V2EX › dzdh 的所有回复 › 第 37 页 / 共 88 页

强烈安利：

- PostgreSQL 自带，勉强够用

- 想要类似 ES 的，轻量的，支持 avg/cnt/sum/group 等，中文友好，支持海量数据（<1e 内)，不是一股脑全塞到内存的。请移步 https://zincsearch.com/

- 少量数据（十几百十来万不差钱的） https://www.algolia.com/

2022-12-03 23:22:31 +08:00

回复了 yusheng88 创建的主题 › 程序员 › 关于 jwt 做认证，有些疑问

还有一种是统一信任网关。

所有请求（无论内部还是外部）都经过网关传递流量到后端服务，后端服务只要验证请求来自网关就行了(如客户端证书，客户端是指网关，服务端则是真正的服务)。

2022-12-03 22:34:41 +08:00

回复了 edis0n0 创建的主题 › 程序员 › API 不管操作成功还是失败都返回 200 状态码，自己在返回结果里又定义一个表示是否成功的属性是从哪里传开的坏习惯？

- api token 错误

- IP 被拉黑了

- 超过了资源限制

- 试图访问不被授权的资源

按照 http status code 应该统一给 403 的 code （或者有几项应该用 401 和 429 ），但是实际业务中表述不够清晰。

调用方会忽略 http status code （比如我）直接用 response 来进行业务流程的判断。IP 被拉黑了我会判断 response ip rate limited 然后换个 ip 。但是这个表述可能会有变更，我的判断就不生效了，所以业务方会 statuscode:403, body.code:IP_RATE_LIMITED, body.message: ip rate limited 。

然后因为某种资源受限而本次访问不被许可可能会有更上一层的大的集合性表述，那可能是 body.code:FORBIDDEN, body.ErrorCode:IP_RATE_LIMITED, body.Message:ip rate limited. 当然可以用 status403 ，但是从 [调用方便] 我不用从 header+body 里分别取我觉得调用方就很好接受。

业务接口是给人用的，方便才是真理。PHP int+string 我管他啥类型，有结果就行。

2022-12-03 15:27:01 +08:00

回复了 yusheng88 创建的主题 › 程序员 › 关于 jwt 做认证，有些疑问

@yusheng88 如果是开发一个认证服务，那么私钥的生成和签名的验证都是在这个服务内部维护的。外部是接触不到的。或者说不想干的开发者是拿不到的。这个服务还是内网访问的，根据 0 信任模型搭建并维护这个服务。

2022-12-03 12:32:05 +08:00

回复了 yusheng88 创建的主题 › 程序员 › 关于 jwt 做认证，有些疑问

docker registry 的 jwt 使用是自定义 CA 生成证书，给每个 ID 生成证书，证书内容在 payload 里，认证时使用 ca 公钥验证证书合法性再验证签名。

2022-12-03 12:30:28 +08:00

回复了 yusheng88 创建的主题 › 程序员 › 关于 jwt 做认证，有些疑问

1. 使用 rsa ，每个 ID 的私钥都不一样。视需要的安全程度比如可以开发一个专门的认证服务私钥在这个服务里面生成、保存。

2. jwt 只是个协议，算法和表述可以自己定义不用过分拘泥于形式。如果用什么三方包那就干掉自己实现一个。也就两个方法事。

2022-12-02 23:09:16 +08:00

回复了 tianjingjian 创建的主题 › Apple › 免费领 applemusic 会员

@Dachunlv !?? 还没到期自动续费的呢关闭自动续费？