NGINX 1.25 系列：HTTP/3/QUIC 支持与安全修复
概述 NGINX 1.25 系列对 HTTP/3/QUIC 的正式支持与后续安全修复，并给出部署要点与兼容提示。
工程实践
3 部署与性能调优（2025）
Nginx QUIC/HTTP/3 部署与性能调优（2025）一、部署与互通服务能力：选择支持 `QUIC/HTTP/3` 的发行版或前置网关，启用 `TLS 1.3` 与 `ALPN`。互通：通过 `alt-svc` 暴露 HTTP/3，对旧设备保持 HTTP/2 回退。证书与密钥：合理设置证书链
Notary v2镜像签名与策略治理（签名-信任策略）最佳实践
使用 Notary v2 对镜像执行签名与信任策略校验，基于摘要与签名元数据实施门禁与审计。
npm audit安全更新治理（严重级别-例外到期）最佳实践
根据 npm audit 的严重级别与策略门槛执行阻断与更新建议，支持例外到期与审计记录，以平衡安全与稳定。
NuGet包来源与签名治理（sources-签名-哈希）最佳实践
对 NuGet 包来源与签名、哈希进行白名单与校验，确保 .NET 依赖链的完整与可信。
OAuth 2.1 与 OIDC 登录流程与安全实践
"采用授权码 + PKCE 与 OIDC 构建登录流程，覆盖参数校验、令牌处理与安全要点。"
OAuth DPoP验证与持有者证明（htu/htm/jti/iat）最佳实践
通过验证DPoP JWS中的htu/htm/jti/iat并绑定访问令牌的cnf.jkt，实施持有者证明与重放防护，强化OAuth资源访问的安全性。
OAuth PKCE与授权码拦截防护最佳实践
通过严格的PKCE S256校验、state/nonce对齐和redirect_uri白名单，降低授权码拦截与重放风险，保障移动与SPA流程安全。
OAuth Scope设计与资源服务器授权策略最佳实践
"围绕OAuth Scope的细粒度设计与资源服务器授权策略执行，提供统一的权限映射、拒绝默认与最小授权落地方案。"
OAuth2/OIDC PKCE 前端安全实践：授权码流程、令牌管理与合规
在前端实现 OAuth2/OIDC PKCE 授权码流程，覆盖 code_verifier/code_challenge 生成、回调交换与令牌安全管理，并提供合规与可靠性验证指标
