Web安全
Permissions-Policy 特性控制（策略、来源与验证）
使用Permissions-Policy（原Feature Policy）限制浏览器特性在页面与嵌入内容中的可用性，防止滥用与提升安全，提供策略声明与验证方法。
NoSQL注入防护（MongoDB/查询算子白名单）最佳实践
通过MongoDB查询算子白名单与键过滤、类型校验与分页限制，系统性防止NoSQL注入与资源耗尽。
JDK 23 版本要点：原始类型模式匹配与安全增强
概述 JDK 23 的关键更新，包含原始类型模式匹配（预览）、instanceof/switch 扩展与安全/时区/证书策略调整，指引升级与兼容评估。
Istio Wasm Filter 可观察性与零信任增强（2025）
# Istio Wasm Filter 可观察性与零信任增强（2025）## 一、架构与集成- Envoy 扩展：以 `Wasm Filter` 提供自定义度量/日志/策略检查。- 注入方式：在 `EnvoyFilter` 配置中加载 Filter；版本与 ABI 稳定性治理。## 二、观测与策略- 观测：采集特定头与标签形成高维度指标；与 OpenTelemetry 接入。- 策
IDN同形异义域名防护与Punycode治理最佳实践
通过ASCII域名策略与Punycode标识检测、白名单治理与来源校验，防止IDN同形异义域名造成的钓鱼与混淆风险。
HTTP/2 Rapid Reset防护与并发流限制（DoS/窗口）最佳实践
通过请求重置速率与并发流上限治理、窗口计数与阻断策略，降低HTTP/2 Rapid Reset类DoS攻击风险并保护后端服务。
HSTS预加载与TLS安全响应头治理
使用 HSTS 强制 HTTPS，并配置预加载与安全响应头，降低降级与中间人风险，统一域安全基线。
Fetch Metadata与跨站泄露（XS-Leaks）防护最佳实践
以Fetch Metadata为核心，通过服务器端策略拒绝跨站危险请求，结合COOP/COEP与CSP，构建系统性的XS-Leaks防护。
Fetch Metadata请求门禁与跨站防护（Sec-Fetch-Site/Mode/Dest）最佳实践
通过统一的Fetch Metadata门禁策略，基于Sec-Fetch-Site/Mode/Dest判断并拒绝跨站危险请求，降低CSRF与XS-Leaks风险。
Fetch Metadata 请求元数据安全治理：Sec-Fetch 头与跨站威胁缓解实践
使用 Fetch Metadata 请求头在后端识别请求来源与意图，阻止跨站非预期访问与CSRF，提升接口与资源的安全性，附验证覆盖与误拦指标。
Fetch Metadata 防护：Sec-Fetch 系列头的资源隔离策略
总结 Fetch Metadata（Sec-Fetch-*）请求头的意义与用法，给出在服务端实施资源隔离策略的工程建议，作为 CSRF/XSSI 的防御补强。
Fenced Frames：跨站内容隔离与安全渲染
介绍 Fenced Frames 的隔离模型与渲染能力，适用于跨站内容（广告）展示，避免向宿主页面泄露敏感信号，说明部署与兼容策略。
