mTLS + 证书绑定令牌很安全,但浏览器和 App 里没法优雅地管客户端证书。DPoP(RFC 9449)就是为公网客户端准备的那把锁:客户端自己生成一对公私钥,每次请求都附上一个用私钥签名的 DPoP proof。本文把 DPoP 的每个字段、两段流程、防重放机制和常见坑一次讲透,并回答“服务间调用要不要用 DPoP”,顺带讲清 SPIFFE JWT-SVID 的定位。

Bearer Token 最大的毛病是“谁捡到谁能用”。本文用大白话讲清两个专治盗用的概念——PoP（证明我是令牌的主人）和 Certificate-Bound Token（令牌只认这张证书），顺带把它们跟 mTLS、DPoP、Kubernetes、SPIFFE 之间的关系理顺。

微服务之间到底该怎么互相证明“我是谁、我能干什么”？本文借 AWS STS 的思路，拆开临时凭证的门道，对比 JWT+OIDC 与 AWS 式 AssumeRole 两条路线，并给出可以直接跑起来的最小实现。

讲清楚 workload identity 是什么、为什么它比长期凭证更靠谱，以及在 Kubernetes 和云平台里如何落地。

认证翻车和会话翻车, 往往不是因为黑客太聪明, 而是我们把"登录态"当成了万能钥匙: cookie 没设好、token 乱放、会话不轮换、登出不失效。本文用人话拆解常见坑, 给出 Java/Go/Python 可直接抄的防护套路与自检清单。

CSRF 不靠"攻破你的网站"，它靠的是"借你的登录态办坏事"。这篇文章把 CSRF 的本质讲清楚，顺便给出 Java/Go/Python 里能直接抄的防护做法：token、SameSite、Referer/Origin 校验，以及什么时候该用哪个。

IDOR 不玄学，就一句话：你用 "id=123" 这种直达链接访问资源时，服务端有没有确认 "你就是 123 的主人"。这篇文章用可抄的例子讲清楚：它怎么发生，怎么被利用，怎么在 Java/Go/Python 里修到位。

敏感数据暴露从来不是黑客多聪明，而是我们自己太大意：日志、报错、对象存储、备份、调试接口——每个环节都可能把数据"顺手递出去"。这篇文章给你一份可直接照抄的"数据防裸奔"清单。

AI 让"写代码"更便宜, 但让"证明没坑"更贵。软件工程的重心正在从"把需求写成代码", 转向"能力编排与治理": 把 prompt 当契约, 把评估当门禁, 把可观测性当边界, 把回滚当退路。

| Abstract | Journal on 2026-01-23 | | --------------|------------------------| | Authors | Walter Fan | | Category  | learning note  | | St...

用第一性原理做架构设计：从“本质需求”推导到“可演进系统”

| Abstract | Journal on 2026-01-11 | | --------------|------------------------| | Authors | Walter Fan | | Category  | learning note  | | St...

| Abstract | Journal on 2026-01-05 | | --------------|------------------------| | Authors | Walter Fan | | Category  | learning note  | | St...

| Abstract | Journal on 2026-01-01 | | --------------|------------------------| | Authors | Walter Fan | | Category  | learning note  | | St...

| Abstract | Journal on 2025-12-31 | | --------------|------------------------| | Authors | Walter Fan | | Category  | learning note  | | St...

| Abstract | AI Agent 设计与落地 | | --------------|------------------------| | Authors | Walter Fan | | Category  | learning note  | | Status...

| Abstract | Journal on 2025-12-21 | | --------------|------------------------| | Authors | Walter Fan | | Category  | learning note  | | St...

| Abstract | Journal on 2025-12-20 | | --------------|------------------------| | Authors | Walter Fan | | Category  | learning note  | | St...

别让 Cursor 猜谜。分享 Prompt Engineering、SDD、TDD 和增量开发技巧，让 AI 真正成为你的结对编程伙伴，而不是制造 Bug 的机器。

从一个老 Scrum PO 的视角，聊聊如何从零开始构建真正有价值的产品，拒绝自嗨，拒绝PPT造车。