网站安全共54篇

有些Webhook签名验证依赖收到的原始请求体。先把JSON解析成对象，再重新序列化，即使字段含义没变，字节也可能变化，随后导致签名无法匹配。

robots.txt向遵守规则的爬虫说明抓取偏好，不是文件访问控制。把敏感目录写进Disallow，并不会让普通请求失去读取这些文件的能力。

登录页面常用返回地址把用户带回原页面。如果服务器直接使用外部输入作为跳转目标，可信域名的链接也可能把用户送往其他网站。防护应从目标选择规则开始。

按钮本身有权限校验，仍不代表用户一定看清了自己点击的页面。针对基于框架嵌入的点击劫持，可以通过响应头限制哪些页面有权把当前网页装进iframe。

从一个网页打开另一个页面，浏览器可能在Referer请求头中附带来源信息。哪些部分会被发送，受到来源策略和请求场景影响，不能一概认为只传域名或永远不传。

个人资料页面不应被共享缓存错误地展示给别人，但禁止共享缓存和禁止保存响应并不是同一项要求。配置Cache-Control时，需要先区分缓存所在的位置。

GitHub于2026年9月25日宣布，已启用Copilot Memory的客户在使用agentic autofix时可以利用已有记忆辅助修复。公告同时指出两项功能都处于公开预览阶段。

下载功能如果把用户提供的字符串直接拼进文件路径，可能读取到原本不应提供的内容。限制下载范围应依靠明确的文件选择与权限规则，不能只删除几个可疑字符。

访客阶段的会话进入登录状态时，权限边界发生了变化。继续沿用原会话标识可能扩大风险，因此认证成功后应按框架机制更新会话标识，并处理旧标识的有效性。

Google Research于2026年10月5日介绍一份关于Agent隐私与安全的研讨报告。文章从情境完整性出发，讨论Agent应如何结合任务背景判断信息分享和行动是否适当。