安全知识

不是所有访问都需要从所有地方来。有些后台只限办公网络，有些业务只服务特定地区。IP 限制与地理访问控制，是访问控制的又一

安全运维有很多重复动作：扫漏洞、查日志、对配置基线。靠人做又慢又容易漏。安全自动化，是把这些重复动作交给脚本和流程，让人

现代站点几乎都引入第三方脚本：统计、客服、支付、广告。但每个外部脚本都是一条不可控的供应链——它被篡改了，你的站点也中招

多个请求同时操作同一资源，如果没有锁和原子性保障，就会出现竞争条件：库存超卖、积分重复扣、优惠券领两次。并发安全，是业务

网站提供文件下载是常见功能，但也是漏洞高发区：参数改一改就能下载任意文件，越权下载别人的附件。下载安全，要从路径到权限全

JWT 是现代站点的常用令牌格式，但用不好就是漏洞：算法设成 none、密钥太弱、令牌不过期。JWT 安全，从签发到校验

跨域资源共享（CORS）让浏览器能访问不同域的接口，但配不好就成了漏洞：允许任意来源读取你的数据，等于把 API 裸放。

DNS 是站点的门牌号，门牌被篡改，访客就被引到假站。DNS 安全配置，是比应用安全更底层但同样重要的防线。

网站被黑后，攻击者常留一个 WebShell——一个伪装成正常文件的后门，随时能进来。WebShell 检测，是被黑后能

网站要发邮件——注册验证、订单通知、密码重置，但邮件通道本身也有风险：伪造发件人、被截获、被标记垃圾。邮件安全加固，是通