Clickjacking防护：CSP frame-ancestors与X-Frame-Options
通过 CSP 的 `frame-ancestors` 与 `X-Frame-Options` 头限制页面被不可信站点嵌入，降低点击劫持风险。
Web安全
CSP 报告端点与违规检测平台（2025）
# CSP 报告端点与违规检测平台（2025）CSP 报告提供前端安全违规的可观测性，便于治理与优化策略。## 一、报告与采集- 报告端点：接收浏览器上报的 CSP 违规事件。- 采样与脱敏：控制体量并保护敏感信息。## 二、检测与白名单- 规则：匹配违规类型与来源，识别误报与高风险。- 白名单：集中管理与变更审计，防止滥用。## 三、告警与联动- 告警：阈值与趋势触发告
Istio Wasm Filter 可观察性与零信任增强（2025）
# Istio Wasm Filter 可观察性与零信任增强（2025）## 一、架构与集成- Envoy 扩展：以 `Wasm Filter` 提供自定义度量/日志/策略检查。- 注入方式：在 `EnvoyFilter` 配置中加载 Filter；版本与 ABI 稳定性治理。## 二、观测与策略- 观测：采集特定头与标签形成高维度指标；与 OpenTelemetry 接入。- 策
API 签名与请求重放防护（2025）
# API 签名与请求重放防护（2025）请求重放与篡改是常见攻击面。本文从签名机制与网关治理给出工程实践。## 一、签名与参数- HMAC 签名：以密钥对规范化请求串进行 HMAC 计算。- 时间戳与 nonce：限定有效期并保证唯一性，防止重放。## 二、校验与容错- 网关校验：统一签名、时间窗口与 nonce 去重校验。- 容错：对时钟偏差设置容忍度与重试策略。##
Cookie 前缀：__Host- 与 __Secure- 安全约束
使用 `__Host-` 与 `__Secure-` 前缀为 Cookie 施加额外约束，提升路径与协议安全性，降低被降级或跨子域覆盖的风险。
HTTP/2 Rapid Reset防护与并发流限制（DoS/窗口）最佳实践
通过请求重置速率与并发流上限治理、窗口计数与阻断策略，降低HTTP/2 Rapid Reset类DoS攻击风险并保护后端服务。
API Webhook安全签名与重放防护实践
设计安全的 Webhook 接入，使用 HMAC 签名与时间戳防重放，结合幂等与重试策略、审计与速率限制，提供验证与落地方法。
IDN同形异义域名防护与Punycode治理最佳实践
通过ASCII域名策略与Punycode标识检测、白名单治理与来源校验，防止IDN同形异义域名造成的钓鱼与混淆风险。
IaC安全扫描：Checkov与TFSec对比
---title: IaC安全扫描：Checkov与TFSec对比keywords:- Checkov- TFSec- 策略扫描- Terraform- CI集成description: 对比两种常用 IaC 扫描工具在规则覆盖与集成上的差异，构建持续的基础设施安全防线。categories: - 文章资讯 - 技术教程---# IaC安全扫描：Checkov与TFS...
DNS重绑定防护与Host校验（Origin/解析一致性）最佳实践
通过Host与Origin白名单校验、解析结果一致性与私网阻断，系统性降低DNS重绑定风险并确保请求目标可信。
Fenced Frames：跨站内容隔离与安全渲染
介绍 Fenced Frames 的隔离模型与渲染能力，适用于跨站内容（广告）展示，避免向宿主页面泄露敏感信号，说明部署与兼容策略。
Cross-Origin Opener Policy（COOP）：窗口隔离与安全边界
通过 COOP 限制窗口关系以实现跨源隔离，提升安全与稳定性，并为 SharedArrayBuffer 等能力提供前置条件。
Fetch Metadata请求门禁与跨站防护（Sec-Fetch-Site/Mode/Dest）最佳实践
通过统一的Fetch Metadata门禁策略，基于Sec-Fetch-Site/Mode/Dest判断并拒绝跨站危险请求，降低CSRF与XS-Leaks风险。
CSV注入防护与数据导出治理（公式转义/长度限制）最佳实践
通过导出前公式转义与长度限制、字段白名单与统一编码，系统性防止CSV注入导致的命令执行与数据泄露风险。
