为什么同一条消息，重放一次就可能骗过系统？
很多人第一次听到“重放攻击”时，会觉得这不就是把别人发过的合法请求再发一遍吗，系统怎么会这么容易上当。问题就在这里：如果服务端只检查“这条消息长得像不像真的”，却不检查“它是不是在正确的时间、正确的上下文里出现”，那攻击者根本不需要破解密码，也不需要看懂全部内容，只要把已经抓到的合法请求原样再送一次，门就可能又开了。早期很多门禁、支付确认、短信验证接口都栽过这种坑，因为设计者把“消息内容合法”和“这次动作合法”混为一谈了。
真正挡住重放攻击的，不是把消息写得更复杂，而是让每一次请求都带上“只能用一次”的证据。最常见的是 nonce、timestamp、sequence number，或者干脆做挑战-响应。这样服务端看到的就不再只是“你会不会说正确的话”，而是“你是不是在我刚刚给你的这道题上，按这一次的规则回答了”。这就是为什么很多安全协议总是在签名内容里塞进随机数、时间戳、会话标识，甚至把请求路径和方法也一起签进去。少一个字段，攻击面就可能多一块。
所以看一个认证方案安不安全，别只盯着“用了加密”这几个字。加密只能说明别人不容易看懂，不能说明别人不能拿着旧消息反复用。安全协议里最值钱的那部分，往往不是算法名字多吓人，而是它有没有把“这一次”绑定死。#Security
很多人第一次听到“重放攻击”时，会觉得这不就是把别人发过的合法请求再发一遍吗，系统怎么会这么容易上当。问题就在这里：如果服务端只检查“这条消息长得像不像真的”，却不检查“它是不是在正确的时间、正确的上下文里出现”，那攻击者根本不需要破解密码，也不需要看懂全部内容，只要把已经抓到的合法请求原样再送一次，门就可能又开了。早期很多门禁、支付确认、短信验证接口都栽过这种坑，因为设计者把“消息内容合法”和“这次动作合法”混为一谈了。
真正挡住重放攻击的，不是把消息写得更复杂，而是让每一次请求都带上“只能用一次”的证据。最常见的是 nonce、timestamp、sequence number，或者干脆做挑战-响应。这样服务端看到的就不再只是“你会不会说正确的话”，而是“你是不是在我刚刚给你的这道题上，按这一次的规则回答了”。这就是为什么很多安全协议总是在签名内容里塞进随机数、时间戳、会话标识，甚至把请求路径和方法也一起签进去。少一个字段，攻击面就可能多一块。
所以看一个认证方案安不安全，别只盯着“用了加密”这几个字。加密只能说明别人不容易看懂，不能说明别人不能拿着旧消息反复用。安全协议里最值钱的那部分，往往不是算法名字多吓人，而是它有没有把“这一次”绑定死。#Security
![📸 黄礼志 (X) ×2[260712] 9:54AM KST[260712] 上午 9:54（韩国时间）原文 #黄礼志](/static/https://cdn5.telesco.pe/file/gcJlKODZvYfu-UHPkTJB0yMVZiONLui8OMRkeSX-HZpkGF4suPH9Lo8Q7fs_zDcsGfCmLLodLxcIC_1ul_YGL8yGzkownSECNigAS3OPUB7Itj9GL-bvk-OYi5p6vadUf5msxhKNUbinNGHJi_aGu7wj897qZ_LTOhhjNhyNLjY2u0GyPV6TZQRD_aMpcaUgmZOmJ9DseVJprHqSxHgQWe3A4RQZV2JZ0nA1rj7JR8b48gIJW08zDAfbGA0Z5kDIWHM5bl2-Y5-ugS_nMBIPN3VZZ5WarHS_qMD5kFXWyjPEgMcbyX85iq8Ya6M-XvAqe-Q9V36IPKM2981yVbS71A.jpg)
![📸 黄礼志 (X) ×2[260712] 9:54AM KST[260712] 上午 9:54（韩国时间）原文 #黄礼志](/static/https://cdn5.telesco.pe/file/f8Zp1_uhjjHhe3U7mfEQtbo_g2dDd_SRNtTiYdGLL3EyA4eUGCdyFoCrtE1EiZ-3OFa9-SlpPdNzbWPq8ZxrHhG5Aazcj6rtV-pouOmRgGGsmjdfYb6lAShB85csAM2qIu09wiEJ1AthTGQ2jVJdsb0yHlmdx_uHwCVSOb9T4FeziLL7z5TzxSUto0VBlapITzvTpgezHLn28hej6WQMqSLlHpNy5cB9x69WWgLl97tpuP3f8OiCvQ4k5msncdPaXoBdEcEEzTTmSy3wqoAwqZxSYG_kKnwlB4SOrVkmUt6-zr2j2OGOjaSnnZ3D5S-82d5j5MxbmSlny8odgDORpQ.jpg)
![📸 黄礼志 (X) ×2[260712] 9:54AM KST[260712] 上午 9:54（韩国时间）原文 #黄礼志](/static/https://cdn5.telesco.pe/file/aHpnJDyCYGkRy-07xCeSWR8aY_5GLrQSewXTDiYn6cybQM1jk07AWAy2VW1iiwQHnphvluv5vx4SOFXMj1BXrp87qbEhLXNO9pfwHWPR-YyW4Dfp7faPGNUx2rrl2TDoexPO8y8i1OBCW5gSR2esVuNk9ESe1Win-B5Lzx_nNN5g5AU0ocXyxM9Lc2UsqFwPzNjUq-RzQGvX6WFTyp1UDMV5Tb6codwIFvKc-wMu75S2dWBeXQM6qy9r37y-oc6rs5DJ3gszPkyN359uPGJ3flJH5Sdn5684gLbqCRHf9kbEFMaXKjf0RxGO1GsJxz_newXVFLUPCSK71aNNDJNj2Q.jpg)
![📸 黄礼志 (X) ×2[260712] 9:54AM KST[260712] 上午 9:54（韩国时间）原文 #黄礼志](/static/https://cdn5.telesco.pe/file/scaO0KyUrYzpXUBIo0CH8IovWlUqchNIjqVCPwLtYgLlRlOLvOidLJV9ckrcMSEnbvXDB86mIlVv2tw7koMLwRe9iV0-fmC90wGoodc6K_kZBp_srKy9YTsKAeyYwPZq0irSFzyGTrF23Ps8vz2chZIHt245DdqZdAcfdU8zz4ar59kwXiYzdqbW4ymwSew87DKP5m32H7IovYQBOGB5PU0qtr2sGzeMwEwQsA9FJnj4WapXX3RjaAgArHjV-Y9qLdTW80DvYn4T9-ZH5qzTtP95pPROnc-xnyuf3UzXq6PkLEZEfhjgFxLC9uJr6y3KZtuEH-EsXkzOqUjyNvGGYg.jpg)
