安全加固

一、现象：三起「串号」投诉，指向一个没人想到的入口 先摆数字。去年 Q3 我们给一家多租户订单 SaaS 做安全加固复盘。技术栈是 Nginx 1.24 反代 + Spring Boot 3.1（内嵌 Tomcat 10.1.11），对外提

一、现象：一个"运维排查请求"，把生产密钥全拖走了 上个月给一家做电商中台的客户做季度安全复盘。他们上个月被通报：生产环境的对象存储 AK/SK（明文）出现在了某次渗透测试的报告附件里。客户第一反应是"内鬼"，因为他们确认过：".env"

一、现象：报错文案统一了，用户还是被枚举光了 去年给一家做 B 端 SaaS 的客户做安全加固复盘，目标是登录接口 "POST /api/v1/auth/login"，Spring Boot 3.2 + Spring Security 6.

一、现象：一条 @type 字段，30 秒内拿到了一个 WebShell 上个月给一家做金融 SaaS 的客户做渗透评估，目标是一套 Spring Boot 2.7 + fastjson 1.2.80 的后台，其中有个「第三方回调通知」接口

一、现象与背景 上周一次例行审计，我在某 SaaS 的访问日志里发现一条「不属于任何真实请求」的记录： 2026-09-12 03:14:22 INFO auth user=ops-admin action=login_ok ip=10.2

一、现象：一条「图片预览」接口，把内网扫了个遍 去年给一家做 SaaS 的客户做渗透评估，目标是一套 Go（Gin 1.9）+ 云上的「文档图片代理预览」接口 "GET /api/img/preview?url=..."——前端把外链图片地

一、现象：封禁名单越拉越长，攻击占比却「按下葫芦浮起瓢」 去年 Q4 我们给一个对外提供 API 的 B 端服务做风控加固，一周内风控引擎标记出 137 个高频恶意 IP（判定口径：同一 IP 在 24h 内触发验证码 / 下单 ≥200