安全中等
CSP（内容安全策略）能防住什么？如何配置才既有效又不误伤业务？
2026-08-14
#Web安全
安全中等
命令注入的原理是什么？为什么说「过滤特殊字符」不是可靠的防御？
2026-08-11
安全中等
Session 固定攻击和 Session 劫持有什么区别？各自如何防御？
2026-08-11
安全中等
什么是服务端模板注入（SSTI）？它和 XSS 有什么本质区别？
2026-08-11
安全困难
JavaScript 原型链污染的原理是什么？为什么它在服务端能升级为 RCE？
2026-08-11
安全困难
什么是 Web 缓存投毒？它和缓存欺骗有什么区别？
2026-08-11
安全中等
CSP 的 nonce 和 hash 白名单有什么区别？为什么 'unsafe-inline' 是饮鸩止渴？
2026-08-10
安全中等
什么是子域名接管（subdomain takeover）？如何发现和预防？
2026-08-10
安全中等
什么是批量赋值（mass assignment）漏洞？如何防御？
2026-08-10
安全简单
路径穿越（目录遍历）漏洞的原理和防御是什么？
2026-08-10
安全中等
WAF 的工作原理是什么？为什么说它不能替代代码级安全？
2026-08-10
安全简单
一个生产网站应该配置哪些安全响应头？各自防什么？
2026-08-10
安全简单
开放重定向（open redirect）漏洞有什么危害？它不就是跳个链接吗？
2026-08-10
安全中等
XXE（XML 外部实体注入）是什么？如何彻底防御？
2026-08-09
安全中等
什么是二阶 SQL 注入？为什么参数化查询之外还要留意它？
2026-08-09
安全中等
CSRF Token 的正确实现方式是什么？为什么"检查 Referer"不够？
2026-08-09
安全中等
OAuth2 授权码模式的完整流程是什么？为什么需要 code 这个中间层？
2026-08-09
安全简单
存储型、反射型、DOM 型 XSS 的区别是什么？各自如何防御？
2026-08-09
计算机网络简单
什么是同源策略？跨域请求有哪些解决方案？
2026-08-08
计算机网络简单
Cookie 有哪些重要属性？它们各自解决什么安全问题？
2026-08-08