restkhz

多邻国是你对某个文化，某个语言有兴趣，学着玩的。实际上无论是单词还是语法强度都不够。

而且，如果有 3k 词汇量讲道理日常对话词汇量上不应该有问题。

听：
如果有 4 级，去 Youtube 开个字母看看人家打游戏。找你感兴趣的。
你可能会发现一些非英语母语主播他的英语词汇量也就那样。语法可能也没很正确。但是他就是能讲，你还就是听得懂。
其实这过过程就是在学“我该如何表达我自己的感觉和想法”。接下来你可以去听一些有的没的，比如谈工作谈时政谈新闻...而后可以越来越复杂。

用：
最后你可以没事跑到某些 discord 群里和别人打游戏，聊天。如果你有 3k 词汇只要 3 个月到半年应该提升就很明显。

信我，一开始就看电视剧和新闻对你帮助不大。

场景：
很多时候特定场景有特定表达, 不同场景都有特定短语特定词汇和特定逻辑。你可能需要时间适应这个。而且熟悉一个场景不代表别的场景你也熟悉。但是时间长了连线成面以后就好了。

就算你知道每一个词但是你就是说不出一个句子。比如你听美国人闲聊聊到工作，你怎么问他岗位工资？
但是人家问你可能很口语的就直接扔出来一句 what's the pay like over there 。就这些小学等级单词。
而且你很少听到 income ，salary ，但是你会听到很多 wage 。如果你是第一次聊这个话题没听过 wage ，你可能要楞一会。四级其实有 wage 这个词，直接被当作“工资”。然而实际上在美国口语里常常是指时薪，他们更喜欢谈时薪而非月薪年薪。

说回来，不管是学 CET4 还是多邻国，都无法替代你去真的使用一个语言。我一直觉得语言教学问题就在这里：



学编程你要敲代码，跑 demo ，做项目，debug 。如果学编程是纸笔读代码，完型填空，背代码，考刁钻语法，恐怕在这以后你也很难自己搞出什么真实有用的东西...对吗？

我清楚记得长三角地区 00 年左右还有幼儿多媒体教材里面读的是 yi3ba 。生活中两种读法并存。
也有印象听说过：毛多是 yi3.

从个人经验，yi3 更多只在描述动物尾巴时听过。但是从来没听过 yi3 用作“尾部”，“交尾”这些含义。

其实同样的，“血”，“角”色，地“壳”...

有很多人说前端 hash 是为了防止服务器沦陷，比如服务器流量干脆被劫持，TLS 证书被盗。
“服务端不可信任！”
但是如果是 web 的话，入站流量里的密码能被劫持所以你 hash 了用户密码，思路 OK 。
但是如果服务器已经沦陷，别人不能直接改你出站流量里前端 js 脚本吗？直接去掉 js 里 hash 步骤让用户明文提交，或者干脆就钓鱼，咋办？
或许你做的是 APP 的 API 吧，不从服务器接收认证逻辑，我不否认这是一种纵深防御思想...

我对此的态度是，反正没有太大收益，只要不怎么增加复杂性，开心就好。

因为信任 TLS ，信任服务端。我想这就是不 hash 提交密码的原因。
否则服务端若不可信任，你大概要再做一套认证+加密，几乎就是再发明一个 TLS 了。

所以我也不太清楚，TLS 后，前端流量还要加密一下的意义有多大，我见过有用 AES 的(对，还不是非对称)，甚至比前端 TLS+hash 还难理解它的意义。

不恰当的比喻：TLS 都能被攻破的情况下，你再加一层凯撒位移不会更安全。
制造无意义的信任边界，过度设计只会让事情变得复杂，增加成本，甚至可能更不安全。

btw ，什么是“可逆加密”？不可逆的加密是加密吗？（小声）

不在东八区, 看了。天气，时间和角度都没那么好。跑了个空旷地站了半个小时，快结束那会看到了。

我不得不说，很多人理解就错了。CORS 出发点不是“为了安全”，而是为了灵活。

很多人说的其实是 SOP ，同源策略。说白了就是分隔不同站点的 cookie ，认证 header ，资源等。
而后又发现其实有时候我们也是需要跨域访问的，比如你前后段分离。但是因为 SOP ，很多事情都做不了。

所以要打一个补丁，但是你总不能破坏 SOP 吧？所以搞了这一堆机制。存在部分安全限制的灵活。
很多人的困惑就是因为直接看了 CORS ，就觉得这莫名其妙。所以楼主你还是从 SOP 看起吧。


而且人们普遍对 web 攻击理解是有问题的。

比如 3 楼，说的“跨站脚本攻击”，实际上就错了。你说的更像是 CSRF 。
你要是说跨站脚本攻击，但是它的发起可以是同源的，这种 CORS 防不了。
你描述的 CSRF 有时候根本不需要响应内容。服务器收到就好。这种 CORS 也防不了。


而后楼主在 20 楼的问题，这是 CSP 可以解决的。你可以在 html 里给调用的 js 直接写上 hash ，浏览器会自动验证 hash 。可以应对投毒。


如果你在乎安全，去看看 CSP ？

正好最近搞了个这个： https://github.com/restkhz/CutterMCP-plus
对这个马做了一个简单静态逆向，这个马功能没那么简单。但他调试符号没有剥掉...
这马偷很多信息啊，而后从 c2 下载另一个马再执行。