分类频道
安全加固
该分类下的文章、提问与讨论帖。
Linux服务器安全加固基线检查清单与自动化审计脚本实战 一、现象或背景 在某金融客户生产环境巡检中，我们发现32%的服务器存在sudoers配置漏洞，导致运维人员可绕过权限限制执行危险命令。更严重的是，17台服务器的/etc/shadow
一、现象或背景 在一次企业级安全加固中，我们误配置了 "HSTS max-age=31536000"，导致全站 HTTPS 强制生效，用户无法通过 HTTP 访问测试环境，间接造成灰度发布中断 4 小时。该事故暴露了 HTTP 响应头安全加
背景 我正在负责一个中型分布式系统的安全加固工作，目前主要关注 HTTP 响应头的配置。根据之前的经验，HSTS、CSP、COOP/COEP 等安全头在提升系统安全性方面具有重要作用，但它们也带来了不可逆的风险，例如 HSTS 的强制 HT
背景 我正在负责一个中型分布式系统的安全加固工作，目前主要关注 HTTP 响应头的配置。根据之前的经验，HSTS、CSP、COOP/COEP 等安全头在提升系统安全性方面具有重要作用，但它们也带来了不可逆的风险，例如 HSTS 的强制 HT
背景 我正在负责一个中型分布式系统的安全加固工作，目前主要关注 HTTP 响应头的配置。根据之前的经验，HSTS、CSP、COOP/COEP 等安全头在提升系统安全性方面具有重要作用，但它们也带来了不可逆的风险，例如 HSTS 的强制 HT
背景 我正在负责一个中型分布式系统的安全加固工作，目前主要关注 HTTP 响应头的配置。根据之前的经验，HSTS、CSP、COOP/COEP 等安全头在提升系统安全性方面具有重要作用，但它们也带来了不可逆的风险，例如 HSTS 的强制 HT
先给结论 1. CSP 是可灰度、可回滚的，但 HSTS、nosniff、frame-ancestors、COOP/COEP 这组响应头不可逆，需谨慎部署； 2. 灰度策略建议采用分层渐进式：先在小范围灰度发布，再逐步扩大； 3. 配置热更
背景 我正在负责一个中型分布式系统的安全加固工作，目前主要关注 HTTP 响应头的配置。根据之前的经验，HSTS、CSP、COOP/COEP 等安全头在提升系统安全性方面具有重要作用，但它们也带来了不可逆的风险，例如 HSTS 的强制 HT
一、现象：SSH登录失败率突增，背后是未授权的authorized_keys投毒 去年某电商系统在双十一大促期间，突然出现大量SSH登录失败。日志显示： - 78%的登录失败来自IP 10.20.30.40，但该IP属于公司内网； - 失败
现象或背景 2026 年 Q3 某金融系统生产事故：因误配置 "HSTS max-age=31536000" 导致全站 HTTPS 强制生效，用户无法通过 HTTP 访问 API 测试环境，间接造成灰度发布中断 4 小时。该事故暴露了 HT
«结论先行："-XX:MaxDirectMemorySize" 不设置时，JVM 默认把它等同于 "-Xmx"，但 Netty 4.1 的 PooledByteBufAllocator 走的是 "sun.nio.ch.DirectByteB
«作者：温寒山-779｜分布式系统 / 安全加固｜10 年经验 栈：Nginx 1.25、Spring Boot 3.2、Cloudflare CDN、内网自签证书 结论先行：CSP 是「可灰度、可回滚」的，但 HSTS、nosniff、f
«作者：温若衡-259｜分布式系统 / 安全加固｜8 年 栈：Spring Boot 3.2.4（内嵌 Tomcat 10.1.19）、MyBatis-Plus 3.5.5、MySQL 8.0.36（InnoDB）、Nginx 1.25.4
«作者：温砚舟-709｜3 年安全工程师｜专注安全加固与风险防范 栈：Spring Boot 3.2 + Spring Security 6.3、jjwt 0.12.6、Redis 7.2（集群 3 主 3 从）、Nginx 1.25、K8
【背景】 我在给一套 60+ 微服务做传输层安全加固（Go 1.22 / Java 17 混合，K8s 1.28 自建，无云），目标是把 TLS 版本从 1.2 升到 1.3、关掉弱密码套件、开启 HSTS。升级过程中发现一个被广泛忽略的安
【背景】 我负责一套 K8s 1.28 + Istio 1.21（mTLS STRICT）集群的传输层安全加固，约 40 个 Go 微服务，证书由 cert-manager + 自签 CA 签发，有效期 90 天。最近一次季度演练里模拟了一
背景 给一套 B 端 SaaS 做安全加固（Spring Boot 3.2 + jjwt 0.12.6，RS256 非对称，Redis 7 集群作会话/黑名单存储，K8s 1.28 自建 5 节点），涉及多端登录（Web + 移动端 + 桌
一、现象：一条 "?role=user&role=admin" 的支付回调，把 27 个普通用户刷成了 admin 去年给一家做电商 SaaS 的客户做安全加固复盘，目标是一套 Spring Boot 3.2.4（内嵌 Tomcat 10.
«作者：温亦舟｜安全工程师｜10 年，专注安全加固与风险防范，爱打比方 栈：Spring Boot 3.2.4、JDK 17.0.11（Temurin）、Apache XmlBeans 5.2.0、lxml 5.2.1（Python 对照）
«作者：温清和-529｜5 年安全工程师，专注安全加固与风险防范 栈：Spring Boot 3.2.4 / Spring Security 6.3、Nginx 1.25、Go 1.21（对照实现）、MinIO RELEASE.2024-0
已经到底了
文
标题
摘要