这篇讲的是HSTS（HTTP严格传输安全）这个容易被忽略但至关重要的安全机制。作者从在淘宝首页意外看到罕见的307状态码切入，揭示了HTTPS网站面临的一个实际威胁：中间人利用HTTP（80端口）的首次请求进行劫持，替换广告或注入代码。 文章核心指出，HSTS通过服务器响应头中的`Strict-Transport-Security`字段来强制浏览器使用HTTPS，能有效堵住这个缺口。一个关键细节是，HSTS触发的跳转会使用特殊的307内部重定向状态码，这与常规的302跳转不同——它不会改变请求方法（如POST不会变GET），并且跳转可以被缓存，节省了额外的请求。 同时，作者也指出了HSTS的“坑”：它对纯IP地址或非标准端口无效；最危险的是，如果HTTPS未配置好就启用了HSTS且设置了长期`max-age`，可能导致用户无法访问网站。总体而言，文章清晰阐明了HSTS的工作原理、实际价值与部署风险，对于全站HTTPS化有直接的实践参考。
这篇讲的是，作者从自身2012年入行经历出发，对2009至2015年间前端技术的演进逻辑做了一次系统梳理与展望。 文章并未停留在简单罗列，而是清晰勾勒出一条演进脉络：从早期jQuery等基础类库对浏览器差异的抹平与功能完善，到HTML5标准确立后对富应用与性能的关注，再到2013年后以Node.js、模块化、工程化工具链为标志的“大前端”生态构建。作者特别指出，技术革新的背后是Web从“网页”走向“应用”的根本诉求，以及浏览器标准化、移动端崛起、前后端分离等关键驱动力。 文中对关键转折点的分析很有见地，例如14年HTML5定稿与ES6落地共同推动了大型Web应用开发成为可能；15年React Native等框架的兴起，则标志着前端技术开始突破浏览器边界，向跨平台原生开发渗透。作者将2016年展望为“低版本IE消亡”和“前端工业化生产”深化的一年，并呼吁业界共同推动标准落地与生态进化。 这篇盘点将技术变迁置于具体的时间线与行业背景中，对理解前端技术的昨天、今天与明天提供了扎实的参考。
这篇技术文章用一次具体的 GitHub 登录授权经历，拆解了 OAuth 2.0 认证流程的核心逻辑。 作者以“访客在网站上用 GitHub 账号留言”为场景，将复杂的认证流程分解为四个直观的步骤：网站与 GitHub 预先协商权限、用户确认授权并获取临时凭证 code、网站使用自身凭证换取最终访问令牌 access_token，最后用该令牌获取用户信息。文章通过“门票”、“盖章”、“绿卡”等生动比喻，把 Client ID/Secret、授权码、访问令牌这些抽象概念及其作用解释得非常清楚，特别是强调了每一步的安全考量——比如为何不能直接用 code 访问数据，以及令牌的权限范围与有效期管理。 对于想理解 OAuth 2.0 “为什么这么设计”以及“各环节如何衔接”的开发者来说，这篇短文提供了一个从理论到实践的清晰视角，能帮助快速建立对该协议运作机制的全局认知。
