16 分钟阅读
CORS 不负责身份验证：浏览器限制与服务端权限要分开
解释跨域读取、预检与凭据规则，防止把允许来源列表当成 API 安全边界。
THE NOTEBOOK
技术笔记.
记录思路、实现和验证。把值得复用的经验留在这里。
共 33 篇笔记 · 第 1 / 3 页
14 分钟阅读
SaaS 定价：套餐边界应该对应使用价值
分开价值单位、成本单位与计费单位，用可演算的升级降级规则避免不安全的价格绕行。
15 分钟阅读
404、500 与空状态：错误页面也需要数据契约
区分资源不存在、系统失败和搜索无结果，避免把一切伪装成成功页面。
15 分钟阅读
流式响应不是分段字符串：先理解背压与取消
在 Worker 转发大响应时保留流，并处理消费者变慢和断开连接。
15 分钟阅读
响应式图片的预算：尺寸、裁切与优先级一起决定
为技术博客首屏图片选择合适资源，而不让移动端下载桌面原图。
14 分钟阅读
站内搜索：零结果不是终点
区分无匹配、范围过窄、索引延迟与服务异常，在不泄露权限信息的前提下提供搜索恢复路径。
15 分钟阅读
浏览器语言协商：让偏好、显式选择与缓存各守边界
为三语言网站建立可预测的首次访问规则，而不是每次强制跳转。
15 分钟阅读
数据表密度：让比较更快而不是让字更小
围绕异常订单比较设计字段优先级、数值语义、冻结列与密度模式，并通过代表性数据验证判断。
15 分钟阅读
Markdown 不是安全格式：从作者权限到 HTML 输出的信任链
判断 Markdown 内容是否可信，并限制原始 HTML、链接与渲染插件的权限。
14 分钟阅读
SaaS 新手引导：让第一次有效操作先发生
从首条笔记的保存与找回倒推首用路径，让配置、示例与引导进度服从真实业务结果。
15 分钟阅读
优先级排序不是把意见换成小数点
区分价值、证据与约束，讨论 RICE 评分、机会成本和学习型投入。
15 分钟阅读
Worker 的 Secret 不能穿过浏览器边界
区分部署配置、运行时绑定和公开构建变量，建立可轮换的密钥管理流程。
16 分钟阅读
CORS 不负责身份验证：浏览器限制与服务端权限要分开
解释跨域读取、预检与凭据规则，防止把允许来源列表当成 API 安全边界。
14 分钟阅读
SaaS 定价：套餐边界应该对应使用价值
分开价值单位、成本单位与计费单位，用可演算的升级降级规则避免不安全的价格绕行。
15 分钟阅读
404、500 与空状态：错误页面也需要数据契约
区分资源不存在、系统失败和搜索无结果，避免把一切伪装成成功页面。
15 分钟阅读
流式响应不是分段字符串：先理解背压与取消
在 Worker 转发大响应时保留流，并处理消费者变慢和断开连接。
15 分钟阅读
响应式图片的预算：尺寸、裁切与优先级一起决定
为技术博客首屏图片选择合适资源，而不让移动端下载桌面原图。
14 分钟阅读
站内搜索：零结果不是终点
区分无匹配、范围过窄、索引延迟与服务异常，在不泄露权限信息的前提下提供搜索恢复路径。
15 分钟阅读
浏览器语言协商：让偏好、显式选择与缓存各守边界
为三语言网站建立可预测的首次访问规则，而不是每次强制跳转。
15 分钟阅读
数据表密度：让比较更快而不是让字更小
围绕异常订单比较设计字段优先级、数值语义、冻结列与密度模式，并通过代表性数据验证判断。
15 分钟阅读
Markdown 不是安全格式：从作者权限到 HTML 输出的信任链
判断 Markdown 内容是否可信，并限制原始 HTML、链接与渲染插件的权限。
14 分钟阅读
SaaS 新手引导：让第一次有效操作先发生
从首条笔记的保存与找回倒推首用路径，让配置、示例与引导进度服从真实业务结果。
15 分钟阅读
优先级排序不是把意见换成小数点
区分价值、证据与约束，讨论 RICE 评分、机会成本和学习型投入。
15 分钟阅读
Worker 的 Secret 不能穿过浏览器边界
区分部署配置、运行时绑定和公开构建变量，建立可轮换的密钥管理流程。
15 分钟阅读
Workers 自定义域名：把 DNS、路由和 TLS 分层排查
通过明确三层责任定位域名无法访问，而不是反复删除 DNS 记录。
16 分钟阅读
重定向的两个边界：保留请求语义，限制目标来源
区分 301、302、303、307 与 308，并防止登录回跳变成开放重定向。
15 分钟阅读
CSP 上线顺序：先收集违规，再缩小执行权限
为静态网站逐步建立内容安全策略，避免一次性阻断合法脚本与样式。
15 分钟阅读
导航设计：位置感比入口数量更重要
从组织设置深链接出发，定义范围提示、对象层级、路由选中状态与移动导航的可理解边界。
15 分钟阅读
ETag 与条件请求：304 不是没有发生请求
用实体标签避免重复正文传输，同时理解验证、编码与缓存一致性。
14 分钟阅读
发布风险评估要看失败后能否恢复，不只看改了多少行
从订阅、计费与数据迁移比较发布风险，设计灰度、回滚与前进修复。
15 分钟阅读
表单错误设计：让用户知道改哪里与为什么
用预约表单区分字段与服务错误，处理异步校验乱序，并建立可定位且保留有效输入的恢复路径。
15 分钟阅读
Workers Cache API 与 CDN 缓存不是同一个开关
分清 fetch 缓存、Cache API 和边缘节点范围，避免误判命中与清理效果。
15 分钟阅读
Astro 岛屿边界：交互组件应为谁付出 JavaScript 成本
从搜索与导航场景判断 hydration 的必要性，并验证组件加载时机。
14 分钟阅读
一个产品实验，应该在看结果之前决定怎样结束
说明随机分组、主要指标、护栏和低流量替代验证，避免事后挑选成功证据。
16 分钟阅读
Canonical URL 是部署契约，不只是 SEO 标签
统一域名、路径和内容身份，避免预览环境与生产环境互相污染。
16 分钟阅读
RSS 也是公开接口：不要让订阅源绕过发布规则
统一文章、RSS 与站点地图的数据入口，避免未来文章和草稿泄漏。
15 分钟阅读
产品指标的第一步，是让事件名称对应真实价值
从技术内容产品设计激活、留存与质量指标，避免点击量冒充成功。
15 分钟阅读
静态路由冲突：文章 slug 不是随手取的文件名
通过保留路径、规范化和构建检查防止 Astro 内容路由互相覆盖。
14 分钟阅读
可访问性不是检查清单：从键盘任务开始
从任务分配流程分析键盘入口、焦点生命周期与状态公告，并明确真实辅助技术的验收范围。
16 分钟阅读
用内容 Schema 把编辑错误拦在构建之前
为 Astro 文章建立可执行的元数据契约，并区分格式正确与内容可信。
15 分钟阅读
缓存键设计：先定义哪些响应可以共享
从语言、身份和查询参数出发，建立不会串数据的 HTTP 缓存键。
14 分钟阅读
用户说想要一个功能，先追问他现在怎样完成任务
把功能请求转成可验证的机会，结合访谈、行为证据与低成本实验。
15 分钟阅读
Astro + Workers：一个内容网站的部署路径
从 Markdown 到静态页面，再到边缘网络。把内容、构建与部署的边界说明白。
15 分钟阅读
把技术笔记当作代码来维护
用内容集合约束元数据，用 Git 留下修改记录，让写作与发布保持简单。
15 分钟阅读
提交、推送、上线：三个不同的完成状态
一次本地提交并不意味着网站已经更新。用小而明确的检查闭合发布流程。
没有匹配的笔记。