搜索「安全」

默认情况下全站共用一个 PHPSESSID，前台用户和后台管理员写在同一个会话数组里，很容易出现越权隐患。做法：切换会话名 前台页面调用 np_user_session()，后台页面调用 np_adm

…截、手机不在身边就进不去 结论：能用，但别把它当成最安全的那一层。重要账号尽量升级到下面两种。 TOTP 动态码：性价比最高 就是那些 30 秒变一次的 6 位数字，由验证器 App 根据共享密钥和时

手机的权限列表里，有些权限只是"多点几下烦你"，有些则等于把一部分数据交出去。这篇只说三个真正需要谨慎对待的：剪贴板、相册、通讯录。 剪贴板：看不见的明文通道 剪贴板里常常躺着验证码、密码、银行卡号、

…广告"，并重置广告 ID。 iOS：设置 → 隐私与安全性 → 跟踪 → 关闭"允许 App 请求跟踪"；再到 Apple 广告里关掉个性化广告。 关掉之后广告不会变少，但推荐不再跟你的使用习惯绑定，

…相关数据）。 CORS 请求失败会产生错误，但是为了安全，在 JavaScript 代码层面无法获知到底具体是哪里出了问题。你只能查看浏览器的控制台以得知具体是哪里出现了错误。 接下来的内容将讨论相关

…不再有请求到达服务器。 规范中提到的方法之一是使用不安全的方法（例如 POST）发送对同一 URL 的请求，但对于许多客户端而言，这很难实现。 Clear-Site-Data: cache 标头及其指

… Cookie 有两种方法可以确保 Cookie 被安全发送，并且不会被意外的参与者或脚本访问：Secure 属性和 HttpOnly 属性。 标记为 Secure 的 Cookie 只应通过被 HT

…不同地址的信息拼接而成。某些情况下，放开这些限制还有安全相关的考虑。 认证：一些页面可能会被保护起来，仅让特定的用户进行访问。基本的认证功能可以直接由 HTTP 提供，既可以使用 WWW-Authen