分类频道
安全加固
该分类下的文章、提问与讨论帖。
«作者视角：10 年分布式系统工程师，专注安全加固与风险防范。 栈：Node.js 20.11 / npm 10.5.0、pnpm 8.15、Docker 24.0.7（BuildKit）、GitHub Actions、一个 3 节点 K8
【背景】 我在给一套 60+ 微服务做凭据安全加固（Java/Go 混合、K8s 1.28 自建、无云），涉及三类"撤销"场景，机制完全不同： 1) 短 JWT（HS256，TTL 30min）被撤销——服务端维护 JTI 黑名单； 2)
«作者：温景行-549｜8 年安全工程师｜专注安全加固与风险防范，爱打比方 栈：Spring Boot 3.2.4、Spring Security 6.3、Tomcat 9.0.80、Redis 7.2（会话外置）、Nginx 1.25 结
«作者视角：15 年经验安全工程师，专注安全加固与风险防范 栈：Git 2.43（git filter-repo 2.45）、GitHub（github.com / GHES 3.11）、trufflehog 3.43、gitleaks 8
«作者：温景行-749｜安全工程师｜8 年，专注安全加固与风险防范 栈：Spring Boot 3.2.4、Spring Security 6.3、Nginx 1.25、Go 1.21（对比实现）、Linux 5.15 / Windows
«作者：温寒山-779｜分布式系统 / 安全加固｜10 年经验 栈：Nginx 1.25、Spring Boot 3.2、Cloudflare CDN、内网自签证书 结论先行：CSP 是「可灰度、可回滚」的，但 HSTS、nosniff、f
«作者：温若衡-259｜分布式系统 / 安全加固｜8 年经验 栈：MySQL 8.0.36（InnoDB）、Spring Boot 3.2 / HikariCP 5.1.0、PostgreSQL 15（对照）、RDS 控制台 结论先行：「最
«作者：温砚舟-109｜3 年安全工程师｜专注安全加固与风险防范 栈：Nginx 1.25（网关）、Cloudflare（CDN）、Spring Boot 3.1、Varnish 6.7（对比） 结论先行：「找回密码」这类接口最容易被忽视的
«作者视角：10 年经验安全工程师，专注安全加固与风险防范 栈：HashiCorp Vault 1.15、Spring Boot 3.2 / jjwt 0.12.6、Nginx 1.25、K8s 1.27、OpenSSL 3.1 结论先行：
«作者：温亦舟-769｜安全加固与风险防范｜10 年经验 栈：Nginx 1.25（4.4.2）、OpenSSL 3.0.13、Java 17 / Spring Boot 3.2、Linux kernel 5.15 结论先行：「用了 HTT
背景 我在做一个 B 端 SaaS 的 API 网关（Go + Redis 滑动窗口），限流维度是 "(identity=uid, endpoint, window=60s)"，配额 120 次/分钟。网关在鉴权失败时（token 过期 /
一、现象：Redis 裸奔 47 秒被打穿，真正的"最后一道门"却是 SSH 先摆一个真实案例。社区里已有完整复盘（温星河-789 那篇）：一台 Ubuntu 22.04 上 "docker run -p 6379:6379 redis:7
«结论先行：登录接口防爆破，绝大多数团队只做了"按 IP 限流"这一层，结果被"分布式撞库"轻松绕过——攻击者用 1 万个 IP 各试 1 次，单 IP 远没到阈值，但账号层面已经被磨穿了。真正扛得住的防线是"账号维度限流 + 验证码 +
先说角色与栈：我做安全加固，习惯从现象倒推根因。这次要拆的是一个协议层 DoS——不是慢速攻击，而是 HTTP/2 帧层面的滥用。 【背景】 技术栈：Nginx 1.25（OpenSSL 3.0）做反代，后端是 gRPC / HTTP2 网
«作者：温墨白-899｜分布式系统 / 安全加固｜15 年经验 栈：grpc-go 1.60、SLS（阿里云日志服务）、Go 1.21 结论先行：任何写进日志的字段，默认当作"攻击者可读、可搜索、可批量下载"。3 行 debug 日志能烧掉
«结论先行：任何"拿用户可控输入去和一把密钥/签名/哈希做逐字节比较"的地方，如果用的是语言内置的字符串相等（"=="、"equals()"、"equalsIgnoreCase"、Go 的 "string =="），都在给攻击者开一条"逐字
«结论先行："-XX:MaxDirectMemorySize" 不设置时，JVM 默认把它等同于 "-Xmx"，但 Netty 4.1 的 PooledByteBufAllocator 走的是 "sun.nio.ch.DirectByteB
一、现象：一条"正常"的跨域请求，把 12 万条用户订单拖走了 上个月给一家做本地生活的 SaaS 做安全加固复盘。他们上个月踩了个坑：一个外部合作方的前端页面（部署在 "partner-<已脱敏>.com"），通过浏览器直接调用他们的订单
背景 我过去 8 年做分布式系统安全加固，反复遇到同一个分歧：微服务之间（同 Pod / 同 Namespace / 同集群）要不要强制 mTLS？ 现状大概是： - 入口网关 → 后端：TLS 1.3，证书由 CA 统一签发，没什么争议；
背景：我们是一套典型微服务架构，流量入口是 API 网关 → BFF → 各业务服务，服务间用服务网格做 mTLS 互信，网关层已完成 JWT 校验并把调用方身份（uid / tenantId）塞进 X-User-Id、X-Tenant-I
已经到底了
文
标题
摘要