@breeswish 因为“密码”的key是根据登陆密码算的，这样节省了一个PIN的麻烦。所以注册和登陆的密码只能留在本地。

@breeswish 做成浏览器扩展恶意软件依然破解。如果木马能截屏怎么着都没用。所以建议只在信任的设备（如自己的手机）上登陆

@ryd994 我已经看过了。我当然考虑过这个问题。

但是用来解密AES和用来登陆校验的hash函数是完全不同的。用来登陆的hash是sha(密码+salt1),用来解密AES的hash是sha(密码+salt2)。因为salt1和salt2不同，所以就算攻击者拿到hash登陆了服务器，他也无法解密服务器传回的数据。因为他必须解密密码，然后重新计算+salt2的hash。

当然@raincious 说的很有道理，必须使用HTTPS,如果攻击者能修改JavaScript那么这一整套系统的安全性会直接崩溃。

@ryd994 AES-256不是那么好穷举的。虽然自己做的东西可能会有漏洞，但怎么说也比随便找个软件用放心。像lastpass这种服务商虽然可能用了更好的加密算法，但hack那个的收益显然要大很多。所以综合来说安全性不一定高。

最后：我并没有自己写加密算法。AES和SHA都是用库做的。只是用轮子造了个车罢了

@xierch 已加入TODO

@ryd994 全局shadowsocks...

@duxuan 就算能用，挂机也应该用电脑或服务器呀

@raincious 中间人攻击……好吧，确实https更好

由于解密需要的密钥不会传向服务器，因此使用HTTP协议也是安全的

@koodai 如果能成功分析协议欢迎来github共同开发！手机qq协议应该能比smartqq稳定10倍以上

@dong3580 别人写的你敢用？虽说是商业公司……

我发现我好像写过一样的东西……有空做成客户端加密。

Request Payload:
{"isActive":false,"label":"hi","account":"zh","password":"11111"}

不做client-side encryption?

@koodai 在电脑上装安卓模拟器，用wireshark抓……

@kingcos 再不买就毕业了23333

@Livid 更新不能以固定周期衡量吧。当时haswell一出 mbp就跟进了，现在既然不打算用broadwell，再跳过skylake的几率应该很小，那么按照这个逻辑mbp应该要同步升级为skylake。


@matthewz 送BEATS SOLO2

Buy a Mac with education pricing and receive a pair of Beats Solo2 On-Ear Headphones.

@soli 技术推还是有的吧

@publicID001 很久没用了，当年用的时候还是要改ua的，不然非让装一个输入密码的控件

BAT没有一样是有必要装的。Google可以完全替代B, 支付宝可以使用网页版，将User-agent改成Linux即可避免安装控件，T可以使用WebQQ。至于360，还没见过有程序员用的。

如果你怕QQ上有人找你你没看到，欢迎使用我的挂机脚本，24/7值守，留言转发邮箱： https://www.v2ex.com/t/210616