安全相关技术文章

php mysql shell go vue css api接口对接支付接口对接

PHP 8.6 把 php://filter 过滤器链限制到 16 个：未设上限会发弃用提示，显式设置后超限直接打开失败

PHP 8.6 把 php://filter 过滤器链限制到 16 个：未设上限会发弃用提示，显式设置后超限直接打开失败
2026-11-07 21:05:38
PHP 8.6 给 php://filter 的过滤器链加了默认 16 个上限：未配置 filter.max_filter_count 时超限发弃用提示，显式设置后超限直接打开流失败。给出 stream_filter_append 与 context 选项两种替代写法、read/write 分别计数的注意点，以及把这条 deprecation 当攻击信号的用法。
PHP 安全文件流

real_escape_string 在双引号里并不安全：PHP 8.6 的 mysqli_quote_string 连引号一起处理

real_escape_string 在双引号里并不安全：PHP 8.6 的 mysqli_quote_string 连引号一起处理
2026-11-06 21:03:56
PHP 8.6 新增 mysqli_quote_string，按连接 SQL 模式选引号样式并包起来。real_escape_string 的输出在双引号里配合 NO_BACKSLASH_ESCAPES 并不安全，本文给出可复现注入样例、quote_string 返回值已带引号别再套一层、标识符仍须白名单，以及 8.5 及以下的自写替代。
PHP MySQL SQL注入安全

Go 1.24 默认用 MPTCP 监听：Linux 内核 CVE-2026-98432 的排查与缓解

Go 1.24 默认用 MPTCP 监听：Linux 内核 CVE-2026-98432 的排查与缓解
2026-11-03 21:04:12
Linux 内核 CVE-2026-98432（IPv4 TCP options RCU UAF，CVSS 9.8）的利用前提是暴露 MPTCP 监听，而 Go 1.24 起把 multipathtcp 默认值改成 2，Go 服务在 Linux 上默认就是 MPTCP 监听。给出 ss -Mltnp / go version -m 排查、GODEBUG 与 sysctl 缓解，以及为什么关 MPTCP 不算修复。
Go Linux 安全

Nginx UI 六个 CVE 同一根因：AuthRequired 只验 JWT，不验会话从哪来

Nginx UI 六个 CVE 同一根因：AuthRequired 只验 JWT，不验会话从哪来
2026-11-01 21:04:24
Nginx UI 2.5.0 一次修掉六个高危 CVE（passkey 账号 2FA 被绕过、CSRF、备份软链注入、node token 跨节点、陈旧 JWT 提权、升级包 digest），根因都是 AuthRequired 只验 JWT、不校验 RequireSecureSession。附代码片段、PoC 响应、升级与加固清单。
Nginx 安全运维认证

golang.org/x/net v0.62.0 修的两个 html 漏洞：文本节点合并的 O(n²) 与 raw text 渲染的命名空间判断

golang.org/x/net v0.62.0 修的两个 html 漏洞：文本节点合并的 O(n²) 与 raw text 渲染的命名空间判断
2026-11-01 21:03:15
golang.org/x/net v0.62.0 修了两个 html 包漏洞：文本节点合并时用字符串拼接导致 O(n²) 分配（CVE-2026-78661），以及 raw text 渲染只看最近一层命名空间导致解析往返不一致（CVE-2026-97045）。附 go list -m / govulncheck 自查与升级命令。
Go 安全 html 依赖升级

Traefik ForwardAuth 复用认证连接池：NTLM/Negotiate 身份会串到别的客户端

Traefik ForwardAuth 复用认证连接池：NTLM/Negotiate 身份会串到别的客户端
2026-10-31 21:08:42
GHSA-hrpp-p4fc-wwf8：Traefik 的 ForwardAuth 把认证子请求放进所有客户端共享的连接池，遇到 IIS Windows Authentication 这类连接绑定的 NTLM/Negotiate 时，已认证连接会被复用，未认证客户端拿到受害者身份并经 authResponseHeaders 打进后端。文中给出受影响版本、与四个旧 GHSA 的区别、自查项与临时绕过方式。
运维反向代理安全 Traefik 认证

PHP 8.6 的 quote_string()：real_escape_string() 在 NO_BACKSLASH_ESCAPES 下失效的原因

PHP 8.6 的 quote_string()：real_escape_string() 在 NO_BACKSLASH_ESCAPES 下失效的原因
2026-10-31 21:04:32
real_escape_string() 只转义不加引号，一旦连接启用 NO_BACKSLASH_ESCAPES，反斜杠不再是转义符，拼接进引号里的值就能提前闭合。PHP 8.6 的 mysqli::quote_string() 把转义和加引号合并，并按连接 sql_mode 选风格。文中给出两种模式下的 SQL 对照、grep 排查命令、替换时的重复加引号与缓存陷阱，以及为什么预处理仍是首选。
PHP MySQL 安全 SQL注入版本升级 ASH

CVE-2026-98432 叠加 Go 1.24 的 MPTCP 默认：先打内核补丁，GODEBUG 只能当临时挡板

CVE-2026-98432 叠加 Go 1.24 的 MPTCP 默认：先打内核补丁，GODEBUG 只能当临时挡板
2026-10-31 21:02:20
Linux IPv4 的 use-after-free（CVE-2026-98432，CVSS 9.8）在 Anthropic 的利用里需要 MPTCP listener，而 Go 1.24 起 listener 默认就开 MPTCP。文中拆解释放时序、列出发行版修复版本，给出 ss -M / ip mptcp 自查、GODEBUG=multipathtcp=0 与 net.mptcp.enabled=0 两种临时挡板，以及为什么它们都不算完整修复。
Go Linux 安全内核网络

Node.js 10 月安全版本：10 个 CVE、4 个 high，先查 dns.resolve 与 TLS 的 IP 校验

Node.js 10 月安全版本：10 个 CVE、4 个 high，先查 dns.resolve 与 TLS 的 IP 校验
2026-10-30 20:02:46
Node.js 2026-10-21 安全版本覆盖 26.12.1 / 24.22.1 / 22.23.4，含 10 个 CVE，其中 4 个 high：dns.resolve 对含 NUL 主机名静默截断、全角数字与前导零 IP 绕过 tls.checkServerIdentity 的 IP SAN 校验、Brotli 解码器越界写可 RCE。文内按严重度给出触发条件、受影响版本，以及可直接跑的 node -p 自查命令，并说明 26.13.0 只是转入 LTS。
Node.js 安全 TLS 运维升级

Redis 8.4.6 安全修复：ACL 键校验绕过与恶意 RDB 的 RCE 路径

Redis 8.4.6 安全修复：ACL 键校验绕过与恶意 RDB 的 RCE 路径
2026-10-29 21:08:15
Redis 8.4.6 是安全更新：ACL 对 SORT/GEORADIUS/XREAD 的键校验可能与实际访问的键不一致（#15478），EVAL 参数个数错误时 argv 越界（#14847），恶意 RDB 里的 SLOT_INFO 可致内存破坏直至 RCE。附多租户加固清单与升级检查顺序。
Redis 安全运维

Argon2id 参数别照抄默认值：64 MiB 乘 40 个 worker 就 OOMKill，PHP 与 Go 的实现差异

Argon2id 参数别照抄默认值：64 MiB 乘 40 个 worker 就 OOMKill，PHP 与 Go 的实现差异
2026-10-28 00:04:46
Argon2id 的 m/t/p 不是填个 19 MiB 就完事：m 是 KiB 且按 worker 数相乘、p 不乘内存，PHP 8.x 默认 64 MiB/t=4 乘上 pm.max_children 就能把容器 OOMKill。含内存预算公式、PHP 与 Go x/crypto/argon2 的实现差异（取整、panic、threads 在 libsodium 下失效、needs_rehash 要传 options）、可跑的 benchmark 脚本与 bcrypt 迁移路径。
密码哈希 Argon2id PHP Go 安全

CA 中间证书私钥泄漏：Go 把黑名单编进 crypto/x509，旧二进制必须重新编译

CA 中间证书私钥泄漏：Go 把黑名单编进 crypto/x509，旧二进制必须重新编译
2026-10-27 20:04:24
Go 1.27.3 / 1.26.10 只带一个安全修复：因某 CA 中间证书私钥泄漏（CVE-2026-111943），crypto/x509 的 Verify 会过滤掉含这批中间证书的链。黑名单编在二进制里，不是改系统根证书库，所以容器镜像和静态二进制必须重新编译。文中给出 go version -m、govulncheck -mode=binary 的核对命令，以及 Prometheus 镜像重建的做法。
Go TLS 安全证书 x509

bcrypt 的 72 字节是截断点：Go 报错、PHP 静默截断、WordPress 先 HMAC 再哈希

bcrypt 的 72 字节是截断点：Go 报错、PHP 静默截断、WordPress 先 HMAC 再哈希
2026-10-27 00:04:17
bcrypt 只把前 72 字节送进 Blowfish 密钥调度，第 73 字节起不参与运算。三套实现态度不同：Go 的 GenerateFromPassword 返回 ErrPasswordTooLong，但 CompareHashAndPassword 不检查长度；PHP 只拦 NUL 字节，超长交给 crypt() 截断；WordPress 6.8 先用 HMAC-SHA384 + base64 压到 64 字符再哈希，输出带 $wp 前缀。给出可复现代码、cost 与 rehash 升级做法，以及 OWASP 当前参数值。
bcrypt 密码哈希 Go PHP 安全

Redis 这几个 RCE 都写着「需要已认证」：把 ACL 当边界，比只绑 127.0.0.1 更接近实际

Redis 这几个 RCE 都写着「需要已认证」：把 ACL 当边界，比只绑 127.0.0.1 更接近实际
2026-10-26 21:07:45
RESTORE 反序列化、Lua use-after-free、阻塞客户端驱逐三条可导致 RCE 的 advisory 前置条件都写着「已认证用户」。只绑 127.0.0.1 解决的是谁能连上，不是能做什么。这篇给 Redis 8.10.3 的 cluster bus 4GB PUBLISH 修复背景，以及账号粒度的 ACL 写法与 ACL LOG 观察方法。
Redis 安全运维

Composer 2.11 加了个 cooldown：新版本先别急着装，dist 也不再回退到 source

Composer 2.11 加了个 cooldown：新版本先别急着装，dist 也不再回退到 source
2026-10-26 21:05:48
Composer 2.11.0-RC1 加了 cooldown 策略，把刚发布的新版本挡在配置窗口外，降低被投毒 release 打中的概率；同时移除 2.10 的 source-fallback，dist 安装不再回退 source。另有 TLS 拒绝被入侵的 eMudhra 中间证书、bin proxy 转义、429 重试与 HTTP/3 关闭，文末给升级与回滚步骤。
PHP Composer 依赖管理安全

jq 1.8.2 一次修了 16 个 CVE：把不可信 JSON 喂给 jq 的代价

jq 1.8.2 一次修了 16 个 CVE：把不可信 JSON 喂给 jq 的代价
2026-10-26 21:05:10
jq 常被塞进流水线解析外部 API、日志和用户上传的 JSON。1.8.2 一次修了 16 个 CVE：路径与 contains 的递归深度、堆溢出与越界读、NUL 截断导致的校验失真、哈希碰撞 DoS。按触发方式分组说明，并给出输入限长、ulimit、深度检查与制品校验的具体写法。
Shell 安全 jq 运维

Traefik ForwardAuth 把 NTLM 身份串给了别人：认证子请求共用连接池，v2.11.60 / v3.7.16 才隔离

Traefik ForwardAuth 把 NTLM 身份串给了别人：认证子请求共用连接池，v2.11.60 / v3.7.16 才隔离
2026-10-26 21:04:24
Traefik ForwardAuth 的认证子请求走所有客户端共享的连接池。当 auth server 用 NTLM 或 Kerberos Negotiate（常见于 IIS Windows 认证）时，A 用户已认证的连接会被复用给 B 的子请求，Traefik 拿到 200 就把 authResponseHeaders 里的身份转给后端。这篇整理受影响版本、排查 curl 命令，以及升级之外的两条降风险做法。
Traefik 安全运维网关

mod_php 默认配置就能未授权 RCE：PHP 8.5.12 / 8.4.27 修的两个洞

mod_php 默认配置就能未授权 RCE：PHP 8.5.12 / 8.4.27 修的两个洞
2026-10-26 20:02:35
PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 修掉两个可未认证利用的 RCE：CVE-2026-109618 是 memory_limit 触顶时留下的半初始化数据被当成有效数据，mod_php 默认配置下可复现；CVE-2026-109619 是致命错误把内部指针指向上一请求的内存，同 worker 后续请求踩到 UAF。附升级顺序、CVE/GHSA 编号，以及披露被 Chainguard 提前六小时打破的经过。
PHP 安全漏洞运维 mod_php

OpenSSH 10.6 关闭 LZ77 字典编码：压缩还在，但不再能当保密手段

OpenSSH 10.6 关闭 LZ77 字典编码：压缩还在，但不再能当保密手段
2026-10-25 21:07:23
OpenSSH 10.6 默认关闭 LZ77 字典编码，以缓解多路复用通道共享压缩上下文导致的明文恢复侧信道。本文说明攻击机制、Compression 选项现在还剩什么、命令行用户名拒绝 $ 与 \ 的影响面，以及 scp -R 弃用后的迁移点。
OpenSSH 安全运维 SSH

nginx 1.30.6 与 1.31.7 修复 5 个 CVE：`alias`+`rewrite`、AIO+SSI 两类配置需要优先自查

nginx 1.30.6 与 1.31.7 修复 5 个 CVE：`alias`+`rewrite`、AIO+SSI 两类配置需要优先自查
2026-10-25 21:04:03
nginx-1.30.6 与 1.31.7 修复 5 个 CVE，其中 3 个 CVSS 9.2。本文给出受影响版本区间、F5 公告里的具体触发配置（alias+rewrite+$request_filename、map 正则捕获前置引用、AIO+SSI）、三种临时缓解写法，以及哪些默认配置可以先排期升级。
nginx 安全运维 CVE

php://filter 默认只让串 16 层过滤器：升级前先数一遍链长

php://filter 默认只让串 16 层过滤器：升级前先数一遍链长
2026-10-24 21:09:04
PHP 8.6 给 php://filter 加了默认 16 层的链长上限，超过就直接打不开流并告警；这不是性能项，防的是 convert.iconv/base64/dechunk 长链把文件读取拼成可执行内容。同一版本还把 stream 失败改成结构化错误 API。本文给出升级前要数的链长、要搜的代码位置，以及错误存储的开启方式。
PHP 安全 stream

PHP 长驻 worker 的 OOM 排障：8.6 换掉 longjmp，多了 memory_hard_limit_percent

PHP 长驻 worker 的 OOM 排障：8.6 换掉 longjmp，多了 memory_hard_limit_percent
2026-10-23 21:05:40
PHP 8.6 起 OOM 不再用 longjmp 中途跳出，改为置标记跑到安全点报错，并新增 memory_hard_limit_percent 硬上限直接退出进程。本文解释改动对 FPM 与 FrankenPHP 长驻 worker 的影响、两道内存线怎么配、以及如何验证。
PHP 内存管理排障安全

Nginx UI 六个 CVE 复盘：AuthRequired 只校验 JWT，不校验会话，v2.5.0 才补上 RequireSecureSession

Nginx UI 六个 CVE 复盘：AuthRequired 只校验 JWT，不校验会话，v2.5.0 才补上 RequireSecureSession
2026-10-23 21:02:14
Nginx UI v2.5.0 一次修掉六个 CVE，五个都源自同一个假设：只要 JWT 有效就算已认证。梳理 2.0.0–2.4.x 的认证、CSRF、节点 token、备份 symlink 与升级 digest 链路，给出升级后的检查与轮换步骤。
Nginx 安全运维鉴权

Go 1.27.2 的两个 CONNECT 连接错位问题：反向代理侧怎么排查和处置

Go 1.27.2 的两个 CONNECT 连接错位问题：反向代理侧怎么排查和处置
2026-10-22 21:04:31
Go 1.27.2 修掉两个 CONNECT 连接错位：客户端 Transport 把带 body 的 CONNECT 发出去后又把连接放回空闲池，服务端返回 2xx 却没 hijack 时继续按 HTTP 读。说明触发条件、共享 Transport 下的跨用户响应投毒与请求走私、自查命令和缓解方式。
Go net http 反向代理安全

大家都在搜索什么？

devops 易支付一个官网+多少钱统一接受回调统一回调 python sub node 宝塔日志 mysql shell ElasticSearch css vue api接口对接 2025 支付接口对接 go php php回调