网络安全共52篇

CORS控制浏览器脚本能否读取某些跨源响应，并不是接口的登录或授权机制。出现跨域错误时，应先核对请求来源与服务设计，而不是把所有访问限制一起移除。

内容安全策略可以限制页面加载或执行某些资源，但直接复制一段严格配置，也可能使主题组件、登录或支付界面失效。部署前先了解资源来源，再逐步验证。

从入口、域名、请求内容和独立核实四个角度判断可疑消息，并说明输入过密码或验证码后的处理顺序。

个人资料页面不应被共享缓存错误地展示给别人，但禁止共享缓存和禁止保存响应并不是同一项要求。配置Cache-Control时，需要先区分缓存所在的位置。

从一个网页打开另一个页面，浏览器可能在Referer请求头中附带来源信息。哪些部分会被发送，受到来源策略和请求场景影响，不能一概认为只传域名或永远不传。

登录页面常用返回地址把用户带回原页面。如果服务器直接使用外部输入作为跳转目标，可信域名的链接也可能把用户送往其他网站。防护应从目标选择规则开始。

网址预览、远程图片导入等功能会让服务器主动发起请求。服务器所在网络可能拥有用户浏览器没有的访问能力，因此输入一个URL不等于可以请求任意目标。

扫描报告中的一条漏洞匹配，是调查起点。需要确认实际组件、版本和运行位置，再阅读官方公告，不能仅凭红色等级就推断站点已经被入侵。

把用户输入直接拼进SQL文本，会混淆查询结构与数据。参数绑定让驱动按数据处理相应值，是数据库访问中的基础防护，但不代表所有权限问题都已经解决。

浏览器可能自动携带登录Cookie，服务器因此需要区分用户期望的操作与被其他页面诱导的请求。CSRF防护与登录、对象权限是不同层面的检查。