首页：
<link rel="shortcut icon" href="https://www.bilibili.com/favicon.ico?v=1" />

错误页：
<link rel="shortcut icon" href="//static.hdslb.com/images/favicon.ico">

第一个 ico 确实 404 了，不过想想这是 B 站，也就合理了。

有一个特点是它们似乎不在乎刷没刷成功，认定一个链接后我们运维把他 IP 封禁、响应 403 ，即使删除这个链接响应 404 或者其他错误，它们仍然继续刷。感觉可能是攻击范围太大，管不过来。

有几个客户遇到了这个事情，现象一样，19:30 之后准时开始，23:00 准时停。
不光是阿里云线路，我们这边其他包括腾讯云华为云线路都有遇到。

攻击者 IP 来自中国境内各地的联通，没有电信和移动。
个人赞成 #2 @someone0123 的判断。

提供侵入、非法控制计算机信息系统程序、工具罪
非法获取计算机信息系统数据罪
你还想用这个赚钱那妥妥坐实了

网易云音乐的图床没做类型验证，被人上传恶意网页拿来使用了。
网易云音乐的域名在 QQ 内肯定是白名单安全域名，这是用来防封的。

系统底层分工明确、逻辑合理的话，这其实不是什么麻烦事情。每个部分处理自己的职责范围就行。

阿里云的 Key 都直接收集也是够猛，如果是主账号的密钥，能直接白嫖你阿里云买各种服务器等产品

*纠正 GCP 应为 GCF

你这种 10G 流量的需求买服务器是浪费。
静态页用对象存储，动态的话用 GCP 这类 Serverless 服务。

服务商选择的话，分情况：
国内要求能访问就行，速度无所谓的话，用 AWS/Azure/Google Cloud ；
如果国内要求速度飞起的话，考虑阿里云腾讯云的美区对象存储，然后给对象存储开个全球加速，再套个对应厂商的国内 CDN （这个要备案，如果要求国内访问速度正常的话，最好是备案套国内 CDN ，不备案的话要搞个香港优质线路中转下也可以，按流量计费的那种）。

付费证书合法合规渠道里面，Sectigo 最便宜，如 #1 所说，单域名几十，通配符 2~300 ；
不合规渠道就是萌咖的 AlphaSSL 通配符，是利用服务器商的免费证书政策骗来的，申请时需要修改网站解析到指定服务器商的 IP ，价格是 30/年；
最白嫖当然是三个月证书的自动化部署，certbot/acme.sh/caddy/支持自动更新的厂商等。

惠州找 10~20 块一天的挂逼房

这个过程有 WPA 协议加密，一个四次握手的验证过程，AP （ WiFi 设备）不会知道你输入的密码原文，只能比对加密后的 PTK 。所以即使你输错了密码，AP 也不会知道你输错的内容。理论上是无法用于钓鱼获取邻居家的密码的。
这是我查到的，实际上是不是我不知道。

@Dnlyao 那就用 S3 协议搞一套上传啊，兼容性很强，所有云存储服务商，包括自建对象存储都支持。

如果一定要对系统改动最小，可以考虑在存储服务商上搞一个 Serverless （或者云服务器），然后在上面接收上传的文件（或分片），在云上使用存储服务商的 SDK ，走内网传输到存储服务商即可。
这个方案不太需要改动客户端，只要一般的 API 和客户端上传走不同的域名即可。

10 Mbps 带宽只够一个用户以 1 MB/s 的上传视频，他上传的时候其他所有用户都歇菜。

服务器是 Gbps 级别带宽，并且不限流量的？如果是这种情况可以考虑。

你觉得去区块链、加密货币、“Web3”、NFT 相关技术公司的人是真的相信这些安那其思想的吗？
不是，他们也只是去赚现实中的政府发行的法定货币，包括绝大部分这类公司的创始人、投资人也是这个目的。
既然是想赚政府发行的法定货币，这些人会更相信政府颁布的法律和法规，还是那些安那其理想？