安全

测试数据合规使用边界：为什么测试环境用真实用户数据本身就是违法

开发测试环境引用真实用户数据违反《个人信息保护法》：PIPL 明确目的限制原则，测试属于全新处理目的。合法替代数据四来源（脱敏/合成/公开测试段/自造）、「格式合法但随机」的技术原理（国标校验位），以及红线清单。附身份证/手机号/信用代码的校验位算法表。

个保法 PIA 影响评估自查：五类触发场景、评估三要素与实操框架

《个人信息保护法》第 55-56 条的个人信息保护影响评估（PIA）：哪五类处理活动必须事前评估、评估报告的三要素结构、报告留存三年的要求，以及数据地图→风险矩阵→措施核对的自查框架。附与等保/密评的三位一体关系。

等保 2.0 自查清单：GB/T 22239 五个技术层面逐项对照，测评前的自查框架

网络安全等级保护 2.0（等保测评）前的实操自查框架：定级备案流程、五个技术层面 + 五个管理层面的高频检查项、二级与三级的差异要点、与密评的并行关系，以及送测前最常见的卡点与整改顺序。

生成式 AI 备案材料清单：算法备案与大模型上线备案的实操对照

面向公众提供生成式 AI 服务需要过的两道备案：《互联网信息服务深度合成管理规定》的算法备案与《生成式人工智能服务管理暂行办法》的上线备案（大模型备案）。本文梳理两类备案的触发条件、材料清单框架、语料与安全评估的高频卡点，以及自查顺序。以网信办最新模板为准的实操向梳理。

PGP 加密完全指南：保护你的隐私通信

从零理解 PGP / OpenPGP 混合加密，学会核对公钥指纹，并区分浏览器本地 PGP 风格工具与 GnuPG 邮件互操作。

SM3 和 SHA-256 有什么区别？国密哈希与 NIST 哈希的对比与选择

SM3 与 SHA-256 全面对比：同为 256 位摘要的安全强度、迭代结构差异、标准测试向量（SM3 abc=66c7f0f4...）、性能对比、国密合规场景要求，以及 HMAC 构造的通用性。附在线 SM3 计算工具与标准测试向量验证方法。

SM2 和 RSA 怎么选？国密椭圆曲线与国际公钥算法的完整对比

SM2 和 RSA 的选型对比：安全强度换算（256 位 SM2 ≈ 3072 位 RSA）、性能差异（签名验签各有优势）、密钥长度、C1C3C2 与 C1C2C3 密文格式兼容坑、国密合规要求（等保/政务/金融），附在线 SM2 工具实操验证方法。

国密算法入门：SM2/SM3/SM4/SM9/ZUC 是什么、谁在用、怎么落地

国密算法（商用密码）入门：SM2/SM3/SM4/SM9/ZUC 定位与用途、与 RSA/SHA/AES 对应、选型决策树、TLCP 与 RFC 8998 边界、等保密评驱动力，以及浏览器本地工具能验证什么、不能代替什么。

JWT 解码后提示 signature invalid / 验签失败，正常吗？

JWT 解码后提示 signature invalid 或验签失败正常吗？区分"解码"与"验签"两个动作，讲清失败的常见原因，并告诉你什么时候该看内容、什么时候才需要真正验签。

TOTP 二次验证完全指南：原理、otpauth URI 与本地调试

理解 RFC 6238 TOTP 工作原理：算法/位数/周期、otpauth URI、倒计时窗口，以及如何用浏览器本地工具调试双因素认证。

密码强度检测器：如何评估并改进口令

长度、字符集、弱模式惩罚与有效熵：用浏览器本地强度检测看清口令弱点，并串起生成器与 bcrypt 落库。