安全策略覆盖认证、授权、审计以及加密。

核心概念

• 使用 SCRAM-SHA-256 认证。
• PG_HBA 控制连接源。
• 行级安全 RLS。

实战步骤

• 启用 TLS 并配置证书。
• 设置审计扩展 (pgaudit)。
• 分离权限，采用 least privilege。

进阶建议

• 与 Vault/KMS 集成管理密钥。
• 使用透明数据加密 (pgcrypto/外部工具)。
• 监控登录失败和异常行为。

安全防护需要从认证、授权、审计多层面落实。

核心概念

• 启用 SCRAM 或 x.509 认证。
• 角色权限模型控制访问。
• 启用 TLS/加密存储。

实战步骤

• 开启 IP 白名单与防火墙。
• 配置审计日志记录敏感操作。
• 定期轮换账户密码与证书。

进阶建议

• 集成 LDAP/AD 实现集中认证。
• 使用 Field Level Encryption 保护敏感字段。
• 监控安全事件并对接 SIEM。

数据库是敏感资产，需要严格权限与审计。

核心概念

• 最小权限原则与角色管理。
• 加密：传输、静态数据、备份。
• 审计与日志追踪用户操作。

实战步骤

• 启用 TLS 加密客户端连接。
• 使用 TDE/表空间加密。
• 配置审计插件记录查询。

进阶建议

• 结合密钥管理系统 (KMS) 管理密钥。
• 引入安全基线检查脚本。
• 定期进行权限审计与回收。

安全从输入校验、配置硬化到运维监控多层面展开。

核心概念

• 防 SQL/XSS：使用参数化查询和输出编码。
• CSRF 防护、Session 管理。
• 依赖安全审计。

实战步骤

• 启用框架自带安全中间件 (csrf_token、escape)。
• 配置 Content Security Policy。
• 使用 Composer audit、roave/security-advisories。

进阶建议

Web 安全涉及框架配置、依赖管理与合规要求。

核心概念

• CSRF、防重放、防注入。
• 依赖安全扫描与虚拟环境隔离。
• 日志审计与合规证据。

实战步骤

• 启用框架自带安全中间件 (Django SecurityMiddleware)。
• 使用 Bandit、Safety 扫描代码与依赖。
• 对敏感配置使用 Secret Manager。

进阶建议

• 实施 WAF 与 API Gateway 多层防护。
• 引入安全基线脚本持续巡检。
• 建立漏洞响应流程与演练。

零信任要求在每个请求上强身份、强授权与审计。

核心概念

• 使用 OAuth2/OIDC 与外部 IdP 集成。
• 资源服务器通过 JWT 验证与 Scope 控制访问。
• Method Security 实现细粒度权限。

实战步骤

• 配置 SecurityFilterChain 定义安全策略。
• 实现自定义的 ReactiveAuthorizationManager。
• 结合 Spring Audit 记录关键操作。

Node.js 生态活跃，同时需要严格的安全治理。

核心概念

• 依赖安全：使用 npm audit、Snyk。
• 输入验证与输出编码防御常见漏洞。
• 安全头与 HTTPS 强制。

实战步骤

• 锁定依赖版本，启用 npm audit fix --force 前审查。
• 使用 helmet、hpp 等中间件防御常见攻击。
• 在管道中集成代码扫描 (Semgrep)。

HTML 层面可通过属性与策略减少安全风险。

核心概念

• sandbox 属性限制 iframe 权限。
• rel=noopener 防止窗口劫持。
• referrerpolicy 控制 Referer 泄露。

实战步骤

• 对第三方内容使用严格的 sandbox。
• 在链接上添加 rel="noopener noreferrer"。
• 通过 integrity 验证外部资源。

Web 安全防护需要从编码、配置与监控三层入手。

核心概念

• XSS 分为反射型、存储型、DOM 型。
• CSP、SRI、Trusted Types 为前端提供防护手段。
• 依赖供应链攻击需通过审计与锁定版本防范。

实战步骤

• 对用户输入进行白名单校验与转义。
• 配置严格的 CSP 并监控 violation 报告。
• 使用 DOMPurify 清理富文本内容。

进阶建议

错误使用正则表达式可能导致性能问题、安全漏洞以及维护成本飙升。本篇列举常见反模式，并给出可行的修复方案。

反模式 1：过度使用 .*

问题：.* 会吞噬所有字符，导致匹配不受控，甚至误伤合法输入。

解决：用精确的字符类替代，例如 [^\s]、[A-Za-z0-9_]；必要时加入非贪婪量词与锚点。

反模式 2：嵌套量词引发回溯

/(\w+)*$/