发布来自土法炼钢兴趣小组的知识、笔记、进展和应用。主题包括数据结构和算法、编程语言、网络安全、密码学等。
共 13 篇文章 · 返回首页
PAM（Privileged Access Management）管理的是'有钥匙的人'——域管理员、数据库 DBA、云基础设施 root 账号。IGA（Identity Governance and Administration）管理的是'谁应该有什么访问权限'——访问认证（Access Certification）、权限审计（SoD 分离）、自动化开通。两者加上审计日志构成安全合规的三足鼎立。本文拆解 PAM 的会话劫持与审计、IGA 的访问认证与角色挖掘，以及审计日志的不可篡改设计。
零信任不是 binary 的'做完/没做完'。CISA 的零信任成熟度模型（ZTMM v2.0）将零信任分解为五个支柱，每个支柱有四个成熟度等级。本文拆解 ZTMM 的评估框架，以及每个支柱从初级到高级的工程跳跃具体意味着什么。
从 FATF 四十项建议、OFAC、AMLD、人民银行反洗钱监管出发，系统讲解 KYC 生命周期、身份核验、制裁名单筛查、交易监测系统（TMS）、案件管理、加密货币旅行规则与 Travel Rule 协议的工程实现。
量化交易系统的运维不像普通互联网服务：故障窗口以毫秒计，每一次错误直接对应金钱损失。本文从监控分层、告警值班、熔断降级、风控前置、监管报送、事故复盘到制度文化，串起一个把「能跑」升级到「能托管真金白银」所需要的全部基础设施。给出一份可运行的实时风控守护进程，演示订单速率限制、PnL drawdown 监控与熔断触发；并给出 SLO 与 error budget 的量化计算示例。
从卡时、电费到 AI Act 与 Prompt Injection——一份写给基础设施工程师的大模型成本、合规、安全三位一体手册。
面向做闭源/商业产品的团队：逐一拆解 MIT、LGPL、GPL、AGPL、SSPL、BSL 在 SaaS、私有化部署、移动 App、嵌入式固件等形态下的许可边界，给出三级名单模板、CI 扫描配置、SBOM 存证方案与出海补充要求。
面向中国工程团队的开源许可、版权与合规系列。从 GPL、AGPL、Apache、木兰协议到中国真实案例、SCA/SBOM 工具链与出海合规，讲清楚开源在工程落地中的坑与方法。
面向工程团队的开源许可证完整操作手册：许可证选型决策树、LICENSE/NOTICE/SPDX 文件写法、第三方依赖声明、CI 自动化检查、发布物合规标注，以及六套真实可复制的项目结构模板。
2018 年 8 月，红芯浏览器在完成 2.5 亿元融资后被发现基于 Chromium 换皮。本文从工程角度复盘这一事件：Chromium BSD-3 协议本身允许什么、不允许什么，如何通过文件指纹识别 Chromium 魔改，以及深度 Deepin、统信 UOS、麒麟 Kylin、中科曙光等国产系统的开源合规现状。
数字天堂 vs 柚子科技（2019）、不乱买案（2018）、罗盒 vs 玩友（2019–2020）——这批中国 GPL 诉讼案件厘清了 GPL 作为合同在中国法律框架下的效力，以及违反 GPL 的法律后果。本文梳理案件脉络、判决核心争议与工程合规启示。
深入解析 GPLv2 到 GPLv3 的条款变化、Tivoization 反规避与 DRM 条款、专利终止条款；LGPL 链接例外的工程边界；以及 Linus Torvalds 拒绝升级到 v3 的真实原因与嵌入式生态影响。包含路由器厂商、国内 Android 设备的 GPL 合规真实案例。
软件成分分析（SCA）与软件物料清单（SBOM）的工程落地指南：SPDX、CycloneDX 格式详解，商业与开源工具对比，美国 EO 14028、欧盟 CRA、中国等保 2.0 合规要求，以及从引入 Syft 到接入策略网关的实施路径。
从 TODO Group 定义出发，拆解 OSPO 的职责矩阵、中国大厂实践（华为、阿里、腾讯、字节跳动）、最小可行 OSPO 模型与成熟度路径，给出不同规模企业的落地方案。