网络与信息安全2
你刚才扫了一个二维码。
它可能是一张付款码，也可能是一张"扫码领红包"的贴纸——而在你扫之前，这两者在屏幕上长得一模一样。扫完之后发生的事情，取决于那串黑白方块里到底写了什么。
今天这 35 道题，几乎都落在这条链子上：攻击者用什么手法攻进来，你用什么样的锁挡住他，以及那些每天在跑、你从来没注意过的机制——从你敲下域名到页面出现，从照片里藏着的坐标到手机上一闪而过的推送。
一、攻击者的手法在换，被利用的东西没换
先把今天出现的四种攻击手法摆在一起看。
零日漏洞，指的是厂商还没发布补丁的漏洞。"第零天"这个说法很形象：补丁还没出生，攻击就已经开始了。这类漏洞最贵，因为在你打上补丁之前，几乎只能靠"行为异常"来发现。
撞库是四种里最"便宜"的一种，因为它根本不需要漏洞。攻击者从某个泄露的网站拿到一批账号密码，然后去别的网站挨个试。这个手法能成立有一个前提，而且这个前提就在你手里：你在多个网站用了同一个密码。只要密码是复用的，A 站泄露就等于 B 站也泄露，跟 B 站的防护做得多好没多大关系。
注入攻击（今天这道题问的是往网页输入框里塞恶意代码、诱导其他用户执行的那种，通常叫 XSS）利用的是"网页把用户输入当成了代码"。一个评论框如果没有对输入做处理，你发的就不只是评论，而是一段会在别人浏览器里跑起来的脚本。
DDoS 则是纯靠量。攻击者控制海量被感染的设备——这些设备的主人往往毫不知情，2016 年那次著名的物联网设备僵尸网络就是一个典型：摄像头、路由器被打包成一支"军队"，同时去敲同一个网站的门，把带宽和连接数耗光，正常用户就进不来了。
四种手法，价格从高到低，但它利用的东西是同一类：系统与人的既有弱点。零日利用你没打补丁，撞库利用你偷懒，注入利用开发者没做校验，DDoS 利用你的容量上限。
生活里最容易改的是第二条。不要在不同网站用同一个密码——尤其是邮箱和支付。哪怕别的都做不到，只做这一条，撞库这条路就基本堵死了。
二、两个你每天都在用、却很少留意的开关
第一个是 HTTPS。
你有没有注意过，浏览器地址栏在打开某些页面时会从 HTTP 变成 HTTPS？这通常发生在你进入登录页、支付页的时候。多出来的那个 S 是 Secure，背后是 TLS 加密：从你的浏览器到服务器之间，数据是加密传输的，路上的任何一环——公共 Wi-Fi、运营商、中间设备——都只能看到一堆密文，看不到你填的密码。
这里要说清它保护的边界，这是最容易被误解的地方：HTTPS 保护的是"路上"，不是"终点"。它能防别人在路上偷看和篡改，但如果网站本身把你的密码明文存了库、或者网站自己被入侵了，HTTPS 一点忙都帮不上。所以看到小锁只能说明"这条路是安全的"，不能说明"这个地方是安全的"。
第二个开关是照片里的 Exif。
你在社交平台发一张图，图里除了画面，往往还带着一份看不见的附带信息：拍摄时间、设备型号、光圈快门，以及拍摄地点的经纬度。这份信息叫 Exif，是相机写入的。
它的用途本来是好的——摄影师靠它整理作品。但对普通人来说，风险很直接：你在家里拍张照发出去，如果 Exif 没被抹掉，任何人都能算出你家的坐标。主流社交平台绝大多数会在上传时自动剥离位置信息，但这个"绝大多数"不等于"全部"，尤其是通过聊天工具发原图、或者往网盘传的时候。
生活里可以这样做：手机相机设置里关掉"保存位置信息"是最省事的做法；如果要发原图，先看一眼对方是否支持"不保留元数据"。
三、你敲下的那串字，是怎么找到服务器的
机器之间不认名字，只认地址。把 baidu.com 这种给人看的名字，翻译成机器认识的门牌号（IP 地址），靠的是 DNS。
先看清名字本身的结构，以 news.baidu.com 为例：
- 最右边的
.com是顶级域，表示这是一家商业机构； - 中间的
baidu是注册的名字，baidu.com合起来才是这家公司真正注册的那个域名； - 最左边的
news是主机名（也常被叫做三级域名），表示"这家公司里负责新闻的那个服务器"。
所以同一个域名下可以有 news、map、mail 很多个主机名，它们指向不同的机器。这个结构是从右往左读的，越往右越是"大范围"，越往左越是"具体的那一台"。
DNS 的工作方式也分层次。你的设备先问本地缓存，缓存里没有就问运营商的解析服务器，一路问到管着 .com 的服务器，最后问到管着 baidu.com 的那台权威服务器，才拿到真正的 IP。拿到之后会缓存一段时间（这段时长叫 TTL），这就是为什么改了网站地址后，有时要等一会儿才生效。
顺着这条链子，还有两个每天都会遇到的东西。
一个是 404 Not Found。它的意思是：请求已经到达了服务器，服务器也听懂了你要什么，但就是找不到那个东西。它和"打不开网站"不是一回事——连域名都解析不出来的时候，你看到的是浏览器自己的报错页，不是服务器的答复。理解了这一点，排查的方向就清楚了：404 说明网络是通的，问题在地址本身；域名解析失败说明问题在"找路"这一环。
另一个是浏览器缓存。网页加载慢的时候，清一下缓存有时真的管用，原因是缓存在你本地存了一份静态资源的副本（图片、样式、脚本）。用缓存是为了快——不用每次重新下载。但代价是：如果服务器上的文件更新了、而本地那份还没过期，你就会看到旧的样子，甚至出现"新页面配旧样式"的错乱。清缓存做的事，就是把本地那份副本扔掉，强制重新取一份。
四、网页是用什么搭起来的
一个网页最少要有三样东西：结构、样式、行为。
负责结构的是 HTML。它定义"这个页面里有什么"：一段标题、一张图、一个按钮。注意它只定义结构与内容，不负责好看——标题该多大、按钮该什么颜色，都不是 HTML 管的事。
负责样式的是 CSS，负责行为的是 JavaScript。这也是为什么有时候你能看到一个"只有文字、没有样式的页面"：HTML 到了、CSS 还没到，页面结构是全的，只是难看。这个现象本身就能帮你判断问题出在哪一层。
再说"自适应"。你有没有想过，同一个网页为什么在手机和电脑上排版完全不同，但地址只有一个？
这套机制叫响应式设计。它的思路不是"给手机做一份、给电脑做一份"，而是让页面自己去问"你现在宽多少"。开发者设定几个断点，比如屏幕宽度小于 768 像素时，把横向排列的几栏改成纵向堆叠、把字号调小。页面照着一套代码渲染，但每一档宽度都有对应的排版规则。
它的好处很实在：内容只维护一份。代价是复杂页面在窄屏上会做出取舍——这也是为什么手机版常把"次要信息"折叠起来。
五、从"装一个 APP"到"用完就走"
移动互联网这十年，应用的存在形式一直在变。
小程序是这个变化里最有代表性的一步。它和原生 APP 最突出的区别是不用安装：点开就用、用完就关，不占桌面。代价是它跑在平台给的框架里，能调用的系统能力受限制，复杂交互和性能也拼不过原生。
深链解决的是另一个问题：让一个链接能直接打开另一个 APP 的指定页面。你在某个 APP 里点了一条广告，直接跳进购物 APP 的商品详情页——靠的就是它。方便，也意味着"点一下"能把你带到你原本没打算去的地方，这是它需要被谨慎对待的原因。
推送通知能实现，靠的是操作系统级的通道。APP 不需要一直在后台跑着，平台（iOS 的 APNs、安卓各家的推送通道）拿着这台设备的标识，帮你把消息送达。所以"我明明把 APP 关了还能收到推送"并不奇怪。
二维码最值得说清楚的一点是：它不是加密，只是编码。它做的事就是把一串文字（通常是一个网址）转换成黑白方块，任何扫码工具都能把它解开，任何人都能随便生成一张。所以扫到一张码，本质上是"别人给了你一段文字，并且你决定照它做"。陌生二维码的风险不在于"码本身有病毒"，而在于它指向的地方可能是个钓鱼站、或者直接触发一笔支付。核对收款方名称，比担心二维码技术本身有用得多。
六、算力和信任，都能租了
云计算的三种服务模式，其实是一条"你管到哪一层"的分界线。
IaaS 是租最底下的：给你一台虚拟机、一块存储、一段网络，操作系统往上你自己管。它的体验最接近"我有一台自己的服务器"，灵活但活儿多。
SaaS 是租最上面的：打开网页就能用，什么都不用管。在线文档、网页版邮箱都是。中间的 PaaS 给的是"运行环境"，你只管写代码，不管机器。
分界线怎么记？出问题的时候谁负责。用 SaaS，软件坏了找服务商；用 IaaS，机器上的系统坏了是你自己的事。
智能合约是另一类"信任"，来自区块链。它本质上是写在链上的一段程序，条件满足就自动执行，而且结果不可撤销。它最大的特点是"不依赖某个人来执行约定"——不需要中间人去确认、去划账。
但"不可撤销"是双刃剑。代码里的规则一旦上链就改不动了，如果程序本身有漏洞，被利用之后没法事后打补丁。2016 年那个著名的众筹项目被利用漏洞转走大量资金，最后只能靠整个社区做一次硬分叉来挽回——这本身就说明了"代码即规则"的代价。
七、变快的网络、变小的声音、和看不见的审核
5G 比 4G 最显著的优势是什么？ 很多人第一反应是"更快"，但更准确的说法是更低的时延。下载快一点只是体验好一点，而时延从几十毫秒降到几毫秒，是"能不能做"的区别——远程操控、实时对战、车路协同，这些场景卡在时延上，不卡在带宽上。
语音消息为什么要压缩？ 一段十几秒的语音，如果不压缩轻松上百 KB。压缩算法做的事是丢掉人耳不敏感的细节，把它压到几 KB。这是有损压缩，所以你会觉得语音"有点糊"——不是网络不好，是压缩的取舍。省流量、传得快，这个交换对语音消息是划算的。
内容审核里的 OCR，做的是"把图片里的字认出来"。原因很直白：违规内容经常以图片形式发布，发图能绕开纯文字的过滤，但绕不开 OCR——认出来的字照样进审核流程。
最后是完播率，短视频平台最看重的指标之一：看完的人占播放的人多少。它之所以重要，是因为它的门槛由观众决定——你愿意看完整，说明内容留住了你。这也解释了短视频的两个常见做法：把时长压到刚好、把最抓人的部分放到开头。不是创作者没耐心，是这个指标在起作用。
今日小结
把今天这 25 道主题题串起来，是一条从"攻"到"防"、再从"能用"到"好用"的线。
攻的一侧，四种手法的成本从高到低排开，但都建立在既有弱点上——没打的补丁、复用的密码、没做校验的输入框、有上限的带宽。
防的一侧，你要记住每把锁的边界：HTTPS 只保护路上的传输，管不了服务器自己；缓存让页面变快，也让你看到过期的版本；Exif 与二维码提醒你，信息在你看不见的地方也可能泄露。
再往外，是让这一切能用起来的东西：DNS 把名字翻成地址，HTML 定结构、CSS 管样式、响应式让一套代码适配所有屏幕，小程序和深链改变了"应用"的存在方式，云和区块链重新分配了"算力"与"信任"由谁提供。
最后，5G 的低时延、语音压缩的取舍、OCR 的审核、完播率的指挥棒——它们在提醒一件事：技术参数从来不是终点，它只是决定了哪些事变成可能，以及哪些事变得更划算。