最新

今年 2 月，我向 Google 的漏洞赏金团队报告了以下问题： 1. 用户访问 https://attacker.tld（这可能是故意的，也可能是通过弹窗实现的） 2. attacker.tld 通过状态码 302/301 将用户重定向到 OAuth 端点 2.1) 重定向 1：https://accounts.google.com/o/oauth2/v2/auth?client_id=[client-id] &response_type=code &scope=openid email &redirect_uri=https://iap.googleapis.com/v1/oauth/clientIds/[client-id]:handleRedirect &code_challenge=[redacted] &code_challenge_method=S256 &cred_ref=true &state=[redacted] 2.2) 重定向 2：https://iap.googleapis.com/v1/oauth/clientIds/[client-id]:handleRedirect?state=[redacted] &code=[redacted] &scope=email openid https://www.googleapis.com/auth/userinfo.email &authuser=0 &prompt=none 2.3) 重定向 3：https://attacker.tld/?gcp-iap-mode=AUTHENTICATING &redirect_token_v2=[redacted] 3. 用户的电子邮件地址在 HTTP 401 响应中被直接提供，作为 2.3 的结果，在 attacker.tld 域名上。由此我们知道，用户的电子邮件地址在未经同意的情况下被共享。 由于没有收到回复，我以为还在处理中。几周后，我回到他们的门户网站进行复查。他们回复了，但只在他们的门户网站内。工单来回沟通，声称无法复现。最后，我向他们提供了实时 URL https://withpersona-gov.com。 他们再次辩称该漏洞无法复现。巧合的是，就在我向他们提供 URL 后的 2 天，该网站就改为了重定向到 withpersona 主域名。 显然，这曾是或仍然是严重违反隐私法的行为。我觉得我被“煤气灯操纵”了。

我目前的设置是在本地运行的开发容器中进行所有开发工作。<p>我打开 VS Code，在开发容器中打开本地文件夹。本地文件夹被挂载到容器中以实现持久化更改。容器的 Dockerfile 定义了我的开发依赖项。在容器内，我可以进行任何我想要的全局安装，这些安装在会话之间保持不变，并且项目编辑会保留在宿主机上。<p>这种方式运行良好，我很喜欢这种设置。我可以在 VS Code 的终端中运行 CLI 代码代理，同时仍然拥有良好的开发体验。<p>现在，我希望基本实现相同的流程，但基于 MicroVM，我主要解决的问题是允许我在该 MicroVM 内部运行 Docker，因为 Docker-in-Docker 效果不佳。此外，如果我可以在 MicroVM 本身不暴露密钥的情况下使用密钥，那就太棒了。<p>但我花了很多时间研究不同的 MicroVM，存在一些问题：<p>- 很多 MicroVM 专为短时、短暂的任务而设计，而不是一个可以轻松持久化、并且容器持久化和宿主机持久化分离的长期运行的开发环境。<p>- 我认为它们没有与 VS Code 或其他开发工具集成？难道需要在 MicroVM 本身安装 VS Code，而不是让宿主机的 VS Code 与其交互？<p>- Docker 发布了沙盒，它在某种程度上满足了我的需求，但它仅限于 AI 代理。而且只能使用他们支持的那些。你不能拥有自己的自定义环境，在那里做你想做的事情。<p>所以我很困惑。有很多不同的解决方案，但似乎没有一个能用，我只想拥有类似 Dev-Container 的体验，更安全一些，并且允许我在其中运行 Docker。

我是一位在旧金山（SF）的创业者。这周，a16z 举办了他们的“极速冲刺咖啡馆”。 另一位创业者（Andrey）和我都在本周早些时候参加了一次咖啡馆活动——他周二去的，我周四去的。 我们俩都再次在 partiful 上报名了周五的活动，并且都获得了批准。 今天（周五），他走了进去，留下来为更多客户办理入职手续（来自他自己的推文）。 我去了，却被 a16z 的工作人员挡在了门外，被告知我“本周已经参加过一次了”。 同样的活动。同样的规则。同样的批准。他是白人。我是亚洲人。 还有人遇到过类似的情况吗？ 推特帖子链接：https://x.com/W_Liu_/status/2047877775273636265