文章列表
-
Python asyncpg防SQL注入参数化
Python asyncpg防SQL注入的核心在于严格使用参数化查询，绝对不要用字符串拼接SQL语句。asyncpg库原生支持PostgreSQL的服务器端参数绑定，你只需要在SQL语句中用$1、$2这样的占位符，然后把参数作为独立变量传给execute()或fetch()方法，数据库驱动会自动处理类型安全和转义，从根源上阻断注入攻击。
-
XSS攻击利用onerror与onload事件
XSS攻击利用onerror与onload事件，核心在于攻击者通过注入恶意脚本到网页中，当图像、脚本等资源加载失败或成功时触发事件执行代码。例如，一个未经验证的图片标签被注入：<img src="x" onerror="alert('XSS')">，一旦src加载失败，onerror事件就会执行JavaScript弹窗。要防御这种攻击，你必须对用户输入进行严格的过滤和转义，使用Content Security Policy（CSP）限制脚本执行，并避免直接将用户输入插入DOM。
-
Python site-packages权限与隔离
Python开发者经常会遇到site-packages目录的权限问题，尤其是在Linux或macOS系统上，当你尝试使用pip安装包时，可能会看到“Permission denied”错误。这是因为默认情况下，pip会尝试将包安装到系统级的site-packages目录（例如/usr/local/lib/python3.x/site-packages），而这个操作需要root权限。直接使用sudo pip install虽然能解决问题，但会带来依赖混乱和系统Python环境被污染的风险。更专业、安全的做法是立即转向使用虚拟环境（Virtual Environment）或用户级安装。
-
XSS攻击利用onpopstate事件
XSS攻击利用onpopstate事件是一种基于HTML5 History API的新型客户端攻击手法，攻击者通过构造恶意代码注入onpopstate事件监听器，在用户使用浏览器前进/后退按钮时触发跨站脚本执行，从而窃取会话Cookie、篡改页面内容或发起进一步渗透。这种攻击的核心在于onpopstate事件作为popstate事件的处理接口，会在浏览器历史记录状态变化时自动执行，若开发者未对状态对象进行严格过滤，攻击者可将JavaScript代码伪装成序列化状态数据植入URL片段或pushState()参数中。
-
PHP Apache运行用户与组权限
PHP Apache运行用户与组权限的核心问题是：Apache进程以哪个系统用户身份执行，决定了它能访问哪些文件和目录。默认情况下，Apache在类Unix系统上通常以www-data、apache或nobody用户运行，其所属组也同名。如果PHP脚本需要读取、写入或修改服务器上的文件，但文件的所有者或权限设置不当，就会导致“Permission denied”错误。解决的根本方法是精确控制运行用户、组，并设置正确的文件系统权限。
-
CentOS下LUKS加密磁盘手动挂载
在CentOS系统下手动挂载LUKS加密磁盘，你需要先通过cryptsetup工具解锁加密分区，然后创建文件系统（若未格式化），最后挂载到指定目录。具体命令是：使用"cryptsetup luksOpen /dev/sdX encrypted_disk"解锁，"mkfs.ext4 /dev/mapper/encrypted_disk"格式化（可选），"mount /dev/mapper/encrypted_disk /mnt/data"挂载。完成后，通过"umount /mnt/data"和"cryptsetup luksClose encrypted_disk"安全卸载。
-
XSS攻击利用onclose事件
XSS攻击利用onclose事件是一种相对隐蔽但危害性极强的攻击手法，它主要利用浏览器窗口或标签页关闭时触发的onclose事件来执行恶意JavaScript代码。攻击者通常通过注入恶意脚本到网页中，当用户关闭页面时，脚本自动运行，可能导致数据窃取、会话劫持或恶意重定向。例如，攻击者可能构造一个看似无害的链接，一旦用户访问并关闭页面，脚本就会悄无声息地发送用户的cookie信息到远程服务器。要解决这个问题，开发者必须严格过滤用户输入，使用Content Security Policy（CSP）来限制脚本执行，并对事件处理函数进行安全编码。
-
网站安全HTTP安全头配置详解(HSTS, X-Frame-Options)
网站安全配置里，HTTP安全头经常被忽视，但它却是防御多种网络攻击的第一道防线。很多网站被劫持、被嵌套、被窃取数据，根源就是安全头没设好。今天我们就直接切入，详细拆解HSTS和X-Frame-Options这两个关键安全头的配置原理、方法和注意事项，让你能立刻动手加固自己的网站。
-
支付接口防护的异步回调安全，验证签名与不重放
支付接口的异步回调安全，核心在于验证签名与防止重放攻击。支付平台在完成交易后，会向商户服务器指定的地址（回调URL）发送一个包含交易结果的POST请求。你的服务器必须能够验证这个请求确实来自可信的支付平台，并且同一个成功的通知不会被重复处理导致业务逻辑错乱，比如给用户重复充值。这主要通过两个关键技术实现：签名验证确保请求的完整性和来源真实性；防重放机制确保请求的唯一性。
-
Node.js DOMPurify服务端使用
在Node.js服务端使用DOMPurify，核心目标是解决用户输入HTML内容时的XSS（跨站脚本攻击）安全问题。与浏览器环境不同，服务端没有真实的DOM，因此需要借助JSDOM这类库来模拟一个DOM环境，供DOMPurify进行净化操作。具体做法是，先安装必要的npm包，然后在代码中引入并配置，最后对不可信的HTML字符串进行清理。一个基础的使用示例如下：
