@kele1997 docker 的特权模式对应的不是用户，而是 root capabilities 以及 seccomp 的东西。至少在支持 rootless 之前 docker 是这样做的...你可以通过 docker 里面的 root 用户创建文件，外面看所有者还是 root 。但是要是你通过非特权 docker 里面的进程访问设备，就会被 seccomp 拦下来。

@ReputationZh
https://www.kernel.org/doc/Documentation/filesystems/ext4.txt

印象中 ro 依然会做 log replay, 你应该 ro,noload 来避免任何写入
日志当然在文件系统里面，只不过不是文件
日志是为了保证操作事务性的机制，需要事务性的写入操作才需要日志
3 的问题就太宽泛了...难以回答

我直接把 ssh 映射到公网，并且加上禁止 root 登录，禁止密码登陆。跑了一年多了，一直有看到扫描（每天 2000+次登录尝试），但是没被黑掉过

让我想起这个项目 https://github.com/springzfx/cgproxy，不过 cgproxy 是一个 daemon，监听 cgroup 然后对于设置的 slice 等应用代理

突然对你用的框架很感兴趣，我正好想要写一个支持量纲检的物理库

有一点想要提到的，其实 systemd-resolved 提供的 127.0.0.53 只是一个 failback，默认情况下解析会通过 glibc 的 nss 扩展借助 dbus 完成解析。那个 127.0.0.53 一般是给 golang 程序那些 nss 管不到的程序做解析的。不过在 Ubuntu 上那个 nss 模块默认没开，于是修改 resolved.conf 可能有效果，在 Fedora 上可能对于大部分程序就会不好使了。

systemd-resolved 获得上游 DNS 配置的方法有很多，默认情况下会从 network manager，比如 systemd-networkd 或者 NetworkManager 取得。但是也可以手动配置，确实通过 network manager 层面配置更可靠

至于 #2 提到的，要不试试 FallbackDNS 配置，我建议的配置是
1. 有线网通过 NM 设置 DNS
2. 无线网通过 NM 禁用 DNS
3. 设置 FallbackDNS，在有线网断开的时候 resolved 没有 DNS 配置就会使用 FallbackDNS

git 只是在文本层面处理代码，它管不到代码里面的逻辑，你需要的是测试用例

之前去维修，表示了顾虑，然后维修人员在我面前进行的屏幕检测（

Linux 下使用，因为 chrome/chromium 对于 wayland 以及硬件加速支持很糟糕于是弃用，一直用的 Firefox，加上 Google 要禁止发行版的 chromium 带的 key，我可能会逐步完全抛弃 chrome/chromium

下划线只是为了避免不必要的冲突，至于一堆 template...嗯，因为人家叫做 STL

@lp101799 这就是可信计算方案，需要用到特殊的操作系统提供的接口，并且要求一个额外的主密码 /TPM 二选一，成本也很高

@czfy 腾讯那个回应就扯...为什么恶意登录在登陆后 10 分钟检查，为什么恶意登录检查指标是电商搜索...

@bin456789 接上，拿着一个 token 去 Google 服务器拿密码的设计，一方面需要时刻联网，另一方面这个 token 也不可能受到密码学级别的保护，然后依然可以被恶意程序拿走，总体上，你要么使用主密码保护，要么用上奇妙的可信计算途径，否则保护都会是掩耳盗铃，只是掩耳的力度不一样

@bin456789 对于新浏览器无效大概只是没人愿意做，因为如果没有浏览器源代码的话开发密码查看器需要逆向浏览器（但是不会有密码学级别的障碍）

@bin456789 哪怕是 lastpass，泄露了主密钥大家也都能读。
只不过对于 chrome 而言主密钥就等于是你的 windows 的账户凭据。
保证这里的安全的核心是不要把电脑解锁了给别人，另外不要泄漏自己的账户密码，lastpass 也是一个道理，你解锁了 lastpass 时候别人至少能 dump 内存拿明文，你泄露了主密码可以直接解析你的密码库。
哪怕每个 Google 账户被一个密钥加密，这个密钥的密码放在哪儿？要是放在用户脑袋里面，每次打开浏览器（或者使用填充）都得输入一次密码？这就破坏了自动填充的易用性。
Google 设计的时候就假定，每个 Windows 用户对于这个账户的资源应该是完全控制，要是要把电脑交给别人用，自然应该建立一个新账户。

@bin456789 不是掩耳盗铃，首先你登陆 Windows （或者在 Linux 桌面解锁密钥环）之后加密存储库的密码就被解密，存储库也就对于任意程序可读。

这些密码必然不能以某种非对称方式保存，因为你要填充用明文。在没有使用特殊的操作系统提供专门的密钥保护机制的前提下 chrome 不可能有独享的存储空间，它自己能读到的密码任意程序自然能读到。

至于查看密码需要验证凭据，这也很正常，一方面能防小白（这个验证凭据正是因为用户的呼声加上的），也要求拿走密码步骤变长，另外需要额外安全性的用户可以在此基础上配置可执行文件策略等保护密码不被拿到。

所有浏览器都跑不掉这个设计，真的要解决这个问题还是 FIDO 这样的机制...干脆放弃记住密码算了

@dzyou2007 #212 因为程序要加载输入法模块吧...然后一些网络访问被写到输入法模块去了，很不厚道的行为