共 3 篇
OpenClaw 网关的握手里，服务端先发来一个 nonce，客户端回的 connect 帧里却还躺着一个明文令牌。顺着这个现象往下追：ws:// 上到底什么是明文、帧掩码为什么不算加密，令牌通常放在哪，为什么发哈希不够、要用每次不同的挑战，obs-websocket 的 SHA-256 挑战-应答和 OpenClaw 的 Ed25519 设备签名各防住了什么，令牌为什么还要明文发，挑战-应答为什么护不住整条会话，最后看 wss 和 TLS 补上的是哪一块，并把 Home Assistant、Jupyter、VS Code Server、code-server、Kubernetes 的做法放在一起对照。
手机开着飞行模式，Google 身份验证器照样每 30 秒换一个六位数，服务器却能认出它。顺着这个现象往下追：六位数是怎么从密钥里算出来的，为什么用时间做计数器，扫码导入的那串东西是不是“证书”，真正的数字证书又是什么，平台也握着密钥时 HOTP 为什么不改用非对称密码，以及证书和六位数为什么都挡不住钓鱼。
阿里云万有无界、扣子、Multica 都支持把电脑上的 Claude Code、Codex 这类编程 agent 接进平台，让同事在群里 @ 它干活。顺着这个功能往下追：为什么要把 agent 留在本地，平台怎么找到一台没有公网 IP 的电脑，怎么把交互式 CLI 变成可调用的 worker，几个任务和你自己怎么共用同一个现场，agent 又怎么反过来以平台身份干活；最后看看现在都有谁在做，以及这件事和“给电脑装了个木马”到底差在哪里。