安全与隐私

给你一个在限定时间内能收信的一次性收件箱，附件可以直接在页面里看。

按长度、字符集和是否排除易混字符的规则生成随机密码，需要的话可以一次生成很多条。

在你点开之前先看这条链接长什么样——混淆字符、直接写 IP 的主机、@ 障眼法、层层子域、奇怪端口、短链服务——需要时还能追踪跳转并查域名注册时间；没有信誉库。

不解压就打开 zip，标出路径穿越条目、可执行文件、宏文档和压缩炸弹。

把 Google Authenticator 的迁移二维码解开，还原成一个个账号和它们的密钥。

查一个密码有没有出现在 Have I Been Pwned 的泄露数据里，浏览器只发出它 SHA-1 哈希的前五位（k-匿名）。

从你指定的来源发出浏览器会发的预检请求，再带上同一个 Origin 发一次 GET，并按 Fetch 标准的规则说清究竟是哪个响应头把它挡住了。

用一个口令以 AES-256-GCM 加密任意文件，也能把它自己加密出来的文件解回去。

用积木块拼出基于表格布局、行内样式的 HTML 邮件，按钮走 VML 兜底，并用同一批积木生成纯文本备用版本。

拿邮件的 HTML 去对照各家邮件客户端真正支持的范围，直接指出会散架的元素，并把 Gmail、Outlook 等客户端里还剩下什么并排列出来。

一次性删掉文档、图片、音频和视频里的作者、设备、GPS 和修订记录等元数据。

从词表里按 diceware 方式拼出一句密码短语，并给出以比特计的熵。

估算一个密码要多久才会被破解，并点名是哪些套路让它变弱的。

按指定长度生成密码学随机字节，输出十六进制、Base64 或 Base64URL，用作应用的 secret。

在粘贴进来的代码、日志或配置里找 API 密钥、令牌和私钥，辅以熵值判断。

给站点的 HSTS、CSP、框架、referrer 和权限相关响应头打分，并说明还该补上哪些。

在浏览器里把一段内容加密，生成一条一次性链接，别人读过之后内容就销毁。

把 TOTP 密钥换成当前的六位验证码并带倒计时，用来验证两步验证配得对不对。

用 bcrypt、APR1 或 SHA 生成 Apache 或 nginx 的基本认证条目。

按引导表单或一份违规报告生成 Content-Security-Policy，并逐条解释每个指令。

Gmail、Outlook、Apple Mail、Yahoo、三星邮件和 Thunderbird 在 HTML 邮件里各支持什么，取自 caniemail 的真机测试，每一项都标了最后测试日期。

测量字符串或文件的香农熵并给出字节分布直方图，用来判断哪一段是密钥。

按长度、字符构成和前缀推测一段哈希是哪种算法生成的，按可能性排序。

打开 PKCS#12、JKS 或 PEM 包，列出里面的证书、证书链和密钥算法。

从 .docm/.xlsm/.pptm 和老式 .doc/.xls 里取出 VBA 工程，逐个模块显示源码并高亮自动运行过程和危险调用，同时列出外部链接、DDE 域和 Excel 4.0 宏表。

按发行方、账号和密钥拼出 otpauth:// 地址，并画成验证器 App 能扫的二维码。

在 1Password、Bitwarden、Chrome/Edge、KeePass、KeePassXC 和 LastPass 的 CSV 导出格式之间互转，每种格式的列对应关系都写明。

用一个口令在浏览器里完成 OpenPGP 消息的加解密——RFC 4880 对称模式（AES-256、SHA-256 S2K、MDC），和 gpg -c 互通；公钥加密和签名还没做。

用你自己的账号把一封草稿发到临时地址，看看发送链路改写了什么——被包成跳转的链接、被丢掉的 style 块、被塞进来的追踪像素、实际使用的编码。

为你粘贴或拖进来的脚本、样式表算出 Subresource Integrity 属性（sha256/384/512）。