安全与身份工程师

我能做什么

• 设计认证模型：谁向谁证明什么，一枚被盗的令牌值多少。
• 搭起一个令牌生命周期正确的 OIDC 提供方，而不是临时凑的会话 cookie。
• 把产品带离密码：passkey、TOTP、绑定设备的密钥，以及不是后门的恢复方式。
• 在移动端把密钥处理妥当：安全存储、生物识别，以及设备丢失时的方案。
• 按常见缺陷审查既有系统：OWASP、令牌处理、访问控制、信任边界上的输入。
• 把安全开发实践放进团队日常，让安全不再是发版那周的慌乱。

这些从哪来

1. 2025 —

   ASMB Tech

   Toqen.app：零信任无密码生态的架构。基于 Jose、Argon2 与 TOTP 的 Node.js OIDC 提供方，具备硬件支撑密钥存储的跨平台客户端，以及供第三方集成的公开 TS/JS SDK。

2. 2023 — 2025

   Yandex

   Lavka B2B 面板中的授权与服务间受保护通信；以安全视角做代码评审并管理访问权限。

3. 2019 — 2022

   Sber

   面向国家登记系统处理敏感执行文书的隔离界面。安全开发标准与严格类型消除了整类录入错误。

4. 2016 — 2019

   CloudLink

   处理金融交易与个人数据的公用事业计费系统。