hao/websafe-kb
1
0
派生 0
代码 工单 合并请求 1 工作流 软件包 项目 发布 百科 活动

kb: expand authorized lab coverage and intel automation

浏览代码
这个提交包含在：
hao
2026-03-16 22:04:51 -07:00
父节点 cda31e86c7
当前提交 d0120fbf10
共修改 592 个文件，包含 29025 行新增和 267 行删除
下载 Patch 文件 下载 Diff 文件 展开所有文件 折叠所有文件

11
05-defense/README.md 普通文件
查看文件

@@ -0,0 +1,11 @@
# 检测、观测与修复演示
> `LAB ONLY` | `非生产安全基线`
本目录保存的是实验网关、检测规则、代码修复演示和观测型配置。这里的内容主要用于：
- 在实验环境中验证修复是否有效
- 观察浏览器与代理层对安全头、限速和日志的影响
- 对比“脆弱配置”和“较安全配置”的行为差异
如果某个配置包含宽松策略、简化规则或演示性拦截，那是为了实验可观察性，不代表生产推荐。

246
05-defense/hardening/nginx-hardening.conf
查看文件

@@ -1,184 +1,76 @@
# Nginx 安全加固配置
# LAB ONLY
# 用途: 授权攻防实验中的实验网关、响应头观测、限速演示和反向代理对照
# 目标范围: 本地实验集群、自有公网测试资产、已授权验证目标
# 风险: 可能影响流量路径、触发告警、改变缓存与安全头表现
# 不适用: 生产安全基线、默认公网部署、未授权第三方站点
## 1. TLS 配置
worker_processes 1;
```nginx
# 仅允许 TLS 1.2 和 1.3
ssl_protocols TLSv1.2 TLSv1.3;
# 强密码套件
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
ssl_prefer_server_ciphers off;
# HSTS
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
# 会话配置
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;
```
## 2. 安全响应头
```nginx
# Content Security Policy
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self'; connect-src 'self'; frame-ancestors 'self';" always;
# 防止点击劫持
add_header X-Frame-Options "SAMEORIGIN" always;
# 防止 MIME 类型嗅探
add_header X-Content-Type-Options "nosniff" always;
# XSS 保护 (已弃用，建议使用 CSP)
add_header X-XSS-Protection "1; mode=block" always;
# Referrer 策略
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
# 权限策略
add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;
```
## 3. 隐藏版本号
```nginx
server_tokens off;
```
## 4. 请求限制
```nginx
# 限制请求体大小
client_max_body_size 10M;
# 限制请求体缓冲
client_body_buffer_size 128k;
# 连接限制
limit_conn_zone $binary_remote_addr zone=conn_limit:10m;
limit_conn conn_limit 100;
# 请求速率限制
limit_req_zone $binary_remote_addr zone=req_limit:10m rate=10r/s;
limit_req zone=req_limit burst=20 nodelay;
```
## 5. 阻止恶意请求
```nginx
# 阻止常见攻击
if ($request_method !~ ^(GET|HEAD|POST)$ ) {
return 405;
events {
worker_connections 1024;
}
# 阻止可疑 User-Agent
if ($http_user_agent ~* (sqlmap|nikto|nmap|masscan|zap|burp|acunetix|nessus)) {
return 403;
}
# 阻止路径遍历
if ($request_uri ~* \.\.) {
return 403;
}
# 阻止 SQL 注入特征
if ($request_uri ~* (union|select|insert|drop|delete|update|script|alert|document\.cookie)) {
return 403;
}
```
## 6. 日志安全
```nginx
# 不记录敏感路径
location ~* ^/(login|admin|api/auth) {
access_log off;
# ... 其他配置
}
# 自定义日志格式 (不包含敏感信息)
log_format secure '$remote_addr - $remote_user [$time_local] "$request_method $scheme://$host$request_uri" $status $body_bytes_sent "$http_referer"';
```
## 7. Cookie 安全
```nginx
# 仅通过 HTTPS 传输
proxy_cookie_path / "/; Secure; HttpOnly; SameSite=Strict";
```
## 8. Host 头校验
```nginx
# 定义允许的域名
server {
listen 80 default_server;
server_name _;
return 444; # 关闭连接
}
server {
listen 443 ssl default_server;
server_name _;
ssl_certificate /path/to/cert.pem;
ssl_certificate_key /path/to/key.pem;
return 444;
}
```
## 9. 完整安全配置示例
```nginx
server {
listen 443 ssl http2;
server_name example.com;
# TLS
ssl_certificate /etc/ssl/certs/server.crt;
ssl_certificate_key /etc/ssl/private/server.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
ssl_prefer_server_ciphers off;
# 安全头
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Content-Security-Policy "default-src 'self'" always;
# 隐藏版本
http {
server_tokens off;
# 限制
client_max_body_size 10M;
limit_req zone=req_limit burst=20 nodelay;
# 应用
location / {
proxy_pass http://backend;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
sendfile on;
limit_conn_zone $binary_remote_addr zone=lab_conn_limit:10m;
limit_req_zone $binary_remote_addr zone=lab_req_limit:10m rate=10r/s;
upstream lab_backend {
server 127.0.0.1:9001;
}
log_format lab_trace
'$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent"';
access_log logs/access.log lab_trace;
error_log logs/error.log warn;
server {
listen 8088;
server_name lab-gateway.local;
# 实验用途: 便于观察头部、缓存和浏览器保护行为。
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;
# 注意:
# 下面的 CSP 仅用于实验演示，故意保留了较宽松的脚本执行能力，
# 便于复现 XSS、CSP 绕过和前端资源加载差异。
# 这不是生产推荐策略。
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; connect-src 'self' https:; frame-ancestors 'self';" always;
client_max_body_size 10M;
client_body_buffer_size 128k;
limit_conn lab_conn_limit 50;
limit_req zone=lab_req_limit burst=20 nodelay;
# 实验用途: 便于观察代理层对异常方法和扫描器指纹的处理。
# 这些规则仅用于教学和日志对照，不是生产推荐的主要防护手段。
if ($request_method !~ ^(GET|HEAD|POST)$) {
return 405;
}
if ($http_user_agent ~* (sqlmap|nikto|nmap|masscan|zap|burp|acunetix|nessus)) {
return 403;
}
if ($request_uri ~* \.\.) {
return 403;
}
location / {
proxy_pass http://lab_backend;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
}
# HTTP 重定向到 HTTPS
server {
listen 80;
server_name example.com;
return 301 https://$server_name$request_uri;
}
# 阻止非法 Host
server {
listen 80 default_server;
listen 443 ssl default_server;
server_name _;
ssl_certificate /etc/ssl/certs/server.crt;
ssl_certificate_key /etc/ssl/private/server.key;
return 444;
}
```

15
05-defense/secure-code/INDEX.md 普通文件
查看文件

@@ -0,0 +1,15 @@
# 安全编码修复库
> `LAB ONLY` | 修复主题用于把实验发现映射回代码整改，不代表默认生产基线。
- 语言范围: `javascript-typescript`, `nodejs`, `java`, `php`, `python`, `ruby`, `csharp`, `go`
- 主题范围: 输出编码、DOM sink、CSP / Trusted Types、令牌存储、鉴权复核、SSRF、走私边界、路径穿越、文件上传、插件信任、依赖升级、代理信任、反序列化、模板注入。
- [javascript-typescript](/Users/x/websafe/05-defense/secure-code/javascript-typescript/README.md)
- [nodejs](/Users/x/websafe/05-defense/secure-code/nodejs/README.md)
- [java](/Users/x/websafe/05-defense/secure-code/java/README.md)
- [php](/Users/x/websafe/05-defense/secure-code/php/README.md)
- [python](/Users/x/websafe/05-defense/secure-code/python/README.md)
- [ruby](/Users/x/websafe/05-defense/secure-code/ruby/README.md)
- [csharp](/Users/x/websafe/05-defense/secure-code/csharp/README.md)
- [go](/Users/x/websafe/05-defense/secure-code/go/README.md)

15
05-defense/secure-code/README.md 普通文件
查看文件

@@ -0,0 +1,15 @@
# 安全编码修复库
> `LAB ONLY` | 修复主题用于把实验发现映射回代码整改，不代表默认生产基线。
- 语言范围: `javascript-typescript`, `nodejs`, `java`, `php`, `python`, `ruby`, `csharp`, `go`
- 主题范围: 输出编码、DOM sink、CSP / Trusted Types、令牌存储、鉴权复核、SSRF、走私边界、路径穿越、文件上传、插件信任、依赖升级、代理信任、反序列化、模板注入。
- [javascript-typescript](/Users/x/websafe/05-defense/secure-code/javascript-typescript/README.md)
- [nodejs](/Users/x/websafe/05-defense/secure-code/nodejs/README.md)
- [java](/Users/x/websafe/05-defense/secure-code/java/README.md)
- [php](/Users/x/websafe/05-defense/secure-code/php/README.md)
- [python](/Users/x/websafe/05-defense/secure-code/python/README.md)
- [ruby](/Users/x/websafe/05-defense/secure-code/ruby/README.md)
- [csharp](/Users/x/websafe/05-defense/secure-code/csharp/README.md)
- [go](/Users/x/websafe/05-defense/secure-code/go/README.md)

20
05-defense/secure-code/csharp/INDEX.md 普通文件
查看文件

@@ -0,0 +1,20 @@
# csharp
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/csharp/xss-output-encoding.md) - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/csharp/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/csharp/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/csharp/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/csharp/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/csharp/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/csharp/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/csharp/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/csharp/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/csharp/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/csharp/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/csharp/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/csharp/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/csharp/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

20
05-defense/secure-code/csharp/README.md 普通文件
查看文件

@@ -0,0 +1,20 @@
# csharp
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/csharp/xss-output-encoding.md) - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/csharp/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/csharp/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/csharp/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/csharp/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/csharp/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/csharp/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/csharp/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/csharp/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/csharp/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/csharp/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/csharp/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/csharp/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/csharp/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

67
05-defense/secure-code/csharp/authz-server-side-recheck.md 普通文件
查看文件

@@ -0,0 +1,67 @@
# authz-server-side-recheck
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `authz-server-side-recheck`
- 说明: 前置代理或 middleware 不能替代服务端最终鉴权。
- 典型场景: 适用于代理层放行、路由守卫和后端最终授权重新确认。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Apache Tomcat
- Astro
- Directus
- Discourse
- Drupal
- Ghost
- GitLab CE
- Gitea
- Grafana
- Jenkins
- Kibana
- Laravel
- Magento Open Source
- Mattermost
- MediaWiki
- Medusa
- Moodle
- NestJS
- Next.js
- Nuxt
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Ruby on Rails
- Saleor
- Shopware
- Spring Boot
- Spring Framework
- Spring Security
- Strapi
- SvelteKit
- Symfony
- WooCommerce
- phpMyAdmin

34
05-defense/secure-code/csharp/csp-trusted-types.md 普通文件
查看文件

@@ -0,0 +1,34 @@
# csp-trusted-types
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `csp-trusted-types`
- 说明: 用 CSP 和 Trusted Types 缩小前端执行面。
- 典型场景: 适用于高风险前端应用、管理端和需要限制脚本执行面的页面。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Astro
- Nginx
- React
- Vue

33
05-defense/secure-code/csharp/dependency-upgrade-policy.md 普通文件
查看文件

@@ -0,0 +1,33 @@
# dependency-upgrade-policy
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `dependency-upgrade-policy`
- 说明: 用自动化升级、锁版本和审查策略降低供应链风险。
- 典型场景: 适用于 lockfile、SBOM、CI 审查和供应链更新节奏治理。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Node.js
- Vite
- esbuild
- webpack

32
05-defense/secure-code/csharp/deserialization-safety.md 普通文件
查看文件

@@ -0,0 +1,32 @@
# deserialization-safety
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `deserialization-safety`
- 说明: 避免对不可信数据做危险反序列化。
- 典型场景: 适用于缓存、任务队列、对象恢复和跨服务消息传递。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- GitLab CE
- Jenkins
- Spring Framework

30
05-defense/secure-code/csharp/dom-sink-hardening.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# dom-sink-hardening
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `dom-sink-hardening`
- 说明: 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- 典型场景: 适用于前端模板拼接、Markdown 渲染器和富文本预览逻辑。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- React

48
05-defense/secure-code/csharp/file-upload-validation.md 普通文件
查看文件

@@ -0,0 +1,48 @@
# file-upload-validation
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `file-upload-validation`
- 说明: 校验文件类型、名称、存储位置和执行权限。
- 典型场景: 适用于媒体上传、插件安装、主题导入和日志附件接收。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adobe Commerce
- Directus
- Django
- Drupal
- Joomla
- Laravel
- Magento Open Source
- MediaWiki
- Moodle
- OpenCart
- PrestaShop
- Ruby on Rails
- Shopware
- Strapi
- Vite
- WordPress
- esbuild
- webpack

36
05-defense/secure-code/csharp/path-traversal-guard.md 普通文件
查看文件

@@ -0,0 +1,36 @@
# path-traversal-guard
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `path-traversal-guard`
- 说明: 标准化路径并限制访问根目录。
- 典型场景: 适用于下载、导入、附件预览和主题/模板读取路径。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Django
- Joomla
- Spring Framework
- Symfony
- phpMyAdmin

43
05-defense/secure-code/csharp/plugin-extension-trust-policy.md 普通文件
查看文件

@@ -0,0 +1,43 @@
# plugin-extension-trust-policy
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `plugin-extension-trust-policy`
- 说明: 限制第三方插件、模块和主题的信任边界。
- 典型场景: 适用于插件市场、主题仓库、第三方扩展和模块化系统。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Adobe Commerce
- Discourse
- Drupal
- Grafana
- Jenkins
- Joomla
- Magento Open Source
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Shopware
- WooCommerce
- WordPress

49
05-defense/secure-code/csharp/proxy-trust-boundary.md 普通文件
查看文件

@@ -0,0 +1,49 @@
# proxy-trust-boundary
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `proxy-trust-boundary`
- 说明: 只信任明确代理并限制头部透传。
- 典型场景: 适用于真实 IP 透传、认证头转发和反向代理旁路风险。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Caddy
- Echo
- Express
- Fastify
- Gin
- Gitea
- HAProxy
- Hapi
- Kibana
- Koa
- Next.js
- Nginx
- Nuxt
- Spring Boot
- Spring Security
- Traefik
- Undici
- Vite
- Werkzeug

37
05-defense/secure-code/csharp/request-smuggling-boundary.md 普通文件
查看文件

@@ -0,0 +1,37 @@
# request-smuggling-boundary
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `request-smuggling-boundary`
- 说明: 统一代理层和应用层的请求边界解释。
- 典型场景: 适用于代理链、WAF、CDN 和应用服务器之间的请求解析边界。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Caddy
- HAProxy
- Nginx
- Node.js
- Traefik
- Werkzeug

36
05-defense/secure-code/csharp/ssrf-url-validation.md 普通文件
查看文件

@@ -0,0 +1,36 @@
# ssrf-url-validation
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `ssrf-url-validation`
- 说明: 对 URL、协议、IP 和重定向做 allowlist 校验。
- 典型场景: 适用于 webhook、URL 导入、远程图片抓取和插件联动调用。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Express
- Fastify
- Flask
- Koa
- NestJS
- Node.js
- Undici

31
05-defense/secure-code/csharp/template-injection-guard.md 普通文件
查看文件

@@ -0,0 +1,31 @@
# template-injection-guard
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `template-injection-guard`
- 说明: 模板上下文中禁用危险表达式执行。
- 典型场景: 适用于 SSR、模板引擎、邮件渲染和后台自定义视图。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Vue

46
05-defense/secure-code/csharp/token-cookie-storage.md 普通文件
查看文件

@@ -0,0 +1,46 @@
# token-cookie-storage
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `token-cookie-storage`
- 说明: 避免把敏感令牌长期暴露在可读浏览器存储中。
- 典型场景: 适用于浏览器端会话、管理接口令牌和单页应用认证态。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Directus
- Echo
- Flask
- Ghost
- GitLab CE
- Gitea
- Hapi
- Mattermost
- Medusa
- NestJS
- Next.js
- Nuxt
- Saleor
- Spring Security
- Strapi
- SvelteKit
- WordPress

56
05-defense/secure-code/csharp/xss-output-encoding.md 普通文件
查看文件

@@ -0,0 +1,56 @@
# xss-output-encoding
> `LAB ONLY` | 修复主题页
- 语言: `csharp`
- 主题: `xss-output-encoding`
- 说明: 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- 典型场景: 适用于模板输出、服务端渲染片段和后台管理界面回显场景。
## 脆弱示例
```cs
return Content($"<div>{value}</div>", "text/html");
```
## 更安全的写法
```cs
return Content($"<div>{HtmlEncoder.Default.Encode(value)}</div>", "text/html");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Angular
- Discourse
- Django
- Drupal
- Express
- Fastify
- Flask
- Ghost
- Gin
- Grafana
- Joomla
- Kibana
- Laravel
- Mattermost
- MediaWiki
- Moodle
- React
- Redmine
- Ruby on Rails
- Symfony
- Vue
- WooCommerce
- WordPress
- phpMyAdmin

20
05-defense/secure-code/go/INDEX.md 普通文件
查看文件

@@ -0,0 +1,20 @@
# go
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/go/xss-output-encoding.md) - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/go/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/go/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/go/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/go/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/go/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/go/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/go/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/go/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/go/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/go/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/go/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/go/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/go/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

20
05-defense/secure-code/go/README.md 普通文件
查看文件

@@ -0,0 +1,20 @@
# go
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/go/xss-output-encoding.md) - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/go/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/go/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/go/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/go/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/go/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/go/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/go/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/go/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/go/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/go/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/go/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/go/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/go/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

67
05-defense/secure-code/go/authz-server-side-recheck.md 普通文件
查看文件

@@ -0,0 +1,67 @@
# authz-server-side-recheck
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `authz-server-side-recheck`
- 说明: 前置代理或 middleware 不能替代服务端最终鉴权。
- 典型场景: 适用于代理层放行、路由守卫和后端最终授权重新确认。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Apache Tomcat
- Astro
- Directus
- Discourse
- Drupal
- Ghost
- GitLab CE
- Gitea
- Grafana
- Jenkins
- Kibana
- Laravel
- Magento Open Source
- Mattermost
- MediaWiki
- Medusa
- Moodle
- NestJS
- Next.js
- Nuxt
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Ruby on Rails
- Saleor
- Shopware
- Spring Boot
- Spring Framework
- Spring Security
- Strapi
- SvelteKit
- Symfony
- WooCommerce
- phpMyAdmin

34
05-defense/secure-code/go/csp-trusted-types.md 普通文件
查看文件

@@ -0,0 +1,34 @@
# csp-trusted-types
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `csp-trusted-types`
- 说明: 用 CSP 和 Trusted Types 缩小前端执行面。
- 典型场景: 适用于高风险前端应用、管理端和需要限制脚本执行面的页面。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Astro
- Nginx
- React
- Vue

33
05-defense/secure-code/go/dependency-upgrade-policy.md 普通文件
查看文件

@@ -0,0 +1,33 @@
# dependency-upgrade-policy
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `dependency-upgrade-policy`
- 说明: 用自动化升级、锁版本和审查策略降低供应链风险。
- 典型场景: 适用于 lockfile、SBOM、CI 审查和供应链更新节奏治理。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Node.js
- Vite
- esbuild
- webpack

32
05-defense/secure-code/go/deserialization-safety.md 普通文件
查看文件

@@ -0,0 +1,32 @@
# deserialization-safety
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `deserialization-safety`
- 说明: 避免对不可信数据做危险反序列化。
- 典型场景: 适用于缓存、任务队列、对象恢复和跨服务消息传递。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- GitLab CE
- Jenkins
- Spring Framework

30
05-defense/secure-code/go/dom-sink-hardening.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# dom-sink-hardening
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `dom-sink-hardening`
- 说明: 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- 典型场景: 适用于前端模板拼接、Markdown 渲染器和富文本预览逻辑。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- React

48
05-defense/secure-code/go/file-upload-validation.md 普通文件
查看文件

@@ -0,0 +1,48 @@
# file-upload-validation
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `file-upload-validation`
- 说明: 校验文件类型、名称、存储位置和执行权限。
- 典型场景: 适用于媒体上传、插件安装、主题导入和日志附件接收。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adobe Commerce
- Directus
- Django
- Drupal
- Joomla
- Laravel
- Magento Open Source
- MediaWiki
- Moodle
- OpenCart
- PrestaShop
- Ruby on Rails
- Shopware
- Strapi
- Vite
- WordPress
- esbuild
- webpack

36
05-defense/secure-code/go/path-traversal-guard.md 普通文件
查看文件

@@ -0,0 +1,36 @@
# path-traversal-guard
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `path-traversal-guard`
- 说明: 标准化路径并限制访问根目录。
- 典型场景: 适用于下载、导入、附件预览和主题/模板读取路径。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Django
- Joomla
- Spring Framework
- Symfony
- phpMyAdmin

43
05-defense/secure-code/go/plugin-extension-trust-policy.md 普通文件
查看文件

@@ -0,0 +1,43 @@
# plugin-extension-trust-policy
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `plugin-extension-trust-policy`
- 说明: 限制第三方插件、模块和主题的信任边界。
- 典型场景: 适用于插件市场、主题仓库、第三方扩展和模块化系统。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Adobe Commerce
- Discourse
- Drupal
- Grafana
- Jenkins
- Joomla
- Magento Open Source
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Shopware
- WooCommerce
- WordPress

49
05-defense/secure-code/go/proxy-trust-boundary.md 普通文件
查看文件

@@ -0,0 +1,49 @@
# proxy-trust-boundary
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `proxy-trust-boundary`
- 说明: 只信任明确代理并限制头部透传。
- 典型场景: 适用于真实 IP 透传、认证头转发和反向代理旁路风险。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Caddy
- Echo
- Express
- Fastify
- Gin
- Gitea
- HAProxy
- Hapi
- Kibana
- Koa
- Next.js
- Nginx
- Nuxt
- Spring Boot
- Spring Security
- Traefik
- Undici
- Vite
- Werkzeug

37
05-defense/secure-code/go/request-smuggling-boundary.md 普通文件
查看文件

@@ -0,0 +1,37 @@
# request-smuggling-boundary
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `request-smuggling-boundary`
- 说明: 统一代理层和应用层的请求边界解释。
- 典型场景: 适用于代理链、WAF、CDN 和应用服务器之间的请求解析边界。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Caddy
- HAProxy
- Nginx
- Node.js
- Traefik
- Werkzeug

36
05-defense/secure-code/go/ssrf-url-validation.md 普通文件
查看文件

@@ -0,0 +1,36 @@
# ssrf-url-validation
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `ssrf-url-validation`
- 说明: 对 URL、协议、IP 和重定向做 allowlist 校验。
- 典型场景: 适用于 webhook、URL 导入、远程图片抓取和插件联动调用。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Express
- Fastify
- Flask
- Koa
- NestJS
- Node.js
- Undici

31
05-defense/secure-code/go/template-injection-guard.md 普通文件
查看文件

@@ -0,0 +1,31 @@
# template-injection-guard
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `template-injection-guard`
- 说明: 模板上下文中禁用危险表达式执行。
- 典型场景: 适用于 SSR、模板引擎、邮件渲染和后台自定义视图。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Vue

46
05-defense/secure-code/go/token-cookie-storage.md 普通文件
查看文件

@@ -0,0 +1,46 @@
# token-cookie-storage
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `token-cookie-storage`
- 说明: 避免把敏感令牌长期暴露在可读浏览器存储中。
- 典型场景: 适用于浏览器端会话、管理接口令牌和单页应用认证态。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Directus
- Echo
- Flask
- Ghost
- GitLab CE
- Gitea
- Hapi
- Mattermost
- Medusa
- NestJS
- Next.js
- Nuxt
- Saleor
- Spring Security
- Strapi
- SvelteKit
- WordPress

56
05-defense/secure-code/go/xss-output-encoding.md 普通文件
查看文件

@@ -0,0 +1,56 @@
# xss-output-encoding
> `LAB ONLY` | 修复主题页
- 语言: `go`
- 主题: `xss-output-encoding`
- 说明: 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- 典型场景: 适用于模板输出、服务端渲染片段和后台管理界面回显场景。
## 脆弱示例
```go
fmt.Fprintf(w, "<div>%s</div>", value)
```
## 更安全的写法
```go
template.HTMLEscape(w, []byte(value))
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Angular
- Discourse
- Django
- Drupal
- Express
- Fastify
- Flask
- Ghost
- Gin
- Grafana
- Joomla
- Kibana
- Laravel
- Mattermost
- MediaWiki
- Moodle
- React
- Redmine
- Ruby on Rails
- Symfony
- Vue
- WooCommerce
- WordPress
- phpMyAdmin

20
05-defense/secure-code/java/INDEX.md 普通文件
查看文件

@@ -0,0 +1,20 @@
# java
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/java/xss-output-encoding.md) - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/java/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/java/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/java/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/java/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/java/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/java/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/java/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/java/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/java/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/java/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/java/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/java/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/java/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

20
05-defense/secure-code/java/README.md 普通文件
查看文件

@@ -0,0 +1,20 @@
# java
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/java/xss-output-encoding.md) - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/java/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/java/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/java/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/java/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/java/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/java/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/java/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/java/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/java/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/java/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/java/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/java/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/java/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

67
05-defense/secure-code/java/authz-server-side-recheck.md 普通文件
查看文件

@@ -0,0 +1,67 @@
# authz-server-side-recheck
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `authz-server-side-recheck`
- 说明: 前置代理或 middleware 不能替代服务端最终鉴权。
- 典型场景: 适用于代理层放行、路由守卫和后端最终授权重新确认。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Apache Tomcat
- Astro
- Directus
- Discourse
- Drupal
- Ghost
- GitLab CE
- Gitea
- Grafana
- Jenkins
- Kibana
- Laravel
- Magento Open Source
- Mattermost
- MediaWiki
- Medusa
- Moodle
- NestJS
- Next.js
- Nuxt
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Ruby on Rails
- Saleor
- Shopware
- Spring Boot
- Spring Framework
- Spring Security
- Strapi
- SvelteKit
- Symfony
- WooCommerce
- phpMyAdmin

34
05-defense/secure-code/java/csp-trusted-types.md 普通文件
查看文件

@@ -0,0 +1,34 @@
# csp-trusted-types
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `csp-trusted-types`
- 说明: 用 CSP 和 Trusted Types 缩小前端执行面。
- 典型场景: 适用于高风险前端应用、管理端和需要限制脚本执行面的页面。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Astro
- Nginx
- React
- Vue

33
05-defense/secure-code/java/dependency-upgrade-policy.md 普通文件
查看文件

@@ -0,0 +1,33 @@
# dependency-upgrade-policy
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `dependency-upgrade-policy`
- 说明: 用自动化升级、锁版本和审查策略降低供应链风险。
- 典型场景: 适用于 lockfile、SBOM、CI 审查和供应链更新节奏治理。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Node.js
- Vite
- esbuild
- webpack

32
05-defense/secure-code/java/deserialization-safety.md 普通文件
查看文件

@@ -0,0 +1,32 @@
# deserialization-safety
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `deserialization-safety`
- 说明: 避免对不可信数据做危险反序列化。
- 典型场景: 适用于缓存、任务队列、对象恢复和跨服务消息传递。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- GitLab CE
- Jenkins
- Spring Framework

30
05-defense/secure-code/java/dom-sink-hardening.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# dom-sink-hardening
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `dom-sink-hardening`
- 说明: 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- 典型场景: 适用于前端模板拼接、Markdown 渲染器和富文本预览逻辑。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- React

48
05-defense/secure-code/java/file-upload-validation.md 普通文件
查看文件

@@ -0,0 +1,48 @@
# file-upload-validation
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `file-upload-validation`
- 说明: 校验文件类型、名称、存储位置和执行权限。
- 典型场景: 适用于媒体上传、插件安装、主题导入和日志附件接收。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adobe Commerce
- Directus
- Django
- Drupal
- Joomla
- Laravel
- Magento Open Source
- MediaWiki
- Moodle
- OpenCart
- PrestaShop
- Ruby on Rails
- Shopware
- Strapi
- Vite
- WordPress
- esbuild
- webpack

36
05-defense/secure-code/java/path-traversal-guard.md 普通文件
查看文件

@@ -0,0 +1,36 @@
# path-traversal-guard
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `path-traversal-guard`
- 说明: 标准化路径并限制访问根目录。
- 典型场景: 适用于下载、导入、附件预览和主题/模板读取路径。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Django
- Joomla
- Spring Framework
- Symfony
- phpMyAdmin

43
05-defense/secure-code/java/plugin-extension-trust-policy.md 普通文件
查看文件

@@ -0,0 +1,43 @@
# plugin-extension-trust-policy
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `plugin-extension-trust-policy`
- 说明: 限制第三方插件、模块和主题的信任边界。
- 典型场景: 适用于插件市场、主题仓库、第三方扩展和模块化系统。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Adobe Commerce
- Discourse
- Drupal
- Grafana
- Jenkins
- Joomla
- Magento Open Source
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Shopware
- WooCommerce
- WordPress

49
05-defense/secure-code/java/proxy-trust-boundary.md 普通文件
查看文件

@@ -0,0 +1,49 @@
# proxy-trust-boundary
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `proxy-trust-boundary`
- 说明: 只信任明确代理并限制头部透传。
- 典型场景: 适用于真实 IP 透传、认证头转发和反向代理旁路风险。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Caddy
- Echo
- Express
- Fastify
- Gin
- Gitea
- HAProxy
- Hapi
- Kibana
- Koa
- Next.js
- Nginx
- Nuxt
- Spring Boot
- Spring Security
- Traefik
- Undici
- Vite
- Werkzeug

37
05-defense/secure-code/java/request-smuggling-boundary.md 普通文件
查看文件

@@ -0,0 +1,37 @@
# request-smuggling-boundary
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `request-smuggling-boundary`
- 说明: 统一代理层和应用层的请求边界解释。
- 典型场景: 适用于代理链、WAF、CDN 和应用服务器之间的请求解析边界。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Caddy
- HAProxy
- Nginx
- Node.js
- Traefik
- Werkzeug

36
05-defense/secure-code/java/ssrf-url-validation.md 普通文件
查看文件

@@ -0,0 +1,36 @@
# ssrf-url-validation
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `ssrf-url-validation`
- 说明: 对 URL、协议、IP 和重定向做 allowlist 校验。
- 典型场景: 适用于 webhook、URL 导入、远程图片抓取和插件联动调用。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Express
- Fastify
- Flask
- Koa
- NestJS
- Node.js
- Undici

31
05-defense/secure-code/java/template-injection-guard.md 普通文件
查看文件

@@ -0,0 +1,31 @@
# template-injection-guard
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `template-injection-guard`
- 说明: 模板上下文中禁用危险表达式执行。
- 典型场景: 适用于 SSR、模板引擎、邮件渲染和后台自定义视图。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Vue

46
05-defense/secure-code/java/token-cookie-storage.md 普通文件
查看文件

@@ -0,0 +1,46 @@
# token-cookie-storage
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `token-cookie-storage`
- 说明: 避免把敏感令牌长期暴露在可读浏览器存储中。
- 典型场景: 适用于浏览器端会话、管理接口令牌和单页应用认证态。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Directus
- Echo
- Flask
- Ghost
- GitLab CE
- Gitea
- Hapi
- Mattermost
- Medusa
- NestJS
- Next.js
- Nuxt
- Saleor
- Spring Security
- Strapi
- SvelteKit
- WordPress

56
05-defense/secure-code/java/xss-output-encoding.md 普通文件
查看文件

@@ -0,0 +1,56 @@
# xss-output-encoding
> `LAB ONLY` | 修复主题页
- 语言: `java`
- 主题: `xss-output-encoding`
- 说明: 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- 典型场景: 适用于模板输出、服务端渲染片段和后台管理界面回显场景。
## 脆弱示例
```java
response.getWriter().write("<div>" + value + "</div>");
```
## 更安全的写法
```java
response.getWriter().write("<div>" + HtmlUtils.htmlEscape(value) + "</div>");
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Angular
- Discourse
- Django
- Drupal
- Express
- Fastify
- Flask
- Ghost
- Gin
- Grafana
- Joomla
- Kibana
- Laravel
- Mattermost
- MediaWiki
- Moodle
- React
- Redmine
- Ruby on Rails
- Symfony
- Vue
- WooCommerce
- WordPress
- phpMyAdmin

20
05-defense/secure-code/javascript-typescript/INDEX.md 普通文件
查看文件

@@ -0,0 +1,20 @@
# javascript-typescript
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/javascript-typescript/xss-output-encoding.md) - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/javascript-typescript/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/javascript-typescript/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/javascript-typescript/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/javascript-typescript/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/javascript-typescript/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/javascript-typescript/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/javascript-typescript/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/javascript-typescript/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/javascript-typescript/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/javascript-typescript/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/javascript-typescript/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/javascript-typescript/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/javascript-typescript/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

20
05-defense/secure-code/javascript-typescript/README.md 普通文件
查看文件

@@ -0,0 +1,20 @@
# javascript-typescript
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/javascript-typescript/xss-output-encoding.md) - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/javascript-typescript/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/javascript-typescript/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/javascript-typescript/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/javascript-typescript/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/javascript-typescript/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/javascript-typescript/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/javascript-typescript/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/javascript-typescript/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/javascript-typescript/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/javascript-typescript/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/javascript-typescript/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/javascript-typescript/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/javascript-typescript/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

67
05-defense/secure-code/javascript-typescript/authz-server-side-recheck.md 普通文件
查看文件

@@ -0,0 +1,67 @@
# authz-server-side-recheck
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `authz-server-side-recheck`
- 说明: 前置代理或 middleware 不能替代服务端最终鉴权。
- 典型场景: 适用于代理层放行、路由守卫和后端最终授权重新确认。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Apache Tomcat
- Astro
- Directus
- Discourse
- Drupal
- Ghost
- GitLab CE
- Gitea
- Grafana
- Jenkins
- Kibana
- Laravel
- Magento Open Source
- Mattermost
- MediaWiki
- Medusa
- Moodle
- NestJS
- Next.js
- Nuxt
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Ruby on Rails
- Saleor
- Shopware
- Spring Boot
- Spring Framework
- Spring Security
- Strapi
- SvelteKit
- Symfony
- WooCommerce
- phpMyAdmin

34
05-defense/secure-code/javascript-typescript/csp-trusted-types.md 普通文件
查看文件

@@ -0,0 +1,34 @@
# csp-trusted-types
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `csp-trusted-types`
- 说明: 用 CSP 和 Trusted Types 缩小前端执行面。
- 典型场景: 适用于高风险前端应用、管理端和需要限制脚本执行面的页面。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Astro
- Nginx
- React
- Vue

33
05-defense/secure-code/javascript-typescript/dependency-upgrade-policy.md 普通文件
查看文件

@@ -0,0 +1,33 @@
# dependency-upgrade-policy
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `dependency-upgrade-policy`
- 说明: 用自动化升级、锁版本和审查策略降低供应链风险。
- 典型场景: 适用于 lockfile、SBOM、CI 审查和供应链更新节奏治理。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Node.js
- Vite
- esbuild
- webpack

32
05-defense/secure-code/javascript-typescript/deserialization-safety.md 普通文件
查看文件

@@ -0,0 +1,32 @@
# deserialization-safety
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `deserialization-safety`
- 说明: 避免对不可信数据做危险反序列化。
- 典型场景: 适用于缓存、任务队列、对象恢复和跨服务消息传递。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- GitLab CE
- Jenkins
- Spring Framework

30
05-defense/secure-code/javascript-typescript/dom-sink-hardening.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# dom-sink-hardening
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `dom-sink-hardening`
- 说明: 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- 典型场景: 适用于前端模板拼接、Markdown 渲染器和富文本预览逻辑。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- React

48
05-defense/secure-code/javascript-typescript/file-upload-validation.md 普通文件
查看文件

@@ -0,0 +1,48 @@
# file-upload-validation
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `file-upload-validation`
- 说明: 校验文件类型、名称、存储位置和执行权限。
- 典型场景: 适用于媒体上传、插件安装、主题导入和日志附件接收。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adobe Commerce
- Directus
- Django
- Drupal
- Joomla
- Laravel
- Magento Open Source
- MediaWiki
- Moodle
- OpenCart
- PrestaShop
- Ruby on Rails
- Shopware
- Strapi
- Vite
- WordPress
- esbuild
- webpack

36
05-defense/secure-code/javascript-typescript/path-traversal-guard.md 普通文件
查看文件

@@ -0,0 +1,36 @@
# path-traversal-guard
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `path-traversal-guard`
- 说明: 标准化路径并限制访问根目录。
- 典型场景: 适用于下载、导入、附件预览和主题/模板读取路径。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Django
- Joomla
- Spring Framework
- Symfony
- phpMyAdmin

43
05-defense/secure-code/javascript-typescript/plugin-extension-trust-policy.md 普通文件
查看文件

@@ -0,0 +1,43 @@
# plugin-extension-trust-policy
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `plugin-extension-trust-policy`
- 说明: 限制第三方插件、模块和主题的信任边界。
- 典型场景: 适用于插件市场、主题仓库、第三方扩展和模块化系统。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Adobe Commerce
- Discourse
- Drupal
- Grafana
- Jenkins
- Joomla
- Magento Open Source
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Shopware
- WooCommerce
- WordPress

49
05-defense/secure-code/javascript-typescript/proxy-trust-boundary.md 普通文件
查看文件

@@ -0,0 +1,49 @@
# proxy-trust-boundary
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `proxy-trust-boundary`
- 说明: 只信任明确代理并限制头部透传。
- 典型场景: 适用于真实 IP 透传、认证头转发和反向代理旁路风险。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Caddy
- Echo
- Express
- Fastify
- Gin
- Gitea
- HAProxy
- Hapi
- Kibana
- Koa
- Next.js
- Nginx
- Nuxt
- Spring Boot
- Spring Security
- Traefik
- Undici
- Vite
- Werkzeug

37
05-defense/secure-code/javascript-typescript/request-smuggling-boundary.md 普通文件
查看文件

@@ -0,0 +1,37 @@
# request-smuggling-boundary
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `request-smuggling-boundary`
- 说明: 统一代理层和应用层的请求边界解释。
- 典型场景: 适用于代理链、WAF、CDN 和应用服务器之间的请求解析边界。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Caddy
- HAProxy
- Nginx
- Node.js
- Traefik
- Werkzeug

36
05-defense/secure-code/javascript-typescript/ssrf-url-validation.md 普通文件
查看文件

@@ -0,0 +1,36 @@
# ssrf-url-validation
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `ssrf-url-validation`
- 说明: 对 URL、协议、IP 和重定向做 allowlist 校验。
- 典型场景: 适用于 webhook、URL 导入、远程图片抓取和插件联动调用。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Express
- Fastify
- Flask
- Koa
- NestJS
- Node.js
- Undici

31
05-defense/secure-code/javascript-typescript/template-injection-guard.md 普通文件
查看文件

@@ -0,0 +1,31 @@
# template-injection-guard
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `template-injection-guard`
- 说明: 模板上下文中禁用危险表达式执行。
- 典型场景: 适用于 SSR、模板引擎、邮件渲染和后台自定义视图。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Vue

46
05-defense/secure-code/javascript-typescript/token-cookie-storage.md 普通文件
查看文件

@@ -0,0 +1,46 @@
# token-cookie-storage
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `token-cookie-storage`
- 说明: 避免把敏感令牌长期暴露在可读浏览器存储中。
- 典型场景: 适用于浏览器端会话、管理接口令牌和单页应用认证态。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Directus
- Echo
- Flask
- Ghost
- GitLab CE
- Gitea
- Hapi
- Mattermost
- Medusa
- NestJS
- Next.js
- Nuxt
- Saleor
- Spring Security
- Strapi
- SvelteKit
- WordPress

56
05-defense/secure-code/javascript-typescript/xss-output-encoding.md 普通文件
查看文件

@@ -0,0 +1,56 @@
# xss-output-encoding
> `LAB ONLY` | 修复主题页
- 语言: `javascript-typescript`
- 主题: `xss-output-encoding`
- 说明: 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- 典型场景: 适用于模板输出、服务端渲染片段和后台管理界面回显场景。
## 脆弱示例
```ts
const output = `<div>${userInput}</div>`;
```
## 更安全的写法
```ts
const output = `<div>${escapeHtml(userInput)}</div>`;
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Angular
- Discourse
- Django
- Drupal
- Express
- Fastify
- Flask
- Ghost
- Gin
- Grafana
- Joomla
- Kibana
- Laravel
- Mattermost
- MediaWiki
- Moodle
- React
- Redmine
- Ruby on Rails
- Symfony
- Vue
- WooCommerce
- WordPress
- phpMyAdmin

20
05-defense/secure-code/nodejs/INDEX.md 普通文件
查看文件

@@ -0,0 +1,20 @@
# nodejs
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/nodejs/xss-output-encoding.md) - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/nodejs/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/nodejs/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/nodejs/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/nodejs/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/nodejs/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/nodejs/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/nodejs/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/nodejs/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/nodejs/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/nodejs/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/nodejs/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/nodejs/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/nodejs/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

20
05-defense/secure-code/nodejs/README.md 普通文件
查看文件

@@ -0,0 +1,20 @@
# nodejs
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/nodejs/xss-output-encoding.md) - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/nodejs/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/nodejs/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/nodejs/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/nodejs/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/nodejs/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/nodejs/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/nodejs/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/nodejs/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/nodejs/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/nodejs/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/nodejs/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/nodejs/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/nodejs/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

67
05-defense/secure-code/nodejs/authz-server-side-recheck.md 普通文件
查看文件

@@ -0,0 +1,67 @@
# authz-server-side-recheck
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `authz-server-side-recheck`
- 说明: 前置代理或 middleware 不能替代服务端最终鉴权。
- 典型场景: 适用于代理层放行、路由守卫和后端最终授权重新确认。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Apache Tomcat
- Astro
- Directus
- Discourse
- Drupal
- Ghost
- GitLab CE
- Gitea
- Grafana
- Jenkins
- Kibana
- Laravel
- Magento Open Source
- Mattermost
- MediaWiki
- Medusa
- Moodle
- NestJS
- Next.js
- Nuxt
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Ruby on Rails
- Saleor
- Shopware
- Spring Boot
- Spring Framework
- Spring Security
- Strapi
- SvelteKit
- Symfony
- WooCommerce
- phpMyAdmin

34
05-defense/secure-code/nodejs/csp-trusted-types.md 普通文件
查看文件

@@ -0,0 +1,34 @@
# csp-trusted-types
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `csp-trusted-types`
- 说明: 用 CSP 和 Trusted Types 缩小前端执行面。
- 典型场景: 适用于高风险前端应用、管理端和需要限制脚本执行面的页面。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Astro
- Nginx
- React
- Vue

33
05-defense/secure-code/nodejs/dependency-upgrade-policy.md 普通文件
查看文件

@@ -0,0 +1,33 @@
# dependency-upgrade-policy
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `dependency-upgrade-policy`
- 说明: 用自动化升级、锁版本和审查策略降低供应链风险。
- 典型场景: 适用于 lockfile、SBOM、CI 审查和供应链更新节奏治理。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Node.js
- Vite
- esbuild
- webpack

32
05-defense/secure-code/nodejs/deserialization-safety.md 普通文件
查看文件

@@ -0,0 +1,32 @@
# deserialization-safety
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `deserialization-safety`
- 说明: 避免对不可信数据做危险反序列化。
- 典型场景: 适用于缓存、任务队列、对象恢复和跨服务消息传递。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- GitLab CE
- Jenkins
- Spring Framework

30
05-defense/secure-code/nodejs/dom-sink-hardening.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# dom-sink-hardening
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `dom-sink-hardening`
- 说明: 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- 典型场景: 适用于前端模板拼接、Markdown 渲染器和富文本预览逻辑。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- React

48
05-defense/secure-code/nodejs/file-upload-validation.md 普通文件
查看文件

@@ -0,0 +1,48 @@
# file-upload-validation
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `file-upload-validation`
- 说明: 校验文件类型、名称、存储位置和执行权限。
- 典型场景: 适用于媒体上传、插件安装、主题导入和日志附件接收。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adobe Commerce
- Directus
- Django
- Drupal
- Joomla
- Laravel
- Magento Open Source
- MediaWiki
- Moodle
- OpenCart
- PrestaShop
- Ruby on Rails
- Shopware
- Strapi
- Vite
- WordPress
- esbuild
- webpack

36
05-defense/secure-code/nodejs/path-traversal-guard.md 普通文件
查看文件

@@ -0,0 +1,36 @@
# path-traversal-guard
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `path-traversal-guard`
- 说明: 标准化路径并限制访问根目录。
- 典型场景: 适用于下载、导入、附件预览和主题/模板读取路径。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Django
- Joomla
- Spring Framework
- Symfony
- phpMyAdmin

43
05-defense/secure-code/nodejs/plugin-extension-trust-policy.md 普通文件
查看文件

@@ -0,0 +1,43 @@
# plugin-extension-trust-policy
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `plugin-extension-trust-policy`
- 说明: 限制第三方插件、模块和主题的信任边界。
- 典型场景: 适用于插件市场、主题仓库、第三方扩展和模块化系统。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Adobe Commerce
- Discourse
- Drupal
- Grafana
- Jenkins
- Joomla
- Magento Open Source
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Shopware
- WooCommerce
- WordPress

49
05-defense/secure-code/nodejs/proxy-trust-boundary.md 普通文件
查看文件

@@ -0,0 +1,49 @@
# proxy-trust-boundary
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `proxy-trust-boundary`
- 说明: 只信任明确代理并限制头部透传。
- 典型场景: 适用于真实 IP 透传、认证头转发和反向代理旁路风险。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Caddy
- Echo
- Express
- Fastify
- Gin
- Gitea
- HAProxy
- Hapi
- Kibana
- Koa
- Next.js
- Nginx
- Nuxt
- Spring Boot
- Spring Security
- Traefik
- Undici
- Vite
- Werkzeug

37
05-defense/secure-code/nodejs/request-smuggling-boundary.md 普通文件
查看文件

@@ -0,0 +1,37 @@
# request-smuggling-boundary
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `request-smuggling-boundary`
- 说明: 统一代理层和应用层的请求边界解释。
- 典型场景: 适用于代理链、WAF、CDN 和应用服务器之间的请求解析边界。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Caddy
- HAProxy
- Nginx
- Node.js
- Traefik
- Werkzeug

36
05-defense/secure-code/nodejs/ssrf-url-validation.md 普通文件
查看文件

@@ -0,0 +1,36 @@
# ssrf-url-validation
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `ssrf-url-validation`
- 说明: 对 URL、协议、IP 和重定向做 allowlist 校验。
- 典型场景: 适用于 webhook、URL 导入、远程图片抓取和插件联动调用。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Express
- Fastify
- Flask
- Koa
- NestJS
- Node.js
- Undici

31
05-defense/secure-code/nodejs/template-injection-guard.md 普通文件
查看文件

@@ -0,0 +1,31 @@
# template-injection-guard
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `template-injection-guard`
- 说明: 模板上下文中禁用危险表达式执行。
- 典型场景: 适用于 SSR、模板引擎、邮件渲染和后台自定义视图。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Vue

46
05-defense/secure-code/nodejs/token-cookie-storage.md 普通文件
查看文件

@@ -0,0 +1,46 @@
# token-cookie-storage
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `token-cookie-storage`
- 说明: 避免把敏感令牌长期暴露在可读浏览器存储中。
- 典型场景: 适用于浏览器端会话、管理接口令牌和单页应用认证态。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Directus
- Echo
- Flask
- Ghost
- GitLab CE
- Gitea
- Hapi
- Mattermost
- Medusa
- NestJS
- Next.js
- Nuxt
- Saleor
- Spring Security
- Strapi
- SvelteKit
- WordPress

56
05-defense/secure-code/nodejs/xss-output-encoding.md 普通文件
查看文件

@@ -0,0 +1,56 @@
# xss-output-encoding
> `LAB ONLY` | 修复主题页
- 语言: `nodejs`
- 主题: `xss-output-encoding`
- 说明: 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- 典型场景: 适用于模板输出、服务端渲染片段和后台管理界面回显场景。
## 脆弱示例
```js
res.send(`<div>${req.query.q}</div>`);
```
## 更安全的写法
```js
res.send(`<div>${escapeHtml(req.query.q)}</div>`);
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Angular
- Discourse
- Django
- Drupal
- Express
- Fastify
- Flask
- Ghost
- Gin
- Grafana
- Joomla
- Kibana
- Laravel
- Mattermost
- MediaWiki
- Moodle
- React
- Redmine
- Ruby on Rails
- Symfony
- Vue
- WooCommerce
- WordPress
- phpMyAdmin

20
05-defense/secure-code/php/INDEX.md 普通文件
查看文件

@@ -0,0 +1,20 @@
# php
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/php/xss-output-encoding.md) - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/php/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/php/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/php/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/php/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/php/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/php/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/php/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/php/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/php/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/php/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/php/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/php/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/php/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

20
05-defense/secure-code/php/README.md 普通文件
查看文件

@@ -0,0 +1,20 @@
# php
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/php/xss-output-encoding.md) - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/php/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/php/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/php/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/php/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/php/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/php/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/php/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/php/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/php/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/php/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/php/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/php/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/php/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

67
05-defense/secure-code/php/authz-server-side-recheck.md 普通文件
查看文件

@@ -0,0 +1,67 @@
# authz-server-side-recheck
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `authz-server-side-recheck`
- 说明: 前置代理或 middleware 不能替代服务端最终鉴权。
- 典型场景: 适用于代理层放行、路由守卫和后端最终授权重新确认。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Apache Tomcat
- Astro
- Directus
- Discourse
- Drupal
- Ghost
- GitLab CE
- Gitea
- Grafana
- Jenkins
- Kibana
- Laravel
- Magento Open Source
- Mattermost
- MediaWiki
- Medusa
- Moodle
- NestJS
- Next.js
- Nuxt
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Ruby on Rails
- Saleor
- Shopware
- Spring Boot
- Spring Framework
- Spring Security
- Strapi
- SvelteKit
- Symfony
- WooCommerce
- phpMyAdmin

34
05-defense/secure-code/php/csp-trusted-types.md 普通文件
查看文件

@@ -0,0 +1,34 @@
# csp-trusted-types
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `csp-trusted-types`
- 说明: 用 CSP 和 Trusted Types 缩小前端执行面。
- 典型场景: 适用于高风险前端应用、管理端和需要限制脚本执行面的页面。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Astro
- Nginx
- React
- Vue

33
05-defense/secure-code/php/dependency-upgrade-policy.md 普通文件
查看文件

@@ -0,0 +1,33 @@
# dependency-upgrade-policy
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `dependency-upgrade-policy`
- 说明: 用自动化升级、锁版本和审查策略降低供应链风险。
- 典型场景: 适用于 lockfile、SBOM、CI 审查和供应链更新节奏治理。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Node.js
- Vite
- esbuild
- webpack

32
05-defense/secure-code/php/deserialization-safety.md 普通文件
查看文件

@@ -0,0 +1,32 @@
# deserialization-safety
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `deserialization-safety`
- 说明: 避免对不可信数据做危险反序列化。
- 典型场景: 适用于缓存、任务队列、对象恢复和跨服务消息传递。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- GitLab CE
- Jenkins
- Spring Framework

30
05-defense/secure-code/php/dom-sink-hardening.md 普通文件
查看文件

@@ -0,0 +1,30 @@
# dom-sink-hardening
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `dom-sink-hardening`
- 说明: 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- 典型场景: 适用于前端模板拼接、Markdown 渲染器和富文本预览逻辑。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- React

48
05-defense/secure-code/php/file-upload-validation.md 普通文件
查看文件

@@ -0,0 +1,48 @@
# file-upload-validation
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `file-upload-validation`
- 说明: 校验文件类型、名称、存储位置和执行权限。
- 典型场景: 适用于媒体上传、插件安装、主题导入和日志附件接收。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adobe Commerce
- Directus
- Django
- Drupal
- Joomla
- Laravel
- Magento Open Source
- MediaWiki
- Moodle
- OpenCart
- PrestaShop
- Ruby on Rails
- Shopware
- Strapi
- Vite
- WordPress
- esbuild
- webpack

36
05-defense/secure-code/php/path-traversal-guard.md 普通文件
查看文件

@@ -0,0 +1,36 @@
# path-traversal-guard
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `path-traversal-guard`
- 说明: 标准化路径并限制访问根目录。
- 典型场景: 适用于下载、导入、附件预览和主题/模板读取路径。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Django
- Joomla
- Spring Framework
- Symfony
- phpMyAdmin

43
05-defense/secure-code/php/plugin-extension-trust-policy.md 普通文件
查看文件

@@ -0,0 +1,43 @@
# plugin-extension-trust-policy
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `plugin-extension-trust-policy`
- 说明: 限制第三方插件、模块和主题的信任边界。
- 典型场景: 适用于插件市场、主题仓库、第三方扩展和模块化系统。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Adobe Commerce
- Discourse
- Drupal
- Grafana
- Jenkins
- Joomla
- Magento Open Source
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Shopware
- WooCommerce
- WordPress

49
05-defense/secure-code/php/proxy-trust-boundary.md 普通文件
查看文件

@@ -0,0 +1,49 @@
# proxy-trust-boundary
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `proxy-trust-boundary`
- 说明: 只信任明确代理并限制头部透传。
- 典型场景: 适用于真实 IP 透传、认证头转发和反向代理旁路风险。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Caddy
- Echo
- Express
- Fastify
- Gin
- Gitea
- HAProxy
- Hapi
- Kibana
- Koa
- Next.js
- Nginx
- Nuxt
- Spring Boot
- Spring Security
- Traefik
- Undici
- Vite
- Werkzeug

37
05-defense/secure-code/php/request-smuggling-boundary.md 普通文件
查看文件

@@ -0,0 +1,37 @@
# request-smuggling-boundary
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `request-smuggling-boundary`
- 说明: 统一代理层和应用层的请求边界解释。
- 典型场景: 适用于代理链、WAF、CDN 和应用服务器之间的请求解析边界。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Caddy
- HAProxy
- Nginx
- Node.js
- Traefik
- Werkzeug

36
05-defense/secure-code/php/ssrf-url-validation.md 普通文件
查看文件

@@ -0,0 +1,36 @@
# ssrf-url-validation
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `ssrf-url-validation`
- 说明: 对 URL、协议、IP 和重定向做 allowlist 校验。
- 典型场景: 适用于 webhook、URL 导入、远程图片抓取和插件联动调用。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Express
- Fastify
- Flask
- Koa
- NestJS
- Node.js
- Undici

31
05-defense/secure-code/php/template-injection-guard.md 普通文件
查看文件

@@ -0,0 +1,31 @@
# template-injection-guard
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `template-injection-guard`
- 说明: 模板上下文中禁用危险表达式执行。
- 典型场景: 适用于 SSR、模板引擎、邮件渲染和后台自定义视图。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Vue

46
05-defense/secure-code/php/token-cookie-storage.md 普通文件
查看文件

@@ -0,0 +1,46 @@
# token-cookie-storage
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `token-cookie-storage`
- 说明: 避免把敏感令牌长期暴露在可读浏览器存储中。
- 典型场景: 适用于浏览器端会话、管理接口令牌和单页应用认证态。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Directus
- Echo
- Flask
- Ghost
- GitLab CE
- Gitea
- Hapi
- Mattermost
- Medusa
- NestJS
- Next.js
- Nuxt
- Saleor
- Spring Security
- Strapi
- SvelteKit
- WordPress

56
05-defense/secure-code/php/xss-output-encoding.md 普通文件
查看文件

@@ -0,0 +1,56 @@
# xss-output-encoding
> `LAB ONLY` | 修复主题页
- 语言: `php`
- 主题: `xss-output-encoding`
- 说明: 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
- 典型场景: 适用于模板输出、服务端渲染片段和后台管理界面回显场景。
## 脆弱示例
```php
echo "<div>{$value}</div>";
```
## 更安全的写法
```php
echo '<div>' . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . '</div>';
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Angular
- Discourse
- Django
- Drupal
- Express
- Fastify
- Flask
- Ghost
- Gin
- Grafana
- Joomla
- Kibana
- Laravel
- Mattermost
- MediaWiki
- Moodle
- React
- Redmine
- Ruby on Rails
- Symfony
- Vue
- WooCommerce
- WordPress
- phpMyAdmin

某些文件未显示，因为此 diff 中更改的文件太多 显示更多