我更无语，我主动移除公交卡再抹掉设备的，结果遇到了这个问题，按道理我移除成功了就应该是备份成功了再提示我，现在搞得半死不活，这设计多少有点脑瘫

@kimwang

1. 盐是需要存下来的，比如 bcrypt 前 22 个字符就是盐，参见 https://en.wikipedia.org/wiki/Bcrypt 的示例说明
2. MD5 破解是用彩虹表
3. 慢函数可以扛暴力破解，做到破解之后信息已经没有用了

如有错误欢迎纠正
password_hash 的 $algo 参数设为 PASSWORD_BCRYPT 即是 bcrypt
我平常也是用 bcrypt 算法

@lanjz 第二次失败返回的是第一次的 id ？

@skyboy 自己写一个

methods 为什么要用对象存?

如果是使用 HTTP 协议，这样做没有任何优势。

@mynameisny 把某些信息加密（比如 RSA ）后发给客户端当令牌，比如每次登录都有个登录时间之类的，判断是否有效就是判断令牌里保存的时间戳是不是晚于最近登录时间。另外无状态应该指的是会话状态由客户端负责维护而不是不保存状态。

@hanzichi 话说回来，建议放弃 PHP ，转投 Node + TypeScript 和 JavaScript····

看来程序员都需要一个认可啊····

@wanganjun

如果不是单页应用
还是建议用 cookie 来传输 token
这样在地址上不可见
用的时候注意防范跨站等等攻击就行了
简单方便

@wanganjun

看起来只能这样：

1. 往 document 对象监听 click 事件，捕获所有 a 标签的
2. 检查是否请求自己的地址
3. 改用 AJAX 添加请求头然后发送请求

另外 ichou 说的是 Authorization 请求头
详见 RFC7235 ( https://tools.ietf.org/html/rfc7235 )

业界毒瘤 +1

@lml12377 最近才收到提醒, 一看已经过去二十几天... Phalcon 的控制反转看起来是 [Service Locator]( https://en.wikipedia.org/wiki/Service_locator_pattern) 模式, 不是依赖注入...

@harry890829 去试试 electron 这个壳， visual studio code 就是基于它的，似乎做点优化性能也不是问题。 http://electron.atom.io

@lml12377 不是, 你的代码仍然依赖了 DB 这个函数, 正确做法是从外部传进来, 比如通过构造器: __construct(PDO $db) 此时依赖的是 PDO 接口, 只是 PDO 没有相关的 interface 定义, 只好依赖这个类型...

telegram 有开源，你看看能不能搞起来

@Masutangu 感觉 Martin Fowler 的书 Patterns of Enterprise Application Architecture 可行? 书没看过, 他的博客倒是看了不少, 里面有讲很多常见的模式

server {
location ~ ^/www {
rewrite ^ /index.html last;
}
}

@Masutangu 编程范式应该通过理论来学习吧，毕竟设计跟实现不一样，假设只通过 iOS 学习 OOP ，感觉容易被误导认为 iOS 的 OOP 才是 OOP 之类的。