XiiLii

@ericdeng 我更喜欢抖音推荐我希望它推荐的不感兴趣内容。

@dode 好像只能这样，无法捕获其他脚本或者浏览器内部发出的请求。GPT 说：这是因为每个页面的 Javascript 环境是隔离的，Tampermonkey 脚本运行在自己的沙盒中，无法直接访问或拦截其他脚本的操作。

@XiiLii 同步到云端确实不安全，但如果不同步到云端，一旦用户的设备丢失，那么这些用 PassKey 登录的平台就无法登录了吧，除非这些平台强制要求附加其它登录方式，比如手机、邮箱，换设备后再重新添加新设备的信息、删除旧设备。这些操作对于我们来说可能不复杂，但对于普通用户可能麻烦些。如果系统能通过同步一键把这些事情都帮用户处理了，确实方便些，就是不知道实际的安全性。请问你们公司是如何解决用户设备丢失的问题呢？

@stamhe 同步到云端确实不安全，但如果不同步到云端，一旦用户的设备丢失，那么这些用 PassKey 登录的平台就无法登录了吧，除非这些平台强制要求附加其它登录方式，比如手机、邮箱，换设备后再重新添加新设备的信息、删除旧设备。这些操作对于我们来说可能不负责，但对于普通用户可能麻烦些。如果系统能通过同步一键把这些事情都用户都处理了，确实方便些。就是不知道实际的安全性。请问你们公司是如何解决用户设备丢失的问题呢？

@stamhe 我也了解过 passkey ，感觉算是比较完美的方案，为什么说 fido 的方案有问题，能说下吗？您说的“我们”是指我国，还是？

@yinmin 谢谢分享你的建议，这种方式可以增加制作彩虹表的复杂度，确实也不能完全避免破解。

@yinmin 服务器也不保存用户明文密码，服务器保存的是对用户的密码再加盐哈希的值。

@iX8NEGGn 是的，用户密码只有用户自己知道，在离开客户端前密码就已经被哈希处理，Bitwarden 应该就是做这种哈希处理的。但是对于用户来说，他基本不想使用任何的额外软件来管理自己的密码，如果可以，客户端就应该帮用户进行哈希，如果只是简单的哈希，会被彩虹表攻击，加盐的盐值泄露也不行。

@xuanbg 你说的强制要求用户使用密码有道理，但客户端密码还是有可能被硬件加速暴力查询得到