Next.js 15 Fetch Metadata 防护 Sec-Fetch-Site-Mode-Dest 治理实践
在 Next.js 15 Edge Middleware 中使用 Fetch Metadata（Sec-Fetch-*) 进行入口防护，拒绝跨站危险上下文并限制可接受的请求模式与目标类型。
防护
ZIP解压安全与路径穿越防护（Normalize/拒绝父级）最佳实践
通过解压前路径规范化与父级拒绝策略、扩展白名单与大小限制，阻断ZIP文件中的路径穿越与恶意文件投递。
开放重定向（Open Redirect）防护与安全重定向策略最佳实践
"通过重定向目标白名单、URL规范化与来源校验，构建可验证的开放重定向防护与安全重定向策略。"
XML外部实体（XXE）防护与安全解析最佳实践
"通过禁用DTD与外部实体、受控解析与白名单字段，构建可验证的XXE防护与安全解析基线。"
Yarn Plug'n'Play依赖隔离与隐性依赖防护治理（pnp-解析-白名单）最佳实践
通过 Plug'n'Play 映射与白名单校验，阻断未声明与跨包隐性依赖，确保工作空间内的依赖隔离与可控解析。
前端表单安全与数据校验：输入净化、XSS/CSRF 防护与合规验证
构建生产级前端表单安全策略，覆盖输入净化与校验、XSS/CSRF 防护与令牌机制、可用性与误报控制，提供可验证的安全指标
HTTP DPoP/PoP 令牌（绑定客户端与重放防护）
采用 DPoP/PoP 令牌将访问令牌与客户端密钥绑定，防止令牌被窃取后滥用，并提供验证与兼容策略。
XS-Leaks防护与跨站信息泄露缓解（隔离/策略）最佳实践
通过跨站隔离（COOP/COEP）、Referer策略与私有缓存治理，降低XS-Leaks类攻击面并保护用户隐私。
XSSI防护与JSON响应前缀治理（JSON Prefix/)]}',\n）最佳实践
通过在JSON响应前添加标准前缀并统一设置Content-Type与nosniff，阻断脚本标签直接加载JSON导致的跨站脚本包含攻击。
