安全相关技术文章

php mysql shell go vue css api接口对接支付接口对接

PHP 8.6 session 安全默认值变更：use_strict_mode、cookie_httponly、cookie_samesite 都改了

PHP 8.6 session 安全默认值变更：use_strict_mode、cookie_httponly、cookie_samesite 都改了
2026-10-10 21:02:48
PHP 8.6 把 session 的三个 INI 默认值改为安全值：use_strict_mode=1、cookie_httponly=1、cookie_samesite=Lax，并调整了 session_encode() 空会话返回值与 lazy_write 写入路径。本文列出哪些场景会被打破、自定义 handler 要补哪些方法、以及如何显式回退旧行为。
PHP Session 安全文件管道兼容

支付接口日志脱敏：别让 APIv3 密钥、账单下载签名和回调明文进日志

支付接口日志脱敏：别让 APIv3 密钥、账单下载签名和回调明文进日志
2026-10-10 09:01:48
支付接口对接中最容易被日志漏出的三类敏感数据（APIv3 密钥/私钥、回调密文与解密明文、账单 download_url 与 Authorization 头），从网关 access log、HTTP 客户端 debug 开关、异常捕获、前端上报四条泄漏路径切入，给出 slog/Monolog/nginx 白名单脱敏写法与上线前检查清单。
支付接口日志脱敏安全微信支付排障运维平台证书

Vault 2.0 GA 于 2026-04-14：SCIM、SPIFFE JWT-SVID、Secret Sync 与 1.21 的 CSI 挂载

Vault 2.0 GA 于 2026-04-14：SCIM、SPIFFE JWT-SVID、Secret Sync 与 1.21 的 CSI 挂载
2026-10-09 21:07:51
Vault 2.0（2026-04-14 GA）带来 SCIM 身份预配、SPIFFE JWT-SVID、Secret Sync（WIF 同步密钥不存静态凭据）、信封加密、AWS KMS 多区域密钥与 Linux 本地账户 secrets engine；并回顾 Vault 1.21 的 SPIFFE 认证、KV v2 created_by 归属、MFA TOTP 自助注册与 VSO 的 CSI 挂载。
Vault 密钥管理安全运维 2.0

2026 年 nginx 21 个 CVE 修复版本矩阵：9 月 HTTP/3 堆溢出与两个 major 漏洞

2026 年 nginx 21 个 CVE 修复版本矩阵：9 月 HTTP/3 堆溢出与两个 major 漏洞
2026-10-08 21:04:07
nginx 在 2026 年收录了 21 个 CVE，修复分布在 2 月到 9 月的 7 个版本。本文给出完整的 mainline/stable 修复矩阵，重点拆解 9 月的 CVE-2026-90439（HTTP/3 + OpenSSL<=3.5.0 堆溢出）与两个被标 major 的漏洞，并给出该升到哪个版本与自查方法。
nginx 安全 CVE 运维版本升级堆溢出

Redis 8.10.2 安全修复：cluster bus 认证与事务 ACL 撤销

Redis 8.10.2 安全修复：cluster bus 认证与事务 ACL 撤销
2026-10-06 21:03:43
Redis 8.10.2 安全修复：cluster bus 协议在未启用 tls-cluster 时没有自身认证，新增 cluster-bus-port-protected-mode（默认 no）；事务中排队的命令曾能访问已被撤销 ACL 权限的 key。附配置片段、bus 端口加固与升级建议。
Redis 集群安全 ACL

OpenSSL 3.6.4 安全修复：QUIC INITIAL 双重释放与 CMS 解包 8 字节越界写

OpenSSL 3.6.4 安全修复：QUIC INITIAL 双重释放与 CMS 解包 8 字节越界写
2026-10-04 21:03:43
OpenSSL 3.6.4（2026-08-25）安全修复里两条有明确触发路径：CVE-2026-18798 QUIC 服务端处理 INITIAL 包时双重释放，CVE-2026-63072 因长度查询与实际写入不一致导致 CMS 解包固定 8 字节越界堆写。本文拆解成因，并整理 3.6 相对 3.5 的新增能力、不兼容点与 2026-11-01 的支持结束时间。
OpenSSL 安全 TLS 运维

PostgreSQL 18.6 升级自查：pgcrypto 曾静默把明文 XOR，GIN reltuples 也要检查

PostgreSQL 18.6 升级自查：pgcrypto 曾静默把明文 XOR，GIN reltuples 也要检查
2026-10-04 21:01:45
PostgreSQL 18.6 发布，18.5 因回归从未发布。其中 pgcrypto 的 PGP 加密在遇到不支持的 cipher（FIPS、legacy provider 未加载，如 blowfish/cast5/3des）时会静默把明文 XOR，等于没加密；新版默认解密失败，需 ignore-cipher-failure=1 剥壳重加密。另含逻辑解码输出插件白名单与 GIN reltuples、reindex 自查。
PostgreSQL pgcrypto 数据库安全

PHP 8.6 三个 session 默认值转向安全：Lax 会让跨站 POST 丢 session

PHP 8.6 三个 session 默认值转向安全：Lax 会让跨站 POST 丢 session
2026-10-04 21:01:45
PHP 8.6 把 session.use_strict_mode、cookie_httponly 默认设为 1，cookie_samesite 默认 Lax。三者各自防一类攻击，也各自能打断正常应用：Lax 会让跨站 POST 的 SSO 与支付回调丢 session，httponly 打断读 cookie 的前端 JS，strict_mode 拒绝外部传入的 session id。本文给出升级前自查与回退做法。
PHP PHP8.6 Session 安全表单

开放接口签名与防重放：appId、nonce、HMAC/RSA 和验签顺序

开放接口签名与防重放：appId、nonce、HMAC/RSA 和验签顺序
2026-10-03 21:31:38
开放 API 对接怎么做签名与防重放：appId/timestamp/nonce/bodyHash/sign 各字段作用、签名串规范、服务端验签顺序、HMAC 与 RSA 选型、Redis nonce 防重放落地，并说清防重放与幂等的区别。
接口对接 API 安全签名防重放 HMAC

Fiber v3.5.0 的 proxy 中间件默认拒绝内网上游，内网部署需显式放行

Fiber v3.5.0 的 proxy 中间件默认拒绝内网上游，内网部署需显式放行
2026-10-03 21:03:13
Fiber v3.5.0 给 proxy 中间件加了 proxy.SecurityPolicy，默认拒绝 private/loopback 上游、非 http(s) scheme 与 HTTPS→HTTP 降级，并剥离 hop-by-hop 头；代理内网上游需显式设置 AllowPrivateIPs。含代码片段与运行要求。
Go Fiber Web框架中间件安全

MySQL 社区版 8 月安全更新：3 个组件族受影响，最高 CVSS 8.2，4 条可未认证远程触发

MySQL 社区版 8 月安全更新：3 个组件族受影响，最高 CVSS 8.2，4 条可未认证远程触发
2026-10-02 21:03:49
Oracle 2026 年 8 月 MySQL 社区版安全更新：8 条、3 个组件族、4 条可未认证远程触发，最高 CVSS 8.2，涉及 MySQL Cluster(NDB Operator)、MySQL Shell(libssh)、Connector/ODBC。本文列清受影响版本范围，并补上 7 月 X Plugin 可被接管(CVE-2026-60316)与 Server: Optimizer 可打崩条目，附自查与打补丁思路。
MySQL 安全数据库运维 CVE

NGINX map 正则捕获顺序引发堆溢出：CVE-2026-42533 与 1.31.3 / 1.30.4 修复清单

NGINX map 正则捕获顺序引发堆溢出：CVE-2026-42533 与 1.31.3 / 1.30.4 修复清单
2026-10-02 21:03:10
F5 2026-07-15 带外披露 NGINX 内存破坏漏洞群，最严重的是 CVE-2026-42533（map 正则捕获变量引用顺序导致堆溢出，CVSS 9.2），与 60005/56434 共用修复版本 1.31.3 / 1.30.4。本文给出受影响版本、命名捕获的规避写法，以及 42530/42055/42945 与关 HTTP/3 等临时缓解。
NGINX 安全运维 CVE 服务器堆溢出

OpenSSH 10.5 修复 ssh-agent 锁定绕过与 sshd restrict 隧道转发遗漏

OpenSSH 10.5 修复 ssh-agent 锁定绕过与 sshd restrict 隧道转发遗漏
2026-10-02 21:03:10
OpenSSH 10.5 修复了两处安全边界问题：ssh-agent 锁定时 session-bind 绑定请求被误拒，导致本应限本地的操作（加 PKCS#11 token、使用带 destination 限制的密钥）可被远程执行；sshd 的 restrict 关键字此前未覆盖隧道转发。另含 Portable 强制 ECC/NISTP521 与 10.4/10.3 关键项。
OpenSSH 安全运维 SSH 服务器

Go 1.26.6 / 1.25.13 修复 10 个安全问题：net/url 的 O(n²) 与 TLS 1.3 KeyUpdate 派生循环

Go 1.26.6 / 1.25.13 修复 10 个安全问题：net/url 的 O(n²) 与 TLS 1.3 KeyUpdate 派生循环
2026-10-01 21:02:26
Go 1.26.6 与 1.25.13 的 10 个安全修复整理：net/url resolvePath 的 O(n²) DoS、crypto/tls 被 KeyUpdate 无限触发密钥派生、html/template JS 正则上下文 XSS、encoding/xml 递归、net/http 明文 HTTP/2 超时等，附 CVE 与 issue 号。
Go 安全 CVE net url crypto tls

MySQL 9.7 的 caching_sha2_password：切到 PBKDF2_SHA512 后，enforce 会把账号按在登录口改密

MySQL 9.7 的 caching_sha2_password：切到 PBKDF2_SHA512 后，enforce 会把账号按在登录口改密
2026-09-26 21:04:34
MySQL 9.7 的 caching_sha2_password 新增 PBKDF2_SHA512 存储格式，用 caching_sha2_password_storage_format 切换首选格式；开启 enforce 会让非首选格式账号登录后强制改密。本文给出两个变量、SQL 操作、副本升级顺序与服务账号风险。
MySQL 认证安全升级运维

Laravel 13：PHP 8.3 起跳，PreventRequestForgery 做 origin 校验，Cache::touch 一条 EXPIRE 续期

Laravel 13：PHP 8.3 起跳，PreventRequestForgery 做 origin 校验，Cache::touch 一条 EXPIRE 续期
2026-09-26 21:03:32
Laravel 13 最低要求 PHP 8.3，CSRF 中间件更名为 PreventRequestForgery 并优先检查 Sec-Fetch-Site；Cache::touch 用一条 EXPIRE/TOUCH/UPDATE 续 TTL 而不取值。本文整理这两处升级注意点及 #[Middleware]/#[Authorize]、Queue::route、pgvector 语义搜索等改动。
PHP Laravel 框架缓存安全感知

PHP 8.6 升级：三个 session 默认值静默翻转，跨站 POST 会掉登录

PHP 8.6 升级：三个 session 默认值静默翻转，跨站 POST 会掉登录
2026-09-26 21:01:43
PHP 8.6 最可能打断生产环境的不是移除的函数，而是 session.use_strict_mode、cookie_httponly、cookie_samesite 三个默认值翻转且不报错。本文列出三项改动、跨站 POST 掉登录的复现路径、trim/unpack/NUL 字节等静默行为变更与弃用清单，并给出上线前的排查顺序。
PHP 8.6 session 升级迁移安全

Shadow Account 有两种含义：Entra B2B 里故意建的 AD 影子账号，和 IAM 管不到的孤儿凭据

Shadow Account 有两种含义：Entra B2B 里故意建的 AD 影子账号，和 IAM 管不到的孤儿凭据
2026-09-25 00:04:12
Shadow Account 有两层语义：一类是 Entra ID B2B 访客接入本地 AD 时按脚本故意创建的 AD 影子账号（附属性、参数与限制），另一类是落在 IAM 生命周期之外、没人认领的孤儿凭据与服务账号。本文讲清两者边界、典型来源、审计盲区，以及 secrets 扫描、OAuth 审计、吊销验证等实操做法。
Shadow Account 影子账户 IAM 非人类身份 AD 运维安全治理

Redis 8.2.10：集群总线默认无认证，未启用 tls-cluster 的节点启动时会告警

Redis 8.2.10：集群总线默认无认证，未启用 tls-cluster 的节点启动时会告警
2026-09-24 21:14:58
Redis 8.2.10 安全修复：集群总线协议自身无认证（除非启用 tls-cluster），任何能访问 bus 端口的机器都可能加入集群。节点启动时会对未认证的 bus 端口告警，新增 cluster-bus-port-protected-mode 选项（默认 no）。含如何自查暴露、tls-cluster/防火墙加固与同批其他安全修复。
Redis 安全集群运维

Nginx CVE-2026-42533：map 正则捕获变量触发 worker 堆溢出，修复版本 1.31.3+/1.30.4+

Nginx CVE-2026-42533：map 正则捕获变量触发 worker 堆溢出，修复版本 1.31.3+/1.30.4+
2026-09-24 21:14:17
Nginx CVE-2026-42533：map 指令正则匹配加捕获变量引用触发 worker 堆缓冲区溢出，可致 DoS、ASLR 关闭时可能代码执行。修复版本 1.31.3+/1.30.4+。含受影响版本自查、Ubuntu USN-8563 补丁回退经过与对应包版本、无法立即升级时的缓解方向。
Nginx 安全 CVE 运维

OpenSSH 10.x 变更清单：sshd 拆出 sshd-auth、默认关闭 modp DH，客户端换用 mlkem768x25519

OpenSSH 10.x 变更清单：sshd 拆出 sshd-auth、默认关闭 modp DH，客户端换用 mlkem768x25519
2026-09-24 21:14:17
OpenSSH 10.x 关键变更整理：认证阶段代码拆到独立的 sshd-auth 二进制（pre-auth 攻击面地址空间隔离）、sshd 默认禁用 modp DH、moduli 缺请求区间不再隐式回退、客户端默认改用混合后量子 KEX mlkem768x25519，以及 scp setuid 位、GSS-API 等相关 CVE 与升级前自查项。
OpenSSH 运维安全 SSH

ShowDoc 两个未授权入口：SQL 注入读 token，上传目录 getshell

ShowDoc 两个未授权入口：SQL 注入读 token，上传目录 getshell
2026-09-21 21:03:14
ShowDoc 默认 PHP + SQLite 部署，有两条影响面较大的入口：2.8.7 之前的未经验证文件上传 RCE（CVE-2025-0520），3.2.5 及之前的未授权 SQL 注入可读走 SQLite 里的用户 Token。本文整理影响版本、利用前置条件与 7 条加固项。
安全 PHP SQL注入漏洞修复性价比

ZCode 静默上传 313MB 工作区快照：86.6% 是 .git，两个 UI 开关都不参与判断

ZCode 静默上传 313MB 工作区快照：86.6% 是 .git，两个 UI 开关都不参与判断
2026-09-21 21:01:43
安全研究员逆向发现智谱 ZCode 登录后静默打包整个工作区上传，313MB 加密快照里 .git 占 86.6%，信封加密私钥只在服务端，UI 两个开关都不控制上传。本文整理取证细节、调用链、自查命令与凭据轮换处置。
安全 Git AI编程工具数据泄露

Cursor Self-Hosted Machines 企业部署：执行在内网，推理和 Agent Loop 仍在 Cursor 云端

Cursor Self-Hosted Machines 企业部署：执行在内网，推理和 Agent Loop 仍在 Cursor 云端
2026-09-20 21:31:35
Cursor 2026 年 9 月推出 Self-Hosted Machines，把 Agent 的文件编辑、Shell、Build、MCP 执行迁到企业自有服务器。本文讲清它的真实数据边界：执行留在内网，但推理与 Agent Loop 仍在 Cursor 云端，工具输出会回传。附 My Machines 与 Team Pools 取舍、K8s 单任务隔离 Pod 配置、出站白名单域名、Secretless Access 与 90 天落地路线。
Cursor 自托管 Kubernetes AI Agent 安全

大家都在搜索什么？

devops 易支付一个官网+多少钱统一接受回调统一回调 python sub node 宝塔日志 mysql shell ElasticSearch css vue api接口对接 2025 支付接口对接 go php php回调