https://plumephp.com/posts/indie/indie-security-baseline/Recent content in 一个人的安全基线：十四个入口、十七个密钥与一次 72 小时响应（10 篇） on PlumePHPHugozh-CNMon, 26 Oct 2026 00:00:00 +0000https://plumephp.com/indie-security-10-security-acceptance/Mon, 26 Oct 2026 15:40:00 +0800https://plumephp.com/indie-security-10-security-acceptance/十四项做完，他一个人以为安全收工，直到一张二十项的验收表把剩下六项摊开：四维权重、2.60 的现状与 3.91 的目标之间，差的不是工具，而是每季度四次的 1.5 小时演练、一条能被客户复核的证据链与一次不给自己留面子的诚实扣分。https://plumephp.com/indie-security-09-incident-response/Mon, 26 Oct 2026 15:30:00 +0800https://plumephp.com/indie-security-09-incident-response/周六上午，他一个人没有值班表，却故意把一个装满虚构备份的桶设为公开，用一次 90 分钟演练检验响应顺序：47 分钟止血、影响 0 个客户、修复 3.5 小时。三级分级、三段时限与一页证据清单，把凌晨的惊慌压成可复算的动作。https://plumephp.com/indie-security-08-logging-and-audit/Mon, 26 Oct 2026 15:20:00 +0800https://plumephp.com/indie-security-08-logging-and-audit/客户问那 12 条任务是谁删的，他翻了三个小时日志只看到一串时间戳。此后他记九类事件、脱敏五列、用请求 ID 串联，每天 420 条、一年 153,300 条与 184 MB，免费留 180 天、付费留 365 天，把追责变成一次查询。https://plumephp.com/indie-security-07-rate-limits/Mon, 26 Oct 2026 15:10:00 +0800https://plumephp.com/indie-security-07-rate-limits/一个导出按钮在一小时里被调了 340 次，CPU 打满 47 分钟。他给注册、登录、导出与 AI 四类入口装上配额，每条规则四十分钟，一次性投入 2.67 小时，把最坏情况写成一个可以提前算清的数字，也让每一次误伤都有章可循。https://plumephp.com/indie-security-06-dependencies/Mon, 26 Oct 2026 15:00:00 +0800https://plumephp.com/indie-security-06-dependencies/四十一个直接依赖背后是约三百八十个间接依赖，一年一百八十六条告警只修二十三条。本文按高危、中、低三档排处理顺序，复算 10.3 小时修复加 4 小时审计，如何压住一次按 40 小时计的供应链事件，并给出每周二十分钟的固定动作。https://plumephp.com/indie-security-05-input-and-output/Mon, 26 Oct 2026 14:50:00 +0800https://plumephp.com/indie-security-05-input-and-output/输入与输出只有四条边界：参数化查询、按上下文转义、出站域名白名单、上传类型白名单加隔离存储。本文用 0 处字符串拼接、3 处渲染上下文、8 个域名与每月 294 MB 上传量，复算每条边界各自守住什么、漏掉之后会付出什么。https://plumephp.com/indie-security-04-secrets-and-config/Mon, 26 Oct 2026 14:40:00 +0800https://plumephp.com/indie-security-04-secrets-and-config/一次季度盘点，他在十八个月前的提交里找到一把对象存储密钥。他从这次发现倒推十七个密钥的三档轮换：critical 九十天、high 一百八十天、low 不主动换，全年 30 次共 7.13 小时，泄露后三十分钟四步收口。https://plumephp.com/indie-security-03-sessions-and-tokens/Mon, 26 Oct 2026 14:30:00 +0800https://plumephp.com/indie-security-03-sessions-and-tokens/共享电脑上的一次登录没有退出，四个小时里谁都能接着用。他用 344 个账号、619 个活跃会话与 310 KB 的会话表，换来三个数字：绝对过期 30 天、空闲过期 14 天、撤销延迟 0 秒，以及一次必须记住的登录教训。https://plumephp.com/indie-security-02-authentication/Mon, 26 Oct 2026 14:20:00 +0800https://plumephp.com/indie-security-02-authentication/一个用户说「我从没注册过」，他才发现登录页用两种文案回答了同一个问题。344 个账号、12 个弱密码、48 分钟强制改密，以及 32 字节、30 分钟、一次性的重置令牌和一条把响应时间差压到 50 ms 以内的防枚举规则。https://plumephp.com/indie-security-01-attack-surface/Mon, 26 Oct 2026 14:10:00 +0800https://plumephp.com/indie-security-01-attack-surface/一封域名过期邮件，让他发现注册邮箱同时是云账号、代码仓库和支付账号的找回入口。他把 14 个入口分成不可逆、高影响、中影响三档，用可能性乘影响打分并排出季度顺序，全年投入 53 小时，占全年 1,920 小时的 2.8%。