网站安全 第2页

网页引用外部脚本或样式时，可以用integrity属性提供预期摘要，让浏览器核对收到的资源。这个机制关注内容是否匹配预期版本，不能替代对该版本代码本身的审查。

脚本地址返回HTTP 200，浏览器却提示MIME类型不匹配时，应检查响应内容和Content-Type。nosniff让浏览器按声明类型处理资源，并对脚本、样式等加载执行相应限制。

Anthropic于2026年10月6日宣布扩展Cyber Verification Program，将相关接入安排整合为三个层级。公告按安全工作的范围设置不同验证要求，不能将模型接入许可理解为对任意系统的测试授权。

普通登录验证需要确认用户输入是否匹配，不需要把原密码重新显示出来。密码存储通常应使用适合密码的单向哈希方案，而不是为了方便找回就保存明文或可逆副本。

CSV里保存的文本，进入电子表格软件后可能被解释为公式。来自用户的昵称、备注等字段，不能因为已经通过CSV格式转义就默认只会按文字显示。

pickle用于序列化Python对象，但加载过程不能视为普通文本解析。Python官方明确提醒，不要反序列化不可信或可能被篡改的pickle数据，因为加载时可能执行代码。

把HTTP请求重定向到HTTPS，与让浏览器记住以后只用HTTPS访问，是不同机制。HSTS通过安全连接返回的响应头传达策略，减少后续访问先走明文HTTP的机会。

给Cookie设置Path，可以影响浏览器在哪些请求路径中发送它，但这不是同一网站不同应用之间的安全隔离方案。不要仅凭两个应用放在不同目录，就认为会话边界已经可靠。

用于密码重置或临时访问的令牌需要难以预测。Python的secrets面向安全用途，普通random主要用于模拟等场景，不能因为输出看起来杂乱就将二者互换。

GitHub于2026年10月13日更新企业托管设置执行规则：管理员可要求受支持客户端启动时取得当前策略。启用后，旧缓存不能代替这次刷新，无法确认策略时会阻止继续使用。