Content Security Policy（CSP）实战：脚本隔离、资源白名单与违规上报
以生产可用的方式部署 CSP，覆盖脚本隔离、资源白名单配置、nonce/hash 策略与违规上报，实现高强度前端安全防护
网络安全
Istio Wasm Filter 可观察性与零信任增强（2025）
# Istio Wasm Filter 可观察性与零信任增强（2025）
## 一、架构与集成
- Envoy 扩展：以 `Wasm Filter` 提供自定义度量/日志/策略检查。
- 注入方式：在 `EnvoyFilter` 配置中加载 Filter；版本与 ABI 稳定性治理。
## 二、观测与策略
- 观测：采集特定头与标签形成高维度指标；与 OpenTelemetry 接入。
- 策
CSP sandbox指令与页面隔离最佳实践
通过CSP的sandbox指令对页面进行权限收敛与隔离，限制脚本、表单与插件等能力，降低风险页面的攻击面。
Crypto.getRandomValues：安全随机数与密钥材料
使用 `crypto.getRandomValues` 生成加密安全的随机数与密钥材料，避免使用 `Math.random` 等不安全来源，给出长度与类型建议。
Fetch Metadata 请求头实践：防跨站请求伪造与滥用
说明 Fetch Metadata 的请求头含义与服务器端防护策略，用最小代价识别跨站与非同源请求，降低 CSRF 与投毒风险。
Function Calling与JSON Schema约束：参数校验与安全
在函数调用中使用 JSON Schema 精确定义参数，保障输入校验与安全边界，提升自动化与可靠性。
HTTP Retry-After与退避算法治理
在 429/503 等响应下使用 `Retry-After` 与退避算法进行重试，规范幂等与抖动控制，防止重试风暴。
Magic Link无密码登录治理（签名/一次性/过期窗口）最佳实践
通过HMAC签名的一次性Magic Link与过期窗口、origin白名单校验，安全落地无密码登录并阻断链接滥用与重放。
OAuth 2.1授权与安全收敛（禁止Implicit/强制PKCE/短期令牌）最佳实践
统一禁用Implicit、强制PKCE S256与短期令牌策略，收敛授权流程风险并提升跨端一致性与安全性。
API 网关安全与 WAF 联动（2025）
# API 网关安全与 WAF 联动（2025）
入口安全需要策略统一与协同响应。本文聚焦网关与 WAF 的联动实践。
## 一、策略分层
- 网关：认证授权、流量治理与路由编排。
- WAF：攻击检测与规则拦截（SQL/XSS/命令注入等）。
## 二、联动与告警
- 规则协同：共享黑白名单与风险评分，避免重复与冲突。
- 告警与回滚：触发异常时联动熔断与灰度回退。
## 三、观测与审计
API 网关认证与签名（HMAC、时间戳、防重放与时钟偏移）
设计并验证基于 HMAC 的网关签名方案，涵盖时间戳窗口、防重放与时钟偏移容忍，确保外部调用安全可靠。
Bluetooth 5.4 新特性：PAwR 与加密广播数据（EAD）
概述 Bluetooth 5.4 的 PAwR（带响应的周期广播）与加密广播数据（EAD），说明其在电子价签与电池管理等场景中的优势与限制。
CSP Nonce 与 Strict-Dynamic 实战（脚本信任链与验证）
使用CSP的nonce与strict-dynamic构建脚本信任链，避免内联与不可信脚本执行，提供服务端生成与浏览器验证的可落地方案。
CSP报告上报与自动处置（Report-To/采样/屏蔽）最佳实践
通过CSP报告通道的采样与聚合、自动屏蔽与处置策略，提升脚本注入与资源违规的检测与响应效率。
CSP样式策略治理（style-src nonce/hash）最佳实践
通过CSP的style-src使用nonce或哈希治理内联样式，移除unsafe-inline并封装受控样式插入，降低XSS与样式注入风险。
