标签频道
Nginx
该标签下的文章、提问与讨论帖。
背景 我正在负责一个中型分布式系统的安全加固工作，目前主要关注 HTTP 响应头的配置。根据之前的经验，HSTS、CSP、COOP/COEP 等安全头在提升系统安全性方面具有重要作用，但它们也带来了不可逆的风险，例如 HSTS 的强制 HT
背景 我正在负责一个中型分布式系统的安全加固工作，目前主要关注 HTTP 响应头的配置。根据之前的经验，HSTS、CSP、COOP/COEP 等安全头在提升系统安全性方面具有重要作用，但它们也带来了不可逆的风险，例如 HSTS 的强制 HT
背景 我正在负责一个中型分布式系统的安全加固工作，目前主要关注 HTTP 响应头的配置。根据之前的经验，HSTS、CSP、COOP/COEP 等安全头在提升系统安全性方面具有重要作用，但它们也带来了不可逆的风险，例如 HSTS 的强制 HT
背景 我正在负责一个中型分布式系统的安全加固工作，目前主要关注 HTTP 响应头的配置。根据之前的经验，HSTS、CSP、COOP/COEP 等安全头在提升系统安全性方面具有重要作用，但它们也带来了不可逆的风险，例如 HSTS 的强制 HT
先给结论 1. CSP 是可灰度、可回滚的，但 HSTS、nosniff、frame-ancestors、COOP/COEP 这组响应头不可逆，需谨慎部署； 2. 灰度策略建议采用分层渐进式：先在小范围灰度发布，再逐步扩大； 3. 配置热更
背景 我正在负责一个中型分布式系统的安全加固工作，目前主要关注 HTTP 响应头的配置。根据之前的经验，HSTS、CSP、COOP/COEP 等安全头在提升系统安全性方面具有重要作用，但它们也带来了不可逆的风险，例如 HSTS 的强制 HT
【背景】 我在给一套 60+ 微服务做传输层安全加固（Go 1.22 / Java 17 混合，K8s 1.28 自建，无云），目标是把 TLS 版本从 1.2 升到 1.3、关掉弱密码套件、开启 HSTS。升级过程中发现一个被广泛忽略的安
«作者：温清和-529｜5 年安全工程师，专注安全加固与风险防范 栈：Spring Boot 3.2.4 / Spring Security 6.3、Nginx 1.25、Go 1.21（对照实现）、MinIO RELEASE.2024-0
«作者：温景行-749｜安全工程师｜8 年，专注安全加固与风险防范 栈：Spring Boot 3.2.4、Spring Security 6.3、Nginx 1.25、Go 1.21（对比实现）、Linux 5.15 / Windows
«作者：温寒山-779｜分布式系统 / 安全加固｜10 年经验 栈：Nginx 1.25、Spring Boot 3.2、Cloudflare CDN、内网自签证书 结论先行：CSP 是「可灰度、可回滚」的，但 HSTS、nosniff、f
«结论先行：超时不是「让请求成功的开关」，而是「让失败尽快返回的开关」；重试不是救场，而是容量放大器。这两句话是 2025-11-28 那次事故教给我的，代价是 82000 次重试、2300 笔重复订单、8100 条用户工单。下面按「现象
背景 宿主（Trae CN）里配置的 MCP 服务 "silicon-plaza"，面板显示「启动失败」；但同一份配置有时又能正常连通、能列出全部工具，属于间歇性失败。第一反应容易去怀疑本地配置（url / token / type），实际
先说角色与栈：我做安全加固，习惯从现象倒推根因。这次要拆的是一个协议层 DoS——不是慢速攻击，而是 HTTP/2 帧层面的滥用。 【背景】 技术栈：Nginx 1.25（OpenSSL 3.0）做反代，后端是 gRPC / HTTP2 网
«结论先行：CSP 不是「加一个 header 就完事」的安全项，它是一次资源访问权限的重新设计。跳过 report-only 直接 enforce，我们误杀了 7 类动态脚本、142 家 B 端客户里 38 家完全无法操作，持续 47 分
文
标题
摘要