kb: expand authorized lab coverage and intel automation

这个提交包含在:
hao
2026-03-16 22:04:51 -07:00
父节点 cda31e86c7
当前提交 d0120fbf10
修改 592 个文件,包含 29025 行新增267 行删除

查看文件

@@ -0,0 +1,20 @@
# python
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射,不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/python/xss-output-encoding.md) - 对不可信输入做上下文输出编码,避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/python/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/python/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/python/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/python/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/python/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/python/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/python/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/python/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/python/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/python/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/python/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/python/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/python/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

查看文件

@@ -0,0 +1,20 @@
# python
> 自动生成修复主题索引
- 语境: 授权攻防实验后的修复映射,不作为生产默认推荐模版。
- [xss-output-encoding](/Users/x/websafe/05-defense/secure-code/python/xss-output-encoding.md) - 对不可信输入做上下文输出编码,避免 HTML、属性和脚本上下文执行。
- [dom-sink-hardening](/Users/x/websafe/05-defense/secure-code/python/dom-sink-hardening.md) - 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- [csp-trusted-types](/Users/x/websafe/05-defense/secure-code/python/csp-trusted-types.md) - 用 CSP 和 Trusted Types 缩小前端执行面。
- [token-cookie-storage](/Users/x/websafe/05-defense/secure-code/python/token-cookie-storage.md) - 避免把敏感令牌长期暴露在可读浏览器存储中。
- [authz-server-side-recheck](/Users/x/websafe/05-defense/secure-code/python/authz-server-side-recheck.md) - 前置代理或 middleware 不能替代服务端最终鉴权。
- [ssrf-url-validation](/Users/x/websafe/05-defense/secure-code/python/ssrf-url-validation.md) - 对 URL、协议、IP 和重定向做 allowlist 校验。
- [request-smuggling-boundary](/Users/x/websafe/05-defense/secure-code/python/request-smuggling-boundary.md) - 统一代理层和应用层的请求边界解释。
- [path-traversal-guard](/Users/x/websafe/05-defense/secure-code/python/path-traversal-guard.md) - 标准化路径并限制访问根目录。
- [file-upload-validation](/Users/x/websafe/05-defense/secure-code/python/file-upload-validation.md) - 校验文件类型、名称、存储位置和执行权限。
- [plugin-extension-trust-policy](/Users/x/websafe/05-defense/secure-code/python/plugin-extension-trust-policy.md) - 限制第三方插件、模块和主题的信任边界。
- [dependency-upgrade-policy](/Users/x/websafe/05-defense/secure-code/python/dependency-upgrade-policy.md) - 用自动化升级、锁版本和审查策略降低供应链风险。
- [proxy-trust-boundary](/Users/x/websafe/05-defense/secure-code/python/proxy-trust-boundary.md) - 只信任明确代理并限制头部透传。
- [deserialization-safety](/Users/x/websafe/05-defense/secure-code/python/deserialization-safety.md) - 避免对不可信数据做危险反序列化。
- [template-injection-guard](/Users/x/websafe/05-defense/secure-code/python/template-injection-guard.md) - 模板上下文中禁用危险表达式执行。

查看文件

@@ -0,0 +1,67 @@
# authz-server-side-recheck
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `authz-server-side-recheck`
- 说明: 前置代理或 middleware 不能替代服务端最终鉴权。
- 典型场景: 适用于代理层放行、路由守卫和后端最终授权重新确认。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Apache Tomcat
- Astro
- Directus
- Discourse
- Drupal
- Ghost
- GitLab CE
- Gitea
- Grafana
- Jenkins
- Kibana
- Laravel
- Magento Open Source
- Mattermost
- MediaWiki
- Medusa
- Moodle
- NestJS
- Next.js
- Nuxt
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Ruby on Rails
- Saleor
- Shopware
- Spring Boot
- Spring Framework
- Spring Security
- Strapi
- SvelteKit
- Symfony
- WooCommerce
- phpMyAdmin

查看文件

@@ -0,0 +1,34 @@
# csp-trusted-types
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `csp-trusted-types`
- 说明: 用 CSP 和 Trusted Types 缩小前端执行面。
- 典型场景: 适用于高风险前端应用、管理端和需要限制脚本执行面的页面。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Astro
- Nginx
- React
- Vue

查看文件

@@ -0,0 +1,33 @@
# dependency-upgrade-policy
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `dependency-upgrade-policy`
- 说明: 用自动化升级、锁版本和审查策略降低供应链风险。
- 典型场景: 适用于 lockfile、SBOM、CI 审查和供应链更新节奏治理。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Node.js
- Vite
- esbuild
- webpack

查看文件

@@ -0,0 +1,32 @@
# deserialization-safety
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `deserialization-safety`
- 说明: 避免对不可信数据做危险反序列化。
- 典型场景: 适用于缓存、任务队列、对象恢复和跨服务消息传递。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- GitLab CE
- Jenkins
- Spring Framework

查看文件

@@ -0,0 +1,30 @@
# dom-sink-hardening
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `dom-sink-hardening`
- 说明: 限制 `innerHTML`、模板拼接和 DOM sink 的直接写入。
- 典型场景: 适用于前端模板拼接、Markdown 渲染器和富文本预览逻辑。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- React

查看文件

@@ -0,0 +1,48 @@
# file-upload-validation
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `file-upload-validation`
- 说明: 校验文件类型、名称、存储位置和执行权限。
- 典型场景: 适用于媒体上传、插件安装、主题导入和日志附件接收。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adobe Commerce
- Directus
- Django
- Drupal
- Joomla
- Laravel
- Magento Open Source
- MediaWiki
- Moodle
- OpenCart
- PrestaShop
- Ruby on Rails
- Shopware
- Strapi
- Vite
- WordPress
- esbuild
- webpack

查看文件

@@ -0,0 +1,36 @@
# path-traversal-guard
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `path-traversal-guard`
- 说明: 标准化路径并限制访问根目录。
- 典型场景: 适用于下载、导入、附件预览和主题/模板读取路径。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Django
- Joomla
- Spring Framework
- Symfony
- phpMyAdmin

查看文件

@@ -0,0 +1,43 @@
# plugin-extension-trust-policy
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `plugin-extension-trust-policy`
- 说明: 限制第三方插件、模块和主题的信任边界。
- 典型场景: 适用于插件市场、主题仓库、第三方扩展和模块化系统。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Adobe Commerce
- Discourse
- Drupal
- Grafana
- Jenkins
- Joomla
- Magento Open Source
- OpenCart
- OpenMage / Mage-OS
- PrestaShop
- Redmine
- Shopware
- WooCommerce
- WordPress

查看文件

@@ -0,0 +1,49 @@
# proxy-trust-boundary
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `proxy-trust-boundary`
- 说明: 只信任明确代理并限制头部透传。
- 典型场景: 适用于真实 IP 透传、认证头转发和反向代理旁路风险。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Caddy
- Echo
- Express
- Fastify
- Gin
- Gitea
- HAProxy
- Hapi
- Kibana
- Koa
- Next.js
- Nginx
- Nuxt
- Spring Boot
- Spring Security
- Traefik
- Undici
- Vite
- Werkzeug

查看文件

@@ -0,0 +1,37 @@
# request-smuggling-boundary
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `request-smuggling-boundary`
- 说明: 统一代理层和应用层的请求边界解释。
- 典型场景: 适用于代理链、WAF、CDN 和应用服务器之间的请求解析边界。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Apache HTTP Server
- Apache Tomcat
- Caddy
- HAProxy
- Nginx
- Node.js
- Traefik
- Werkzeug

查看文件

@@ -0,0 +1,36 @@
# ssrf-url-validation
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `ssrf-url-validation`
- 说明: 对 URL、协议、IP 和重定向做 allowlist 校验。
- 典型场景: 适用于 webhook、URL 导入、远程图片抓取和插件联动调用。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Express
- Fastify
- Flask
- Koa
- NestJS
- Node.js
- Undici

查看文件

@@ -0,0 +1,31 @@
# template-injection-guard
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `template-injection-guard`
- 说明: 模板上下文中禁用危险表达式执行。
- 典型场景: 适用于 SSR、模板引擎、邮件渲染和后台自定义视图。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Angular
- Vue

查看文件

@@ -0,0 +1,46 @@
# token-cookie-storage
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `token-cookie-storage`
- 说明: 避免把敏感令牌长期暴露在可读浏览器存储中。
- 典型场景: 适用于浏览器端会话、管理接口令牌和单页应用认证态。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- Directus
- Echo
- Flask
- Ghost
- GitLab CE
- Gitea
- Hapi
- Mattermost
- Medusa
- NestJS
- Next.js
- Nuxt
- Saleor
- Spring Security
- Strapi
- SvelteKit
- WordPress

查看文件

@@ -0,0 +1,56 @@
# xss-output-encoding
> `LAB ONLY` | 修复主题页
- 语言: `python`
- 主题: `xss-output-encoding`
- 说明: 对不可信输入做上下文输出编码,避免 HTML、属性和脚本上下文执行。
- 典型场景: 适用于模板输出、服务端渲染片段和后台管理界面回显场景。
## 脆弱示例
```py
return f"<div>{value}</div>"
```
## 更安全的写法
```py
return f"<div>{escape(value)}</div>"
```
## 检查清单
- 明确输入边界与不可信来源
- 在服务端或可信封装层统一做校验/转义/约束
- 对关键路径补充自动化测试和依赖升级策略
## 相关系统
- ASP.NET Core
- Adminer
- Adobe Commerce
- Angular
- Discourse
- Django
- Drupal
- Express
- Fastify
- Flask
- Ghost
- Gin
- Grafana
- Joomla
- Kibana
- Laravel
- Mattermost
- MediaWiki
- Moodle
- React
- Redmine
- Ruby on Rails
- Symfony
- Vue
- WooCommerce
- WordPress
- phpMyAdmin