ETag 强弱校验与 304：内容哈希、范围请求与陷阱
解释强/弱 ETag 的差异、与 304/If-None-Match 的协作、范围请求的影响，以及错误实现导致的更新丢失陷阱。
网络安全
API 安全测试与漏洞扫描（2025）
# API 安全测试与漏洞扫描（2025）API 安全测试覆盖静态与动态、自动与人工的多维度方法，形成持续治理闭环。## 一、基线与清单- 基线：对鉴权、速率限制、输入校验等建立安全基线。- 资产清单：统一记录 API 清单与暴露面，纳入测试范围。## 二、SAST 与 DAST- SAST：在 CI 阶段进行代码级静态扫描与规则校验。- DAST：对运行中的接口进行黑盒扫描与
Clickjacking防护：CSP frame-ancestors与X-Frame-Options
通过 CSP 的 `frame-ancestors` 与 `X-Frame-Options` 头限制页面被不可信站点嵌入，降低点击劫持风险。
CSP 报告端点与违规检测平台（2025）
# CSP 报告端点与违规检测平台（2025）CSP 报告提供前端安全违规的可观测性，便于治理与优化策略。## 一、报告与采集- 报告端点：接收浏览器上报的 CSP 违规事件。- 采样与脱敏：控制体量并保护敏感信息。## 二、检测与白名单- 规则：匹配违规类型与来源，识别误报与高风险。- 白名单：集中管理与变更审计，防止滥用。## 三、告警与联动- 告警：阈值与趋势触发告
JWE敏感负载加密与密钥轮换（AES-GCM-RSA-OAEP）最佳实践
---title: JWE敏感负载加密与密钥轮换（AES-GCM/RSA-OAEP）最佳实践keywords:- JWE- AES-GCM- RSA-OAEP- CEK- 密钥轮换description: 通过AES-GCM加密敏感负载与RSA-OAEP封装CEK，并实施kid标识与轮换策略，保障传输与存储的机密性与可追溯性。categories: - 文章资讯 - 编程...
Istio Wasm Filter 可观察性与零信任增强（2025）
# Istio Wasm Filter 可观察性与零信任增强（2025）## 一、架构与集成- Envoy 扩展：以 `Wasm Filter` 提供自定义度量/日志/策略检查。- 注入方式：在 `EnvoyFilter` 配置中加载 Filter；版本与 ABI 稳定性治理。## 二、观测与策略- 观测：采集特定头与标签形成高维度指标；与 OpenTelemetry 接入。- 策
API 签名与请求重放防护（2025）
# API 签名与请求重放防护（2025）请求重放与篡改是常见攻击面。本文从签名机制与网关治理给出工程实践。## 一、签名与参数- HMAC 签名：以密钥对规范化请求串进行 HMAC 计算。- 时间戳与 nonce：限定有效期并保证唯一性，防止重放。## 二、校验与容错- 网关校验：统一签名、时间窗口与 nonce 去重校验。- 容错：对时钟偏差设置容忍度与重试策略。##
Cookie 前缀：__Host- 与 __Secure- 安全约束
使用 `__Host-` 与 `__Secure-` 前缀为 Cookie 施加额外约束，提升路径与协议安全性，降低被降级或跨子域覆盖的风险。
HTTP/2 Rapid Reset防护与并发流限制（DoS/窗口）最佳实践
通过请求重置速率与并发流上限治理、窗口计数与阻断策略，降低HTTP/2 Rapid Reset类DoS攻击风险并保护后端服务。
API Webhook安全签名与重放防护实践
设计安全的 Webhook 接入，使用 HMAC 签名与时间戳防重放，结合幂等与重试策略、审计与速率限制，提供验证与落地方法。
IDN同形异义域名防护与Punycode治理最佳实践
通过ASCII域名策略与Punycode标识检测、白名单治理与来源校验，防止IDN同形异义域名造成的钓鱼与混淆风险。
IaC安全扫描：Checkov与TFSec对比
---title: IaC安全扫描：Checkov与TFSec对比keywords:- Checkov- TFSec- 策略扫描- Terraform- CI集成description: 对比两种常用 IaC 扫描工具在规则覆盖与集成上的差异，构建持续的基础设施安全防线。categories: - 文章资讯 - 技术教程---# IaC安全扫描：Checkov与TFS...
DNS重绑定防护与Host校验（Origin/解析一致性）最佳实践
通过Host与Origin白名单校验、解析结果一致性与私网阻断，系统性降低DNS重绑定风险并确保请求目标可信。
Fenced Frames：跨站内容隔离与安全渲染
介绍 Fenced Frames 的隔离模型与渲染能力，适用于跨站内容（广告）展示，避免向宿主页面泄露敏感信号，说明部署与兼容策略。
