事情才会事先问「在吗」，
原因是有些人手机 / PC 开着微信提醒，会显示正文，一定要确认别人在跟前才放心说实际内容。

http://php.net/manual/zh/function.hash-equals.php

php 5.6 还专门增加了一个方法： hash_equals

比较两个字符串，无论它们是否相等，本函数的时间消耗是恒定的。
本函数可以用在需要防止时序攻击的字符串比较场景中， 例如，可以用在比较 crypt() 密码哈希值的场景。

只能说你好能折腾😂 这还真没研究过

mweb +1

生日快乐🎂

我的被键盘两个凸起给划到了

Disqus ，发现被墙自动切换到自制的基础模式，保证可用。

@qgy18 我放的是笑脸符号，感觉还好

在签名放一个 unicode 表情就好了。
📧

inoreader

赞壁纸

@qgy18 更新下， Chrome 修了， Safari 依然没处理。

还有个冷门，很久之前 Webkit 中，通过 document.domain ，可以将 domain 设置到最后一级（最后一个点之后的内容）。由于域名最后实际上有一个 .（例如 https://imququ.com. 可以正常访问），这时候可以将 document.domain 设置为空字符串。

当然这个问题后来被修复了。

https://imququ.com/post/domain-public-suffix-list.html

拿使用手机的习惯去想象电脑，就可以理解苹果最近一系列改变：例如电源越改越难用；去掉剩余时间。

我之前写过一篇《三种解密 HTTPS 流量的方法介绍》。
https://imququ.com/post/how-to-decrypt-https.html

我在文章最后写到：如果浏览器被安装恶意扩展，即使访问安全的 HTTPS 网站，提交的数据一样可以被截获。这种客户端被攻击者控制引发的安全问题，无法通过 HTTPS 来解决。

这里描述的就是这种情况，病毒入侵到浏览器端，当然是想干嘛就干嘛。

阿里云访问国外网站一直都非常慢！！！
几百 kb 的 nginx 源码都死活下不下来，我每次只好本机下好再 scp 上去。
软件源都换成了清华的镜像， docker hub 也换成了 daocloud 。

上证书链截图，怀疑是被中间人了。

document.addEventListener("touchmove", dontmove(event), false);

=>

document.addEventListener("touchmove", dontmove, false);