@FONG2 不用本地也可以做到空 referer 的，改吧，目前 session token 是最有效的手段。

跟库关系当然大拉。。。
插个题，有人知道这句代码会导致什么安全问题吗？
```Javascript
jQuery.get(location.pathname)
```

@jadecoder 这是为什么呢

@jadecoder 差很多钱是为什么？

少了 setRequestHeader ，但 XDomainRequest 正好不能执行 setRequestHeader ，所以，还是 get 吧。

@Citrus 这期的不贵呀

知乎 Live - 如何自学 Web 安全
＊ 什么是 Web 安全？
＊ 常见 Web 漏洞的攻击思想
＊ 如何搭建一个流畅的白帽子 workspace （工具 / 环境）
＊ 如何探索学习及实践资源
＊ 实践过程中遇到问题的一些解决思路

https://www.zhihu.com/lives/775292173955379200

这种扩张是不是可以用来窃取用户账户呢？

不要在本地跑这段代码。。。放服务器试试

source -> commit -> build -> deploy

既然如此，为何不自己搭建一个？

你对一些安全概念缺少了解，比如： CSRF 、 token

@P9 https://zhanlan.zhihu.com/p/19918440?refer=wooyun

QQ 邮箱可以不需要密码就搞定，产业链已经很成熟了。

先买的 mas 版，后来开始用 pc 了又买了个通用 key. 如果要用 pc 的话就买通用的 key 吧，可以用 dropbox 同步。

@Livid 为什么我还是走的 HTTP ？

@pc10201 <iframe src="Javascript:'<script>new XMLHttpRequest;</script>'"></iframe>