CSV/TSV 解析陷阱
系统梳理 CSV/TSV 解析的坑：RFC 4180 的引号与转义规则、分隔符与方言（dialect）检测、BOM 与编码、多行字段与换行符、引号内的逗号与换行、类型推断陷阱（科学计数法/前导零/日期/空值与 NULL 的歧义）、TSV 的额外约束、流式解析与内存、Excel 与公式注入安全，以及按场景的解析器选型建议。
tag
安全
共 120 篇文章。
模板引擎原理与选型
从编译原理视角讲透模板引擎：词法切分与占位符解析、编译型（Jinja2/Go template）与解释型（Mustache/Handlebars）的实现差异、Mustache/Jinja2/ERB/Go template 四大语法家族对比、自动转义与 XSS 防御、模板继承与宏的复用机制、沙箱与安全边界、渲染性能与缓存策略，以及按场景（Web 服务端/静态站点/邮件/配置生成）的选型建议。
URL 解析与百分号编码
从 RFC 3986 出发讲透 URL：五段式结构（scheme/authority/path/query/fragment）、百分号编码的保留字符与 unreserved 集合、query 与 form 编码的差异、加号与空格的歧义、IDN 与 UTF-8 编码、相对引用与点段移除、各语言解析 API 的行为差异，以及开放重定向、SSRF、路径穿越等安全陷阱与规范化防御。
DinD/DooD 与临时 CI Runner
在流水线里构建镜像有 DinD、DooD 与无守护进程构建器三条路。本篇讲清 docker:dind 的 privileged 与 TLS 配置、storage driver 在嵌套场景下的坑、挂载 docker.sock 的风险边界，给出 GitLab Runner docker executor 与临时 runner 的落地配置、层缓存复用策略与安全加固清单。
Podman 与 Docker 迁移对比
从 daemon 与 daemonless 的架构差异出发，对比 Docker 与 Podman 的进程模型、rootless 默认行为、命令行兼容层、Compose 与 systemd/Quadlet 集成、镜像与 registry 互通性，并给出可回退的迁移路径、常见坑位清单与混合共存策略，帮助团队判断该不该迁、怎么迁、迁完如何验证。
证书管理与自动轮换：cert-manager 与 kubelet 证书轮换
系统梳理 Kubernetes 的证书体系与自动轮换：控制面证书清单与 kubeadm certs 命令、kubelet TLS Bootstrap 与证书自动轮换、ServiceAccount Token 从 Secret 到 TokenRequest 投影卷的演进、cert-manager 的 Issuer/Certificate/Ingress 集成，以及证书过期告警实践。
EQL 事件查询与序列检测
讲解 Elasticsearch EQL 事件查询：事件序列语法与 until 边界、sequence 与 sample 模式、by 分组与 maxspan 取舍、与 Query DSL 的能力差异、安全检测场景建模，以及序列匹配的性能开销与常见报错。
零信任架构落地实践
零信任架构的工程化落地：身份即边界与持续验证、短周期凭证与风险评分、微隔离与最小权限的策略生成、设备与工作负载身份 SPIFFE 实践、分阶段迁移路线与遗留系统兼容的三种折中方案，并附常见踩坑清单与规避手段，帮助团队在不中断业务的前提下稳步推进。
软件供应链与 SBOM
本文讲软件供应链安全与 SBOM 的工程化落地，回答如何生成与消费 SBOM、SLSA 等级怎么对照、制品如何签名验证、依赖混淆与投毒怎么防。覆盖 SPDX 与 CycloneDX 的字段差异、purl 与 VEX 的作用、Sigstore 无密钥签名、构建溯源与策略门禁，并给出可执行的分阶段落地路线。
LLM 护栏与提示注入防护
提示注入是 LLM 应用唯一无法靠模型自身根治的漏洞，因为它攻击的是模型的指令遵循能力本身。本文给出可落地的纵深防御：直接与间接注入的攻击面拆解、输入分隔与检测、系统提示词泄露的 canary 方案、输出审查与 PII 脱敏、工具调用白名单与参数校验、越狱分类器，以及红队测试用例设计与护栏的性能成本核算。
鸿蒙应用安全：权限模型与 HUKS 密钥管理
本文系统梳理 HarmonyOS NEXT 的应用安全实践：system_grant 与 user_grant 两类权限的差异、受限权限 ACL 的申请流程、应用沙箱与数据分级、HUKS 密钥生成与加解密用法、证书与签名校验、网络安全配置与证书锁定，以及代码混淆与加固的取舍。
开源漏洞响应与 CVE 流程
本文讲开源漏洞响应与 CVE 流程，回答收到漏洞报告后怎么处理、CVE 编号怎么申请、如何协调披露时间。覆盖安全政策与报告渠道、私密协作与修复窗口、CVE 与 GHSA 编号申请、CNA 角色、披露时机与公告撰写、下游通知与补丁回溯，给出响应时间线模板与常见失误。
实时通信的端到端加密与安全
讲清 WebRTC 的内建安全机制与局限：拆解 DTLS 握手与 SRTP 密钥导出、指纹验证与中间人风险、为什么 SFU 能看到明文、基于 Insertable Streams 与 SFrame 的端到端加密方案、MLS 密钥协商，以及信令鉴权与身份认证的工程实践与常见坑。
Elixir 认证授权实战：JWT、Guardian 与 Phoenix.Token
系统讲解 Elixir 生态的认证授权方案：JWT 的三段结构与签名算法、Guardian 的配置与 Pipeline 插件链、Token 签发验证与刷新、Phoenix.Token 的适用边界、令牌吊销与密钥轮换，以及 alg=none、算法混淆、重放等常见攻击面与防御。
Scala Web 安全与鉴权实战：JWT、OAuth2 与安全加固
从认证与授权的本质区别讲起，系统落地 Scala Web 安全体系：JWT 签名算法选型与撤销黑名单、OAuth2 授权码加 PKCE 与 OIDC 集成、bcrypt 与 Argon2id 密码存储、Cookie 与 CSRF 防护、tagless-final 下的 RBAC 与 ABAC 鉴权抽象，以及 SQL 注入、XSS、SSRF、CORS、CSP 等常见漏洞的防护与生产加固清单。
Nginx 证书自动化与 ACME：certbot、DNS-01 通配符与自动续期
讲解 Nginx 证书自动化的完整链路，涵盖 ACME 协议与 HTTP-01/DNS-01 挑战选择、certbot 与 acme.sh 的配置方式、通配符证书申请、自动续期与原子 reload、以及证书过期监控与故障排查。
IAM 策略建模：条件键、边界与跨账号
用 Terraform 建模 IAM 权限：策略文档的 Effect/Action/Resource 语义、用 data source 生成 JSON、条件键与标签约束、权限边界与会话策略、跨账号信任关系，以及策略验证与组织级治理。
私信系统与端到端加密：会话模型、消息时序、E2EE 与多端同步
系统讲解微型博客私信系统与端到端加密的工程实现：从可靠、有序与隐私三角出发，设计单聊群聊的会话模型与消息存储，用单调递增序号与因果序解决消息时序，详解 X3DH 密钥协商与双棘轮算法，落地多端同步的设备列表与密钥分发，并覆盖长连接投递、离线补偿、已读回执一致性、元数据保护、加密数据可检索困境与合规举报通道。
Clojure 认证授权与安全实践：Ring 安全链、JWT、密码哈希与审计
深入 Clojure Web 应用的认证授权与安全实践：Ring 中间件安全链、Session 与会话管理、JWT 与令牌设计、密码哈希与密钥管理、CSRF/XSS/SQL 注入防护、权限模型与审计日志，帮你把安全从「散落的检查」变成「可复用、可测试、可审计的中间件链」。
准入控制深度：Validating/Mutating Webhook 与策略执行
系统梳理 Kubernetes 准入控制链——ValidatingAdmissionWebhook 与 MutatingAdmissionWebhook 的配置字段、failurePolicy 与超时语义、Webhook 服务端的 TLS 与证书轮换、OPA Gatekeeper 与 Kyverno 策略引擎对比，以及准入链顺序、幂等性、高可用与排错的生产实践。