网络安全共52篇

脚本地址返回HTTP 200，浏览器却提示MIME类型不匹配时，应检查响应内容和Content-Type。nosniff让浏览器按声明类型处理资源，并对脚本、样式等加载执行相应限制。

CORS控制浏览器脚本能否读取某些跨源响应，并不是接口的登录或授权机制。出现跨域错误时，应先核对请求来源与服务设计，而不是把所有访问限制一起移除。

重置链接相当于一份临时授权。系统不仅要把邮件送到用户手里，还要限制令牌的有效期、使用次数和关联账户，避免旧链接长期保留修改密码的能力。

看到JWT里的账号或过期字段，只说明读取到了相应内容。对于用作认证的签名令牌，系统还需要验证密码学保护及预期声明，不能把解码结果直接当作可信身份。

CSV里保存的文本，进入电子表格软件后可能被解释为公式。来自用户的昵称、备注等字段，不能因为已经通过CSV格式转义就默认只会按文字显示。

robots.txt向遵守规则的爬虫说明抓取偏好，不是文件访问控制。把敏感目录写进Disallow，并不会让普通请求失去读取这些文件的能力。

登录页面常用返回地址把用户带回原页面。如果服务器直接使用外部输入作为跳转目标，可信域名的链接也可能把用户送往其他网站。防护应从目标选择规则开始。

按钮本身有权限校验，仍不代表用户一定看清了自己点击的页面。针对基于框架嵌入的点击劫持，可以通过响应头限制哪些页面有权把当前网页装进iframe。

从一个网页打开另一个页面，浏览器可能在Referer请求头中附带来源信息。哪些部分会被发送，受到来源策略和请求场景影响，不能一概认为只传域名或永远不传。

个人资料页面不应被共享缓存错误地展示给别人，但禁止共享缓存和禁止保存响应并不是同一项要求。配置Cache-Control时，需要先区分缓存所在的位置。