2.3 KiB
2.3 KiB
nodejs
自动生成修复主题索引
-
语境: 授权攻防实验后的修复映射，不作为生产默认推荐模版。
-
xss-output-encoding - 对不可信输入做上下文输出编码，避免 HTML、属性和脚本上下文执行。
-
dom-sink-hardening - 限制
innerHTML、模板拼接和 DOM sink 的直接写入。 -
csp-trusted-types - 用 CSP 和 Trusted Types 缩小前端执行面。
-
token-cookie-storage - 避免把敏感令牌长期暴露在可读浏览器存储中。
-
authz-server-side-recheck - 前置代理或 middleware 不能替代服务端最终鉴权。
-
ssrf-url-validation - 对 URL、协议、IP 和重定向做 allowlist 校验。
-
request-smuggling-boundary - 统一代理层和应用层的请求边界解释。
-
path-traversal-guard - 标准化路径并限制访问根目录。
-
file-upload-validation - 校验文件类型、名称、存储位置和执行权限。
-
plugin-extension-trust-policy - 限制第三方插件、模块和主题的信任边界。
-
dependency-upgrade-policy - 用自动化升级、锁版本和审查策略降低供应链风险。
-
proxy-trust-boundary - 只信任明确代理并限制头部透传。
-
deserialization-safety - 避免对不可信数据做危险反序列化。
-
template-injection-guard - 模板上下文中禁用危险表达式执行。