@doresu ：你是怎么用的？绑定域名？方不方便网站贴出来看看？

现在不备案是不是没法用了？

哈哈，说起 diff ，觉得用 headless 浏览器用两个账号分别渲染、截图，然后对比，可能是终极办法了

@binux 其实 @rannnn 的回复让我惊了一下，按照这种逻辑，其他后台可以在多个元素上面输出水印，背景、人物图像、甚至操作按钮的背景之类，这样的话我觉得是无解的，除非设置不加载图片。但是这样的话，原帖中如果带有图像就不能截取了

有点纳闷，是不是生成的背景图里面有玄机？这样的话， F12 ，直接把这个背景或者元素删掉还有没有？删掉之后在截图有问题吗？

Waf 也可能是硬件吧

我也是醉了，还不让转载，复制.

"其实 CSRF 并不一定非要借助受害用户的浏览器，黑客可以自己写脚本伪造出一个和真实的 http 请求一模一样的数据包发给你的服务器，前提是你的这个 http 接口中的所有参数都是可以预期的。
需要说明的是，对于广义的 CSRF ，是我自己的理解，在这一点上可能与书本上所讲的内容存在一些出入。"

这是误解，这种直接通过其他途径获取到用户身份如 cookie 的啥的，然后伪造后台直接伪造请求，不属于 CSRF 的范畴。


“要实现 CSRF 的关键，在于找到 XSS 漏洞”

你是在逗我吗？这俩有个半毛钱关系？两者的确可以结合起来做攻击，但是原理半毛钱关系都没有。
CSRF 的本质是“攻击者在受害者不知情的情况下以受害者的身份发送某些敏感操作到服务端”，这种防范很简单， Http Referer 判断就可以，只不过由于担心浏览器漏洞使得 referer 被篡改，大部分都采用 token 的方式。


所以对于真正的 Restful 服务来讲是不存在 CSRF 攻击的，因为他是无状态的，而发动 CSRF 恰恰需要利用的就是这个状态（一般是 cookie ）。

下面的已经看不下去了，楼主还是多看看相关的概念，细细品味品味。

你说的那一大堆库 框架 一个 maven 不就全搞定了？再配个 IDEA 还要啥自行车啊

技术牛逼，你穿个拖鞋都行，以为穿拖鞋被刷掉的，那是你不够牛，这跟简历的包装是一个尿性

你这完全是 XY problem( http://mywiki.wooledge.org/XyProblem) .

@raysonx 已经提到了，合理的做法是子进程自己根据某些 flag 控制进程是否结束，并且有责任在退出前释放自己占用的资源

笑死了，你这个杀敌一万，自损八千啊，你服务端维持那么多长连接你扛得住？再说了，定向爬取都特么要到源码分析抓取地址的啊？你这种小伎俩分分钟过滤掉啊

我去，刚升级完成了，发现坑爹啊。之前装的应用我是一律不给电话权限的，但是升级后，权限里面发现电话被打开了，而且关闭不了！！

@iroywang :申请了，立马收到推送， 1 个多 G ，对吗

@Tyanboot ：这种方式升级后，后续还能继续 OTA 升级吗？

http://www.ithome.com/html/android/211020.htm
这里提到了线刷是要解锁啊

@iroywang ：百度有什么答案？不瞒你说，我发帖前还真 google 了，大部分只是提到好像是 8 月 20 几号开始分批推送，半个月了一直没收到，所以才发帖问问情况。