我的推荐顺序:
第一: Node.js, 创业项目经常也需要管理后台或者 h5. 做这些你绕不开写 javascript. 这样能前后端统一. 当然 ios,android 端也可以用 uniapp 框架用 js 一起写了.
第二: Python, 足够简单,库也丰富, 是这里面最容易上手的. 而且创业项目也经常会用到爬虫或 AI 相关的,而这些用 python 都是比较好的选择. python 可以用 fastapi 框架, 速度比 flask 快不少. 在你 app 日活 100 万以前应该不会有什么性能问题.

Java 不太推荐, 个人认为 Java 还是稍微复杂了一些. 不适合创业团队. 优势是生态全. 啥都有, 也好招人

Go 也不太推荐, 它优势是性能, 开发效率比 Nodejs 及 Python,PHP 差不少. 等你日活过百万了, 再考虑用它优化核心服务吧.

PHP 不推荐. 是因为我也不会, 个人对它是有偏见的, 总感觉是要被淘汰的东西.

大概是这个协议: edns-client-subnet
https://blog.csdn.net/ai2000ai/article/details/98970374
就是一个 DNS 扩展协议, 让 DNS 服务器能拿到用户 IP. 根据用户 IP 的不同, 解析结果也不同.

可以试试 postgresql. psql 支持文本相似度查询排序. 可以看看这个网页: https://developer.aliyun.com/article/59212

@GDC 这个产品不错, 但是把核心用户数据, 放别人家服务器上, 还是不放心呀.

@chinvo 哈哈, 老板就喜欢你这样的程序员. 啥事都能半小时搞定.

@lifetimeporn 账号应该算是基础组件, 业务上并没有非常大的差异吧?

@x86
@312ybj 短信平台一般只有针对某一个手机号的频率限制.
恶意刷短信的人, 不会使用同一个号码, 也不会使用同一个 IP,或者同一个客户端标识.
另外短信平台,巴不得有人天天刷短信了, 这对他们是有好处的.

1. 人机验证, 简单,粗暴,有效.
2. 接口添加签名. 只有破解了签名算法, 才能发出合法的请求及签名数据. 对于移动端 Java 的 APP 应用 /WEB JS 应用, 破解难度倒也不是很高, 但是比没有签名的安全性还是要高一个数量级.
3. 基于 IP,客户端标识的安全控制. 基本没什么用, 花几块钱一个小时的 IP 代理库你就跪了.

@lihongming 倒不是做 API Gateway,只做其中的一块: 后台用户的认证及权限管理.
感谢你的建议, 我会了解一下 AWS 的权限实现.

@jones2000 嗯, 确实要做好很难.

@gaius tag 只是举个例子, 它可以是任何字段.

@Firewine 目前实现了 API 的权限控制, 希望实现 API 里面的数据的权限控制.

@dk7952638 是存在这个问题,而且返回的数据还不一定包含策略里面的所有属性,那么做策略判断也是个难题.

@Hackerchai 嗯, 这个项目不错, 我云学习一下.

@dk7952638 嗯, 感谢分享. 基于 SQL 是什么意思? 是在应用层配置配置成 SQL 片段吗? 比如上面的示例配置成: video.tag = 'short_video' ?
Druid 可能在我这儿用不上. wolf 是在网关层面实现的. 与语言跟框架无关.

@securityCoding 嗯, 这是一种可行的办法. 像上面的例子中, 可以把上面的匹配策略条目,通过请求头传到业务后端: X-Policy: 视频.TAG = 短视频. 业务端需要根据该策略表达式,进行查询及更新的过滤.

@workwonder 嗯,难点就是在这儿. 我想实现一个通用的权限系统. 如果与应用进行了过多的耦合, 就缺少通用性.

倾向于前端不控制, 或者只控制菜单.
所有权限由后台来控制, 控制所有接口的权限. (即使前端控制了 UI 界面, api 接口的权限还是应该控制)

我推荐一个吧:
https://v2ex.com/t/628898#reply0
通用 RBAC 系统，统一用户权限系统, 统一授权及访问控制.