Link Preload与资源优先级治理（rel=preload/as/importance）最佳实践
通过对白名单资源使用rel=preload并设置as/importance/crossorigin，规范预加载与优先级，提升首屏性能并降低风险。
网络安全
Cookie分区（CHIPS）与跨站存储治理最佳实践
通过CHIPS分区Cookie与跨站存储治理，在嵌入场景下安全地使用跨站Cookie，同时保持最小暴露与严格属性。
DNSSEC记录验证与链路信任（DS/DNSKEY/RRSIG）最佳实践
通过对DNSSEC关键记录的结构与算法校验、链路信任验证与失败阻断，提升域名解析的完整性与可信度。
Envoy CORS 跨域与预检缓存配置实践
在 Envoy 配置 CORS 过滤器与路由级策略，允许指定来源/方法/头并设置预检缓存，保证前端跨域请求安全可控。
OAuth2 PKCE与授权码安全：拦截与重放防护
使用 PKCE 保护授权码流程，防止拦截与重放，结合 `state`/`nonce` 与精确回调治理安全边界。
JWT 安全实践（HS256 与 RS256、过期与刷新、无状态会话）
---
title: JWT 安全实践（HS256 与 RS256、过期与刷新、无状态会话）
keywords:
- JWT
- HS256
- RS256
- 令牌刷新
- 无状态会话
description: 总结 JWT 在生产中的安全实践与配置建议，覆盖签名算法、过期与刷新策略、黑名单与无状态会话实现。
date: 2025-11-25
categories:
- ...
CDN 边缘图像处理与变换策略（2025）
# CDN 边缘图像处理与变换策略（2025）
边缘图像处理将图像的裁剪与压缩下沉至离用户更近的节点。
## 一、变换与参数
- 变换：尺寸/裁剪/格式转换；统一参数与安全校验。
- 策略：限制最大尺寸与质量范围，避免滥用。
## 二、缓存与预热
- 缓存键：包含变换参数以区分产物。
- 预热：对热点与常用规格进行预热，降低冷启动。
## 三、观测与成本
- 指标：命中率与延迟与体积节省比
DNS over HTTPS（DoH）与DNS安全策略最佳实践
通过DoH与DNS安全策略实现加密解析与隐私保护，结合解析器白名单与缓存治理，构建可验证的DNS安全基线。
OAuth mTLS客户端认证与令牌绑定（cnf.tls_client_cert）最佳实践
通过mTLS客户端证书认证与在令牌中嵌入cnf.tls_client_cert拇指指，实现令牌绑定与盗用阻断，提升端到端安全。
CSP 报告与 Reporting API：report-uri 与 report-to 的演进
梳理 CSP 的报告模式与两种上报机制的差异，解释 Report-Only 的试运行方式与 JSON 报文结构，并提供部署建议与参考链接。
CSRF防护与双重提交Cookie-Origin-Token协同最佳实践
通过SameSite属性、Origin/Referer校验与双重提交Cookie+令牌组合，构建可验证的CSRF防护方案，附令牌签发与校验中间件及验收清单。
HTTP范围请求与大文件分片下载治理（Range/校验/速率）最佳实践
通过解析与校验Range头、限制分片大小与速率，并统一返回206响应与Accept-Ranges，保障大文件下载的安全与可控。
Content-Digest头与响应完整性治理（sha-256）最佳实践
通过在响应中下发Content-Digest（sha-256）并在客户端进行校验，提升传输完整性与缓存安全，协同ETag与条件请求治理。
HSTS 预加载与重定向治理：站点强制 HTTPS 的最佳实践
讲解 HSTS 与预加载机制，如何为站点强制 HTTPS 并治理重定向链与子域，提升安全与性能。
CSRF防护实践：SameSite、CSRF Token与双重提交
系统化梳理浏览器端与服务端联动的 CSRF 防护方案，结合 SameSite、令牌与双重提交策略。
