发帖前请善用搜索啊。。。
/t/260338

@Ellison 点进去发现他姓梁

自从买了之后再也没有成功备份过。

@alect 我的错，想当然了。抓包看了一下似乎服务器会根据 Client Hello 里面的信息来判断应该发哪个证书，而不是一股脑的两个都发过来。

@tntsec 我的意思是，在没有解析漏洞的情况下，另外两个问题虽然也比较严重，但是就没有你说的这么严重啦

然后你的握手包就这么翻了一倍。。。

@tntsec 我明白你说的，我的问题是，你说的这个漏洞或者问题也好，触发的前提起码正在开发的网站要有上传接口。如果没有一样不能触发，不是么？

没懂，如果我正在开发的代码完全没有上传接口呢？

@iYu 招行的绑定时候会弹出一个协议，那个协议明确说了，只要绑定自动开通 500 元 小额免密，所以这是大多数人招行不需要密码的原因。。。

@yougg 你说的我都懂，但是我可以一个月不开支付宝，不能一天不开微信。

不同意最后的观点，支付婊每次打开启动画面好久，有些时间微信都付完了。。。

@endosome 可以切的，仔细找找吧。

@yangqi 这就叫翻身那你对翻身的定义也太草率了吧。。。

@dommyet 。。。我的前提就是开它 on 啊亲。。。

@dommyet 你在 ssl_verify_client on 的时候可以 302 ？不可能吧。

用 optional 然后后端验证是唯一的方法，否则 SSL 握手阶段根本就没完成，也就不存在返回错误页面之类的问题。

@YUX 并不可以，你可以试试。如果你用了付费才能用的 Api 会直接拒绝编译。