文章摘要
作者在Cloudflare注册新服务时，发现只需登录并授权即可获取用户名，整个过程过于简单，缺乏安全验证，从而引发对Web安全现状的担忧。
文章总结
中文重述
文章标题：网络安全太难了
作者Eric分享了一次亲身经历：他在推特上看到Cloudflare推出新功能“Wallet”，点击链接后进入cloudflare.pay域名，发现自己的用户名@ericlaw可用，便急于登录并授权。然而，授权页面与常见的“同意钓鱼攻击”高度相似——域名.pay任何人都可注册，与Cloudflare的.com域名无技术关联；页面上的绿色勾号看似可疑，且缺乏“举报可疑请求”的链接。Eric怀疑这是钓鱼攻击，于是返回Cloudflare控制面板查找该功能，未果；向AI客服询问后，AI竟确认这是攻击。他立即举报，却收到“未发现恶意内容”的回复。最终，经过反复搜索，Eric发现这确实是Cloudflare的合法新产品，绿色勾号是安全UI元素（需悬停查看详情），但设计位置不佳。他感叹：当合法网站表现得像钓鱼攻击时，URL信誉服务（如Microsoft SmartScreen和Google SafeBrowsing）要准确拦截恶意网站而不误报，难度极大。
教训总结： - Web开发者：应将应用托管在可信域名下；若需使用新域名，务必从可信域名直接链接；在用户做安全决策时，在可信位置展示安全信息；提供便捷的举报渠道并确保其正常运行。 - 用户：点击前多思考，若不确定，先等待。 - 安全专家：切勿指责受害者，他们的处境本就艰难。
评论总结
根据评论内容，总结如下：
主要观点与论据：
对Cloudflare安全能力的质疑（评分：无，但多篇评论持批评态度）
- 评论1（63stack）认为Cloudflare“相当无能”，而非“安全很难”。
- 评论9（1970-01-01）质疑为何不使用自家知名域名（如pay.cloudflare.com），而选择可疑的.pay顶级域名，认为这是营销压倒工程的结果。
- 关键引用：评论1：“My main takeaway from this is not that 'security is hard' but that cloudflare is pretty incompetent.”；评论9：“Why is pay.cloudflare.com so hard to establish? Why does marketing always get to overpower engineering?”
营销活动与钓鱼攻击难以区分（评分：无）
- 评论2（Joker_vD）指出，该推广活动“与钓鱼攻击无异”，包括使用不熟悉的域名、未在主站展示等。
- 评论3（dwedge）认为，即使从标题和截图看，该网站也“明显像诈骗”。
- 关键引用：评论2：“Marketing department starts a promotion campaign for the new product that's indistinguishable from a phishing attack”；评论3：“was the screenshot of the site... not an obvious scam?”
AI聊天机器人信息不准确（评分：无）
- 评论4（yellow_lead）指出，Cloudflare的AI机器人否认存在“Wallet”产品，但实际却存在，质疑此类工具的价值。
- 关键引用：“What's the point of adding these AI chatbots if they're hopelessly uninformed about your products?”
对Web安全与JavaScript的反思（评分：无，但观点鲜明）
- 评论11（LocalH）认为，Web安全在JavaScript普及前并不难，JavaScript及后续“在浏览器中运行代码”的设计是错误，Web应仅为文档平台。
- 关键引用：“Web security wasn't hard before we started trying to make the web a platform for full executable software... JavaScript was a mistake.”
其他观点（评分：无）
- 评论5（thataccount）讽刺作者是“粉丝滤镜破碎”。
- 评论10（epochbtc）猜测，使用新域名可能是因内部安全控制繁琐，或为规避漏洞赏金计划。
- 评论13（wackget）质疑为何从WAF/CDN公司购买金融产品。
平衡性总结： - 多数评论对Cloudflare持批评态度，认为其安全实践、营销策略及AI工具存在缺陷。 - 少数评论（如评论6）强调“身份验证”本身困难，但未直接为Cloudflare辩护。 - 评论11则从更宏观角度批评Web平台化趋势，与Cloudflare事件无直接关联。