TLS 证书链不完整导致部分客户端握手失败：从 SNI 取证到 fullchain 修复
适用场景 本文适用于 Nginx、负载均衡器、API 网关或 CDN 回源启用 HTTPS 后，出现“浏览器访问正常，但 Java、Go、容器、Webhook 或旧设备报证书错误”的场景。典型报错包括 unable to get local issuer certificate、certificate verify f
Tag
#安全
包含这个标签的文章。
Python 解压不可信 ZIP：同时防住路径穿越、符号链接与解压炸弹
适用场景 本文适用于允许用户上传 ZIP 的报表导入、主题包安装、批量图片处理和离线数据交换服务。压缩包来自外部时，风险不只是文件名中出现 ../：绝对路径、Windows 盘符、反斜杠、同名覆盖、Unix 符号链接以及极高压缩比，都可能让一次普通解压变成任意文件写入或磁盘耗尽。 目标是建立一个可验收的解压边界：先检查
Python 调用遗留命令乱码又卡死：字节解码、超时与安全参数实践
适用场景 本文适用于 Python 3.11 及以上版本。业务程序需要调用数据库备份工具、硬件厂商 CLI、Windows 遗留程序或内部运维命令，但这些程序的输出编码不是 UTF-8，并且可能出现长时间无响应、非零退出、输出管道堵塞或参数注入风险。 目标不是再封装一层 subprocess.run()，而是建立一个可
Webhook 签名校验通过仍被重复执行：时间窗、幂等键与防重放实践
适用场景 支付回调、代码仓库事件、消息推送和第三方审批通知通常通过 Webhook 进入业务系统。很多服务已经实现了 HMAC 签名校验，却仍会遇到重复发货、重复记账或重复触发流水线的问题。 这类故障的关键在于：签名只能证明请求内容来自持有密钥的一方，不能证明这次请求从未被处理过。 一个合法请求被代理层、第三方平台或攻
API 密钥泄漏后如何无停机处置：双密钥轮换、审计与最小权限实践
适用场景 代码仓库、CI 日志、工单截图或聊天记录中出现了生产 API 密钥。密钥仍在被多个服务使用，直接禁用可能造成业务中断，但继续保留又会扩大攻击窗口。 本文面向服务到服务调用的静态 API 密钥，给出一套可执行的处置流程：先确认影响范围并限制风险，再创建权限更小的新密钥，通过短暂的双密钥窗口迁移调用方，验证新密钥
TLS 证书链不完整导致部分客户端握手失败：从现场验证到无损修复
适用场景 本文适用于网站、API 网关或反向代理已经配置 HTTPS，但出现“浏览器能访问，部分 Java、Android、容器或命令行客户端却握手失败”的场景。典型报错包括 unable to get local issuer certificate、PKIX path building failed、certifi
JWT 密钥轮换后批量 401：用 kid 双钥并行实现无感切换与可回滚发布
适用场景 业务使用 RS256 JWT 在网关、API 服务和后台任务之间传递身份。为了满足密钥泄露应急、合规轮换或证书到期要求，需要定期替换签名私钥，但又不能让尚未过期的旧令牌突然失效。 本文给出一套可直接落地的轮换方法：令牌头携带 kid，验证端同时信任新旧公钥，签发端再切换当前私钥，最后根据令牌最长生命周期安全下
Webhook 验签通过仍被重复扣款：HMAC 签名与重放攻击防护实践
适用场景 支付、订单、代码托管或消息平台通过 Webhook 主动回调业务系统。接口已经校验 HMAC 签名，但偶尔仍出现同一事件被重复执行，甚至攻击者截获一条合法请求后，可以在数小时后原样重放。 本文以 Python 3.11、FastAPI 和 Redis 为例，实现一套可直接落地的接收端：对原始请求体进行 HMA
Nginx 大文件上传返回 413：从限制链路定位到安全放行的排查实践
适用场景 业务通过 Nginx 上传图片、安装包、备份文件或导入数据时，小文件正常，大文件刚提交便收到 413 Request Entity Too Large。应用日志没有请求记录，客户端通常只看到一个 Nginx 错误页。 本文以“上传 80 MB 压缩包失败、10 MB 图片正常”为例，说明怎样确认拦截层、放开正
Nginx 反向代理后客户端 IP 全变内网地址：从 realip 配置到防伪造的排查实践
适用场景 业务服务部署在负载均衡、CDN、Kubernetes Ingress 或四层代理之后。应用日志中的 remote_addr 全是代理的内网地址，限流、风控和审计都无法识别真实访问者；更危险的是，直接信任请求携带的 X-Forwarded-For，会让攻击者伪造来源 IP 绕过白名单。 本文以“公网负载均衡 →