彻底搞懂谷歌MFA / 网易将军令：TOTP动态口令原理 + 可直接运行代码
你每天用的谷歌身份验证器、网易将军令，到底是怎么算出6位验证码的？为什么离线能用？为什么时间不准就失效？服务器不能碰硬件，怎么校准时间？这篇文章从原理 → 步骤 → 公式 → 代码 → 二维码生成，一次性讲透。
身份验证器 - Authenticator
身份验证器 - Authenticator (Chrome 扩展)浏览器端 TOTP 两步验证身份验证器，支持分组管理、标签筛选、QR 码扫码导入、按用户名关联自动填写动态密码，并与 Google Authenticator 兼容的 otpauth URI 导入导出。
Logto：面向SaaS与AI应用的现代化身份访问管理基础设施
在 AI 应用快速普及的当下，原生适配 Model Context Protocol 的特性填补了智能代理身份管控的空白，为大模型、AI 智能体提供安全合规的鉴权方案。
Shannon AI驱动的自主渗透测试工具，让安全测试自动化成为现实
在软件开发的黄金时代，一个关键问题困扰着每个安全团队：如何在持续交付的时代保持应用安全性？ 随着Claude Code、Cursor等AI编码工具的普及，开发团队每天都在快速交付新功能，但传统的渗透测试仍然是一年一次的手动流程，这造成了巨大的安全漏洞。
基于TOTP算法的Github两步验证机制Python3.10/Golang1.21实现
从今年三月份开始，Github开始强制用户开启两步验证2FA登录验证，毫无疑问，是出于安全层面的考虑，毕竟Github账号一旦被盗，所有代码仓库都会毁于一旦，关于双因子登录的必要性请参见:别让你的服务器沦为肉鸡，密钥验证、双向因子登录值得拥有。
一起绕过双因子验证的实际入侵案例
上周，云服务提供商Linode发布了一篇博文，描述了其云服务客户PagerDuty的服务器被入侵的过程。
GitHub日榜第一：morluto/rea无源码逆向工具24小时涨4666星
一个没有官方发布会、没有融资新闻、甚至没有一个正式版本号的仓库，在 24 小时内狂揽 4666 颗星，直接把 GitHub Trending 日榜第一的位置夺了下来。
中后台的权限、租户、审计，这个 .NET + Vue 项目都内置了
前言中后台项目往往绕不开权限、租户、审计这些基础能力，重复造轮子既费时又容易留下隐患。XiHan.BasicApp 把这一套东西做成了开箱即用的基础应用，前后端分离，后端 DDD 分层，前端 Vue + TypeScript，适合直接作为项目起点，也适合拿来研究 .
Shannon-自动化渗透工具
香农解决了什么问题?借助 Claude Code 和 Cursor 等工具，您的团队可以持续不断地发布代码。在剩下的 364 天里，您可能在不知不觉中将漏洞部署到生产环境中。
Windows远程裸奔等着被爆破？给Windows加上手机动态码锁
Windows远程裸奔等着被爆破？给Windows加上手机动态码锁，开源免费一台公网 Windows 服务器，远程桌面只靠"账号+密码"守门，等于把家门钥匙放在脚垫下面。今天教你用一款开源免费工具，给 RDP 加一道手机动态验证码——密码就算泄露了，攻击者也进不来。全程十几分钟。