01
2026.06.30
Web 安全专题 01｜认证不是登录页的一次提交
Web 安全专题 01｜认证不是登录页的一次提交 栏目序号：第 1 期/篇 导语：认证（authentication）是一组相互关联的设计决策，覆盖从账号识别到凭证存储、从会话管理到敏感操作的复核。把认证等同于“用户在登录页一次提交”是常见的误解；本文从边界和可判断的实践出发，讨论工程上该如何构建和检验一个更。
阅读全文 →专题
实用 Web 安全专题
围绕认证、会话、限流、上传、响应头与依赖维护，整理小型站点可执行的安全边界。
02
2026.07.05
Web 安全专题 02｜为会话设置清晰的生命周期
短导语：会话（session）不仅仅是用户在系统中的时间窗口，它同时是访问控制、审计和风险管理的关键边界。本文围绕安全 Cookie 的合理设置、登录后会话轮换（session rotation）、以及在主动退出或风险事件发生时的重新认证策略展开，重点给出判断要点、实践步骤与常见误区，适合在工程实施阶段参考和。
阅读全文 →03
2026.07.10
Web 安全专题 03｜速率限制的目的不是惩罚用户
导语：速率限制（rate limiting）常被误解为“惩罚用户”的工具。正确的节流是为服务可用性和安全性之间建立弹性边界：既要尽早阻断自动化滥用，又要保证真实用户在网络波动或行为差异下不被误伤。本文围绕登录、评论、上传和密码验证四类端点，讨论节流策略、可用性权衡与防自动化攻击的实践判断。 节流的目标与基本原。
阅读全文 →04
2026.07.15
Web 安全专题 04｜上传文件：从信任文件名到验证内容
栏目序号：第 4 期/篇 导语 文件上传是许多 Web 应用不可或缺的功能，但同时也是攻击面较大的环节。错误的信任策略往往导致远程代码执行、敏感数据泄露或持久化的 XSS。本文从判断标准、实际步骤和常见误区出发，讨论为何必须验证内容、重命名对象、隔离路径，并限制允许的媒体类型，给出可操作的工程实践建议。 为什。
阅读全文 →05
2026.07.20
Web 安全专题 05｜安全响应头是一份浏览器侧的契约
导语 在浏览器与服务器之间，安全响应头（HTTP response headers）是一份“契约”：服务器声明意图，浏览器在用户代理边界内据此约束行为。它们并不能替代服务器端的业务逻辑检查或访问控制，但在防止客户端被滥用、降低常见前端攻击面上发挥着关键作用。本文围绕 CSP、HSTS、XFrameOption。
阅读全文 →06
2026.07.25
Web 安全专题 06｜CSRF 防护的重点在于状态改变
《Web 安全专题 06｜CSRF 防护的重点在于状态改变》 栏目序号：第 6 期/篇 导语：CSRF（跨站请求伪造）的防护目标并不是所有请求一律加令牌，而是要覆盖“会改变服务器状态”的操作。本文围绕表单提交、媒体上传和后台审核三个常见场景，讨论如何判断哪些操作必须检查 CSRF、令牌应当覆盖的边界，以及在工。
阅读全文 →07
2026.07.30
Web 安全专题 07｜把秘密留在部署环境，而不是内容管理界面
导语：在现代 Web 应用中，SMTP 凭据、对象存储密钥与应用签名密钥等“秘密”常被放在内容管理界面（CMS）或数据库字段中以求管理便利。本文从风险边界、运维实践与迁移步骤出发，分析为何这些秘密更适合保存在受限的部署环境或专用密钥管理系统，而不是普通数据库字段或对编辑可见的管理界面中。 为什么不要把秘密放在。
阅读全文 →08
2026.08.04
Web 安全专题 08｜错误信息也需要被设计
短导语 错误信息不是“随手可丢”的日志文本，它同时面向用户、开发者和运维。设计不当会把敏感信息暴露给攻击者，也会让合法用户在遇到问题时无法自助恢复。本文以身份枚举、上传失败与后台操作出错三类常见场景为切入点，讨论如何在安全性与可用性之间做出工程化的、可验证的权衡，并给出可执行的实践步骤与易错点供审查与落地。
阅读全文 →09
2026.08.09
Web 安全专题 09｜依赖升级不是一次性的清理任务
短导语 依赖升级常被视为一次性的“清理任务”：发现漏洞，升级依赖，合并后就完成了。真实的软件供应链管理远比这复杂。本文围绕依赖清单、漏洞审计、升级测试与回滚意识，讨论如何把升级工作从偶发行为变成可持续的工程惯例，减少风险并提高响应能力。 依赖清单：定义边界与持续维护的要点 依赖清单不只是一份列出直接依赖的文件。
阅读全文 →10
2026.08.14
Web 安全专题 10｜为小型站点写一份安全运营手册
简介 本篇面向运维与开发兼顾的小型站点（独立博客、单体应用、轻量电商等），给出一份可执行的安全运营手册草案。重点不是理论化的安全宣言，而是能落地的步骤、判断准则与常见误区，涵盖账号轮换、日志查看、备份、依赖审计和故障响应五个核心模块。目标是让你在有限的人力与预算下，建立起最低可接受的安全习惯，并知道何时需要升。
阅读全文 →