Security on Commentary of Takao

2026 年 OWASP ZAP：高级扫描和 CI/CD 集成

Tue, 09 Jun 2026 00:00:00 +0900

超越基本扫描

OWASP ZAP 自早期以来已经发生了显着的发展。到 2026 年，它不再只是一个点击式代理扫描器，而是一个功能齐全的安全自动化平台，具有强大的 API、可编写脚本的自动化框架和深度 CI/CD 集成。如果您首先需要基础知识，请阅读我们的 OWASP ZAP 安装和设置指南。本文介绍了大规模运行安全测试的团队的高级工作流程。

为 Hugo 博客设计现代内容安全策略

Fri, 05 Jun 2026 00:00:00 +0900

为什么 CSP 对于静态站点很重要

使用 Hugo 构建的静态站点本质上比动态应用程序更安全，但它们仍然执行用于分析、广告和嵌入的第三方脚本。 内容安全策略 (CSP) 通过控制可以加载的资源来保护您的访问者免受 XSS、数据注入和恶意脚本执行的侵害。

使用仅内容安全策略报告安全地测试 CSP 规则

Fri, 15 May 2026 00:00:00 +0900

损坏的小部件问题

部署内容安全策略是抵御 XSS 攻击的最强有力的防御措施之一。但是，一个错误配置的指令可能会默默地破坏内联脚本、阻止 CDN 资源或禁用分析。如果您直接通过 Content-Security-Policy 标头应用 CSP，并且关键脚本被阻止，您的生产站点就会中断 - 通常没有明显的错误控制台通知。

网络安全中 JWT 令牌与有状态会话的比较

Fri, 20 Mar 2026 00:00:00 +0900

介绍

身份验证是每个 Web 应用程序的支柱。出现了两种主要模式：无状态 JWT（JSON Web 令牌） 身份验证和 基于状态会话 身份验证。两者都解决相同的问题——在后续请求中验证用户是谁——但它们在存储、撤销和安全属性方面有根本的不同。本文提供了详细的比较，以帮助您选择适合您的应用程序的方法。

域安全：设置 SPF、DKIM 和 DMARC 设置

Sun, 15 Feb 2026 00:00:00 +0900

介绍

电子邮件身份验证对于防止域欺骗、网络钓鱼和垃圾邮件文件夹拒绝至关重要。三个基于 DNS 的标准 — SPF、DKIM 和 DMARC — 共同验证声称来自您的域的电子邮件是否合法。如果没有这些记录，攻击者就可以代表您发送伪造的电子邮件，而合法电子邮件可能会进入收件人的垃圾邮件文件夹。本指南解释了每个标准并展示了如何在 Cloudflare 或您的 DNS 提供商上配置它们。

使用 HSTS 策略安全地实施 HTTPS 连接

Fri, 16 Jan 2026 00:00:00 +0900

第一个请求问题

HTTPS 在建立连接后对流量进行加密，但对 HTTP URL 的初始请求仍以明文形式发送。同网络上的攻击者可以拦截第一个请求，执行 SSL 分割攻击，将用户在整个会话中降级为 HTTP。

CORS 的工作原理以及修复访问阻止错误

Mon, 15 Dec 2025 00:00:00 +0900

介绍

CORS（资源共享）是一种浏览器安全，用于控制来自一个源的网页如何请求来自不同源的资源。当https://app.example.com处的前端尝试从https://api.example.org获取数据时，浏览器默认强制执行同源策略。CORS提供了一种通过HTTP标头来放宽此策略的受控方法。本文介绍了完整的CORS流程、预检请求以及如何修复常见的阻止访问错误。

审核 NPM 依赖关系：Snyk 和自动化补丁管理

Sat, 15 Nov 2025 00:00:00 +0900

供应链问题

现代 JavaScript 应用程序提供了数以万计的传递依赖项。每一个都是潜在的攻击媒介。 event-stream 事件（2018 年）将恶意程序包注入到流行的依赖项中，这表明漏洞可能来自树中的任何位置。在这种规模下，仅依靠人工审核是不可能的。

缓解 CSRF：SameSite Cookie 属性和 CSRF 令牌

Mon, 25 Aug 2025 00:00:00 +0900

介绍

Cookie 是管理用户身份验证状态的便捷机制。当会话 ID 存储在 cookie 中时，浏览器会自动将其附加到针对该域的传出 HTTP 请求。

但是，此自动附件功能会被 跨站点请求伪造 (CSRF) 攻击所利用。

为什么以及如何在 CSP 中采用“严格动态”

Sun, 15 Jun 2025 00:00:00 +0900

介绍

实施内容安全策略 (CSP) 是减轻跨站脚本 (XSS) 风险的高效方法。然而，配置和维护策略可能会成为一个令人头疼的问题。

对于使用第三方 SDK（例如 Google 跟踪代码管理器、分析信标、支付小部件或社交共享按钮）的网站，这些脚本通常会从嵌套域动态加载（注入）其他脚本。这迫使开发人员在 script-src 指令中维护一个长而脆弱的外部域白名单。

Web开发中XSS的防御原则

Tue, 25 Feb 2025 00:00:00 +0900

介绍

在网络安全中，跨站脚本 (XSS) 是最古老、最持久的漏洞之一。

如果恶意脚本在受害者的浏览器上运行，它们可能会破坏整个会话、窃取会话令牌 (cookie)、劫持帐户或动态更改页面内容以获取敏感凭据。

子资源完整性：保护您的 CDN 依赖项

Fri, 20 Dec 2024 00:00:00 +0900

子资源完整性 (SRI) 是一项安全功能，可让浏览器验证从 CDN 或第三方来源获取的资源是否未被篡改。在供应链攻击的时代——英国航空公司 Magecart 漏洞、Polyfill.io 泄露以及众多 CDN 事件——SRI 提供加密保证，确保您的页面加载的资源正是您想要的。

安全 Cookie 配置：完整的 Web 开发人员指南

Mon, 09 Dec 2024 00:00:00 +0900

Cookie 仍然是网络上最常配置错误的安全控制之一。单个缺失的属性可能会使您的应用程序遭受会话劫持、CSRF 或跨站点信息泄漏。现代浏览器已经推出了更严格的默认值，但了解每个属性并正确组合它们对于纵深防御至关重要。

SQL注入预防：现代数据库安全指南

Tue, 01 Oct 2024 00:00:00 +0900

尽管人们已经意识到 SQL 注入数十年，但它仍然位居 OWASP 前 10 名之列。 2023 年至 2024 年期间，医疗保健、电子商务和政府部门发生了引人注目的涉及 SQLi 的违规事件。虽然经典的 ' OR 1=1 -- 攻击众所周知，但现代变体包括二阶注入、盲目 SQLi（基于时间和基于布尔）和带外渗漏。预防措施很容易理解，但由于遗留代码、ORM 滥用和测试自动化不足而执行不力。

使用 Vaultwarden 和 Bitwarden SSH 代理管理 SSH 密钥

Thu, 20 Jun 2024 00:00:00 +0000

为什么将 SSH 密钥存储在密码管理器中

SSH 密钥是对远程服务器、Git 提供商和内部基础设施进行身份验证的黄金标准。然而，大多数开发人员将它们作为普通文件存储在 ~/.ssh/ 下 - 不受保护、未同步且未经审核。将 SSH 密钥移至 Vaultwarden（或 Bitwarden）解决了三个基本问题：

WebAuthn和密钥：2024年的无密码身份验证

Tue, 02 Apr 2024 00:00:00 +0900

几十年来，密码一直是主要的身份验证机制，但它们存在着可查的安全性和可用性问题。WebAuthn（Web 验证）和新兴的密钥生态系统有望用加密安全、防网络钓鱼的身份验证取代密码。到2024年，所有主要平台的密钥支持都已达到关键点，这使得现在实施无密码身份验证的理想时机。

Vaultwarden：自托管密码管理器安装指南

Fri, 15 Mar 2024 00:00:00 +0000

避难所守护者是什么？

Vaultwarden 是 Bitwarden 服务器 API 的开源、自托管实现，用 Rust 编写。与需要 Microsoft SQL Server 数据库和大量系统资源的官方 Bitwarden 服务器相比，它的设计是轻量级且资源高效的。 Vaultwarden 支持所有官方 Bitwarden 客户端——桌面、浏览器扩展、移动应用程序和 CLI——无需任何修改。

OAuth 2.0 和 OpenID Connect：现代身份验证指南

Mon, 29 Jan 2024 00:00:00 +0900

OAuth 2.0 和 OpenID Connect 构成了现代 Web 身份验证和授权的支柱。尽管它们无处不在，但这些协议经常被误解和错误配置，导致出现可预防的安全漏洞。本指南涵盖了将身份验证安全地集成到应用程序中所需的核心概念、实施模式和安全最佳实践。