VPN 是走廊，不是边界
VPN 只认证隧道，然后信任隧道里的一切。这个设计让一个被窃取的会话令牌变成全网漫步。零信任不是“不要 VPN”，而是隧道之后的每个请求仍要证明自己是谁、要什么、为什么。先盘点谁在和谁通信；那张图通常比访问规则少得多。
~ / 笔记
现场笔记
来自项目、实验室，以及那些塞不进幻灯片的安全记录。默认脱敏：不写客户名，不放有效凭据，不截你的生产环境。
密钥不该待在 .env 文件里
.env 文件本质上就是改了个好听名字的明文凭据。它会进入备份、shell 历史、崩溃转储和截图。把密钥移到保险库或代理后面，按工作负载限定范围，并用真正能坚持的周期轮换。如果轮换需要开会，它就不会发生。
少记日志，睡得更好
每一行日志都是一份附带保留期限的负债。只收集回答“是否发生、发生在谁身上”所需的内容，其余按定时器删除。隐私工程很大程度上就是“不保留”的纪律。不会发生的泄露，处置成本最低。
长文总是先离开站点。
草稿、拆解笔记和直播预告会先发在 Telegram，再来到这里。没有算法，没有邮件漏斗。