记录把授权部分从菜单模型中拆出来、收敛成独立组件的几个关键设计决策，以及当时为什么不选另一条路。
Pulling Permissions Out of the Menu: Design Trade-offs in an Authorization Kernel
发表于
分类于
Architecture
The design decisions behind extracting authorization out of the menu model and converging it into a standalone component, and why each alternative was rejected.
从 Figma 到编码 Agent：设计上下文的结构化、缓存与校验
发表于
分类于
架构设计
从成本约束出发，讨论设计 API 接入、凭据池调度、本地上下文缓存与校验，以及编码 Agent 的职责和验收边界。
PostgreSQL Index Bloat: Why Small Tables Can Have Huge Indexes
发表于
分类于
Database
A PostgreSQL index bloat remediation note: why tables with little data can still carry huge B-tree indexes, why ordinary VACUUM does not shrink them, and how to combine REINDEX, redundant-index cleanup, and write-model changes.
PostgreSQL 索引膨胀复盘：为什么表很小，索引却很大
发表于
分类于
Database
一次 PostgreSQL 索引膨胀治理复盘：表数据很小但索引巨大，普通 VACUUM 无法缩小 B-tree 文件，最终需要从索引重建、冗余索引治理和写入模型改造三层处理。
网关层 Per-Client 鉴权隔离：一个 IAM 平台保护多个业务应用
发表于
分类于
Security
在统一 IAM 平台保护多个业务应用的场景下，通过网关层 Per-Client 鉴权隔离防止跨应用 Token 滥用，覆盖 X-Expected-Client-Id 机制、访问级别与 entitlement 策略链的设计边界。
Per-Client Authorization Isolation at the Gateway: One IAM Platform for Multiple Applications
发表于
分类于
Security
A gateway-level Per-Client authorization isolation design for protecting multiple applications with one IAM platform, covering X-Expected-Client-Id, access levels, and entitlement policy boundaries.
HMAC Cookie + Redis SID Dual-Layer Sessions: Browser Session Governance in an OAuth2/JWT System
发表于
分类于
Security
Managing browser sessions in an OAuth2/JWT system with a dual-layer structure: HMAC-signed cookies plus Redis-backed SIDs, aligning browser login state, token lifecycle, and revocation signals under one governance model.
HMAC Cookie + Redis SID 双层会话：OAuth2/JWT 体系下的浏览器会话治理
发表于
分类于
Security
在 OAuth2/JWT 体系下，用 HMAC 签名 Cookie + Redis SID 双层结构管理浏览器会话，把浏览器登录态、令牌生命周期和撤销信号放到同一套治理模型里。
为什么企业 IAM 在联合登录之外还需要本地密码认证
发表于
分类于
Security
探讨企业 IAM 架构中同时保留联合登录与本地密码认证的设计考量，分析容灾场景、安全成本分布与认证路径收敛的工程实践。