凡塵文集

常常我們在軟體標案的答標上，經常會包含一份點對點(Point to Point response, PxP)的答覆，它代表在RFP(Request for Proposal)上每一條需求的符合度說明，客戶當然希望每一條都是FC(Fully Comply)，也就是『遵照辦理』，但事實上我們常常會因為這個字導致無窮盡的開發拖延，因為我們與客戶對於同一句話的認定通常會差上十萬八千里。 點對點答覆有幾種回答方式 FC = Fully Comply = 遵照辦理 : 這代表這一條文字不管客戶如何解釋我都要無條件達成，這是很沉重的答覆，等同於客戶可以自行解釋這一條條文，廠商一般很不願意這樣落，但客戶經常會說你不這樣承諾，你就無法參與這個標案，當然，也有不少廠商為了搶案子，會先通通答應，以後再說，這樣的狀況經常導致雙輸 PC = Partial Comply = Fully Comply with...

一般客戶要求做掃描大多只會要求黑箱與白箱掃描兩種，所謂黑箱指的是不看Source Code，由外部試圖找到弱點，白箱則是直接掃描Source Code(原始碼)，那甚麼是弱點掃描和滲透測試？那是最常被使用來偵測系統安全的黑箱掃描方法，以下也會一一介紹。 白箱掃描(原始碼掃描) 白箱會找到Source Code的安全問題，如果你賣的是軟體產品，一般都不會提供產品部份的Source Code，但如果是產品上有做客製化，一般的慣例還是要提供客製化部分的Source Code，這就是一般白箱會有的範圍，掃描的工具上，大家常會聽到的Micro Focus Fortify以及IBM Security AppScan這兩個是最常被使用的商業軟體，雖然功能強大，但價格也非常驚人，一套幾乎都是七位數台幣起跳，因此也有免費且功能不輸給這些軟體的免費方案，最常被使用的大概就是SonarQube，雖然說是免費方案，SonarQube一點也不輸商業軟體，而且免費方案(Community Version)其實僅支援部分程式語言，某些語言還是要買授權才能使用，但免費的PHP/Java/C#幾乎就可以用來處理大部分的白箱掃描了。 弱點掃描 黑箱掃描的話就如前面說的有分成弱點掃描和滲透測試，弱點掃描主要是透過自動工具偵測作業系統與軟體系統的明顯弱點，這些弱點比較容易被發掘，指要注意一些安全相關的電子報或網站就可以很快得知一些有名軟體的弱點，而這些弱點都會在最短時間內被修正，弱點掃描軟體也不少，包括上面提到的Fortify和AppScan其實都有弱點掃描工具，純弱點掃描比較常被用的商業軟體是Nexpose，Nexpose算是比較親民的價格，但也是要六位數台幣，因此免費軟體當然也要介紹一下，我所知道的有ZAP, OpenVAS, Nessus等等，這些都是免費但很好用的免費軟體，其實功能並不會差商業軟體太多。 OWASP Top 10 這時候我們就要提到OWASP Top 10了，這是OWASP組織每幾年就會公布的全球前十大弱點清單，裡面包含黑箱與白箱弱點，但以黑箱為主，這些清單都是弱點掃描的主要標的，OWASP Top 10目前最新的是2017年版。 滲透測試 那滲透測試呢？他與弱點掃描一樣是由外部這個黑盒子去找出問題，但他用的不是工具，而是找到專業的駭客(Hacker)來嘗試攻破你的系統，透過其經驗可以找到許多自動軟體找不到弱點，甚至透過駭客手法破壞你的軟體系統，因此滲透測試可以找到的弱點比弱點掃描找到得更多，當然滲透測試也有所謂自動商業軟體(Fortify,AppScan,Rapid7都還是有商業版本的滲透測試，成效也是看實際狀況)，但真正的問題大都還是由人來找出。 以上給大家參考比較。

信仰生活中，熱情是保持信心的絕佳途徑，當你失去熱情，信仰的信心很容易崩壞毀滅，在自己的信仰之初，覺得敬拜禱告都是很無聊的事情，總覺得只是為了做而做，經過過去這幾年的追尋，我發現每個人進入同在的方式都不一樣，我的方式是透過歌曲敬拜，進到聖靈的領域，讓我可以更加快樂地在歌聲中與耶穌同在

台灣比較常見的金流大概就是所謂的紅、藍、綠三大廠商，也就是藍新、紅陽與綠界，這三家各有擅長，但近年各家金流如雨後春筍出現，包括歐付寶、萬事達等等，甚至Apple Pay, Line Pay, Google Pay, Samsung Pay都成為獨立的金流平台，這麼多平台中，我比較常碰到的就是藍新和綠界，以下我將藍新與綠界做個比較，給大家參考，有時間再來比較其他廠商 不過另外有找到一篇比較也蠻詳細的，可以給大家參考，點我

因應疫情的視訊會議需求，各種視訊系統如雨後春筍般出現，Zoom當然是目前的企業首選，但同樣深耕視訊多年的Cisco也推出了自己的方案，名為Webex，Cisco過去都是做實體的H.323視訊設備，現在他把視訊功能軟體化，推出了Webex，而且網路有一說是，Zoom的老闆其實是中國人，Webex是比較跟中國無關的，而且Zoom的創辦人過去也是Cisco的高階技術主管，可說是技術同出一源。 那Webex怎麼用，其實跟Zoom幾乎一模一樣，免費版上限只能40分鐘會議，可以分享畫面等等，幾乎就是兩個一樣的方案，那註冊呢，當你打開 www.webex.com，你會看到一堆英文，是的，首頁沒有自動判斷語系，但點選"Start For Free"後倒是有自動判斷語系 請在輸入電子郵件的地方輸入您的Mail，然後按註冊 這邊要輸入您的姓與名，按下繼續後就會出現註冊完成並收到一封信件 上圖的"建立密碼"按鈕會導引你到WebEx改密碼，不過密碼規則還蠻嚴格的，自己設定好密碼 設定好之後就會看到你的專屬會議ID 按下開始會議就會引導你開啟一個會議，並問你是否要安裝Windows版本的Webex，安裝好Webex後會看到Webex的主畫面 如果是由網頁直接發動會議，這畫面也會自動變成會議模式，跟Zoom不一樣的地方是，他會先讓你預覽 確定沒問題後，按下開始會議才會正式開始會議 其他人透過剛剛你拿到的會議ID加入後就可以一同會議 與Zoom一樣，可以由主持人結束會議或者自行離開會議 Webex跟Zoom幾乎是同一個功能介面，會用Zoom的話，應該也對Webex不陌生。 幾個比較流行的視訊方案比較請參考下圖

近期防疫期間很多公司或組織都開始使用視訊進行溝通，但要怎麼做視訊溝通呢？目前最流行的方式應該就是Line了，在Line群組中可以開啟群組視訊，但PC版和手機的位置不太一樣，PC版是在右下方 手機版是在右上方，按下通話就會出現語音通話與視訊通話的選擇，甚至可以開直播(Live) 但Line有個很大的缺點，就是只能做視訊，無法分享畫面，開會時經常會需要分享畫面，這時候，第一個想到的方案就是skype，但skype有個缺點就是，他有點古老了，很多人都有帳號，但早就不記得密碼，要另外註冊很麻煩，所以我就不太推薦了，這邊也不贅述。 那除了skype以外還有甚麼方案？近期最流行的就非Zoom莫屬了，Zoom可以開始視訊通話，也可以分享畫面進行簡報、展示等等功能，但Zoom視訊在免費版只能40分鐘，40分鐘後就要重新開啟，如果要做商業用途，就可以考慮購買無時間限制的版本，價格可以參考官網連結 https://zoomnow.net/zntw_zoom_pay_desc.php，這邊就會看到一個月的價格如果同時視訊人數不到25人，那不用500元就可以達成了，如果要更多人同時視訊就需要更高的價格，這個就自己考量了 免費版只能10方通話，如果你只是要加入會議，可以不用註冊，如果要開一個有40分鐘限制的會議就要註冊帳號，Zoom工具可以在官網下載，開啟後畫面如下 按下"新會議"就會啟動一個視訊會議，畫面中的控制方式說明如下 如果要共享螢幕，就可以按下"共享螢幕"，然後選擇要共享整個桌面或者部分桌面，如果是付費版使用者開啟的會議還可以選擇共用某一支程式的畫面 邀請可以透過Mail發出類似以下訊息，使用者可以透過連結方便參加會議 加入 Zoom 會議 https://us04web.zoom.us/j/152243022?pwd=c0JxYXhUYmE2OG9UUE1sc0doVEQxdz09 會議 ID：152 243 022 密碼：131677 行動電話一鍵撥號 ,,152243022# 美利堅合眾國 付費電話 依所在位置撥打 美利堅合眾國 付費電話 會議 ID：152 243 022 尋找您的當地電話號碼：https://us04web.zoom.us/u/fcWIAXukMc 會議ID每次都會變，除非你付費才能有固定的會議ID。 如果只是要參加會議，可以在主選單選擇"加入會議"，這時候可以手動輸入Zoom ID加入中間的格子是用來指定自己的名字的地方，如果你沒有安裝Zoom的程式，也可以透過邀請人給你的連結，直接在網頁上使用Zoom 所以，Zoom是最佳選擇？ 最近還有看到一個解決方案叫RingCentral，他的視訊會議完全免費，而且介面跟Zoom幾乎一樣，到網路查了一下，據說RingCentral就是找Zoom OEM一個版本給自己，他是否會一直免費我頁不確定，但目前他真的是免費的，RingCentral跟Zoom一樣，支援手機App/Windows/網頁等等主流平台，他的網址為 https://www.ringcentral.com/online-meetings/overview.html ，大家可以自行前往參考。 RingCentral的Windows程式畫面跟Zoom有點類似 按加入會議就可以透過會議ID加入會議 但RingCentral的Windows程式登入一直無法成功，很奇怪，後來發現有個方法可以讓你成功開啟視訊會議，就是透過官網右上方的Login，登入時請選擇RingCentral App 登入後就可以用畫面中的攝影機圖是啟用視訊 這時候系統就會引導你開啟RingCentral的Windows程式啟動一個新會議 那該選哪一個，下表做個比較，如何選擇由您自己決定 比較表 補充：Line視訊通話時有個小缺點，如果你是用電腦開啟視訊，這時候你的手機將無法接電話、無法用Line打其他電話 補充；開啟視訊的人儘量網路好一點，因為他通常需要扮演MCU的角色，將所有封包都送到這台電腦或手機合成，是不是我介紹的每一個都有這問題，後續再專文研究  

WordPress幾乎可以說是最方便快速建立網站的框架工具，但會有一個說法是WordPress的安全性漏洞比較多，這樣的說法是否合適與公平？這邊並沒有一個標準答案，但以下有幾個看法給各位參考WordPress確實有比較多為人所知的漏洞，但WordPress團隊會很快地修補完成，並且釋放給所有WordPress使用者，如果WordPress的修補無法解決你的漏洞那就是外掛或者您自己設計的程式有問題自己寫的框架確實比較不容易找到漏洞，但只要被發現漏洞，可能得要花非常多的時間去修正，也許是幾周甚至幾個月WordPress的漏洞為什麼多？這跟Windows的漏洞為什麼多是一樣的，主要因為他是市場主流，所以漏洞比較會被發現，客觀上，並不代表它的安全性比較差，而是因為用的人多，所以漏洞會被重視，Linux每天也是有非常多的漏洞，但因為使用Linux的人很少，所以漏洞並不會被放在檯面上，並不代表沒有漏洞許多資訊安全問題可以由外在的防火牆解決，因此不一定所有的漏洞都會被攻擊，有時候也是要靠外在的防火牆機制來防護WordPress是個免費的框架，但有個很大的團隊隨時在修正其中的問題，不過也因為他的彈性很大，WordPress的外掛非常多，這些外掛並無法由WordPress團隊來保證他的安全性，因此這是一塊潛在的問題區，也確實要冒比較大的風險，因此慎選外掛就成為一個非常重要的過程，還好WordPress標準外掛有各種統計資訊給你參考，例如評分機制，或許可以讓你有更有信心的選擇基礎結論就是，是否選擇一個框架來當作快速而方便的基礎要由各個內外在環境來評估，與他是否免費其實並無太大關係，隨著Open Source的盛行，許多Open Source軟體的安全性並不比商業軟體來得差，如我有任何問題，也歡迎與我們聯繫討論，謝謝！ 這篇文章 WordPress比較不安全？ 最早出現於 文藝沙發堂。 文章來源: AmzSofa

一般網站分為形象型網站、一頁式行銷網站以及功能性網站，功能性網站會根據自己的需求開發相關功能，複雜度比較高，以後再來詳述。形象網站一般而言需要知道你想要呈現怎麼樣的效果，相關素材要由自己來提供，包括公司的核心價值、公司的相關產品等等資料，主要的目的是讓客戶可以知道公司的相關形象與印象，並不一定會要客戶來買甚麼東西，這一類的網站大都是因為客戶想要你有個網站，所以你就設計了一個網站。一頁式行銷網站則是經常被使用在推銷某個特定的產品，吸引客戶直接在網頁上留單，所以儘量只有一頁，多頁的行銷可能會客戶分心，在這一頁網頁裡面除了介紹產品，還需要不斷說服客戶立即留單，甚至立即下單，所以一頁式網頁上到處都會有留單介面，方便客戶可以隨時將資訊留給業主，這就是一頁式行銷網站需要的內容。那怎麼判斷網站內容是否有效果，這個問題就另外找時間來說明了。這篇文章 網站該有哪些內容？ 最早出現於 文藝沙發堂。 文章來源: AmzSofa

SEO除了根據某些固定的規則以外，他的效果會因為關鍵字的不同而有不同的成效，根據經驗會有以下幾個因素關鍵字的熱門度：如果關鍵字是不熱門的，可能三天後就發現在第一頁，但不熱門代表可能不會有人搜尋，其實意義不大是否有正確填入關鍵字：我的文章寫好幾個月了，為何都沒被收錄進去，這時候大都是因為你可能連Title和Description都沒有塞進去是否有正確將sitemap設定到GSC和Bing Webmaster，sitemap的涵蓋率是否足夠，有時候沒被收錄是因為你的sitemap忘了把某些頁面放進去網站流量：尤其當關鍵字很熱門時，你的SEO內容再好都沒用，因為一群人在搶，這時候除非你去買廣告，不然很難上到前幾頁，這時候你就需要考慮增加長尾關鍵字或者設法增加你的網站流量以上是一點經驗談，未來有機會在補充給大家參考。這篇文章 SEO要等多久才有效果？ 最早出現於 文藝沙發堂。 文章來元: AmzSofa

優化SEO時，最重要的就是找到關鍵字，這些關鍵字可能有很多人在操作，也可能很冷門，那一般使用者到底在想甚麼？會尋找那些關鍵字，這時候就需要一些工具來找到有根有據的關鍵字，網路上有很多的關鍵字分析工具，但最重要的就是Google和Bing的官方工具，這邊先針對這些關鍵字工具做一些簡介。 Google Ads的關鍵字規劃工具 Google Ads是Google的SEM工具，讓客戶可以刊登自己的關鍵字並優先放在前幾頁，也就是付費刊廣告的意思，其中有一個服務可以使用，叫做關鍵字規劃工具，可以讓你輸入一個或多個關鍵字並分析關鍵字的搜尋量，藉以決定這個關鍵字是否熱門，但這個工具只有在有付錢做Google廣告時才能使用，所以不一定每個人都可以用。 Google Trend Google Trend是Google提供的另一個關鍵字熱門度分析工具，這個工具是免費的，提供的資訊不如關鍵字規劃工具，但還是有很多可用資訊，至少可以比較多個關鍵字的熱門程度，哪一個比較熱門，哪一個比較少人需要，例如，下圖就可以看到，設計這個字很熱門 Bing關鍵字工具 除了Google，另一個流行的SEO引擎就是Bing，Bing Webmaster Tool有提供一個關鍵字研究工具，可以用來查詢關鍵字在Bing引擎中的搜尋次數，也是一個很好的參考值 其他工具？ 除了這些工具，網路上還有很多關鍵字工具，但大都是要費用的，不然就是一天只能搜尋幾個關鍵字，這部分有機會再發文分享。