Birdor 商业计划书第三十五章：隐私、安全与数据策略
制定 Birdor 的隐私保护、数据安全、合规策略和业务连续性计划，覆盖数据生命周期、AI 数据处理、用户权利、安全架构和事件响应。
tag
安全
共 120 篇文章。
Birdor JWT Decoder PRD：解析、时间转换、安全提示与 API 调试
定义 Birdor JWT Decoder 的产品需求，覆盖 JWT 解析、claim 展示、过期时间、安全提示、AI 解释、相关工具、Verify 扩展和验收标准。
JWT Decoder 工具页应该怎么做：解析、解释、安全提示和工作流
以 JWT Decoder 为例，说明 Birdor 如何设计一个面向开发者的安全工具页，覆盖 JWT 解析、过期时间、安全风险、AI 解释、API 调试工作流和 Pro/API 扩展。
Webhook 安全合规与审计：GDPR、SOC2、审计日志与数据保护（2025 合规指南）
Webhook 安全合规完整指南：GDPR/SOC2 数据保护要求、审计日志设计、TLS 1.3 强制、密钥轮换策略、数据保留与删除。含 Go 实现和合规 checklist。
「短网址服务」安全测试清单
输入校验与防注入 * SQL 注入 * 在生成短链 API 中输入恶意 URL： * 在搜索接口传入注入语句： * 预期：系统返回参数错误（100001），无数据泄露。* HTML 注入 * 自定义短码输入 HTML 标签： * 预期：保存失败，提示「短码不合法」。
Go 随机数入门：math/rand、crypto/rand 和安全 Token
本文详解 Go 中 math/rand 和 crypto/rand 的区别与用法，覆盖测试随机数生成、业务抽样、安全 Token、验证码等场景，附带常见错误与最佳实践。
Go 跨平台路径处理完全指南：filepath、embed 与路径安全实践
全面讲解 Go 跨平台路径处理方案，涵盖 path 与 path/filepath 对比、Windows/Unix 路径差异、filepath 核心 API 原理、embed 资源路径处理、Docker 容器路径映射与路径遍历攻击防范。
Go 密码哈希完整安全指南：bcrypt、Argon2、盐值与时序攻击防范
深入对比 bcrypt、argon2、scrypt 和 pbkdf2 四种密码哈希算法，讲解 Go 中各算法的使用方法、盐值与 pepper 原理、密码验证流程、时序攻击防范技术、密码策略与会话管理，以及 OAuth2/OIDC 替代方案。
Go TLS/HTTPS 客户端安全完全指南：证书验证、双向认证与 TLS 1.3
深入讲解 Go crypto/tls 配置的方方面面，涵盖 InsecureSkipVerify 的危险性、客户端证书双向认证、自定义 CA 证书池、证书固定技术、TLS 1.3 支持、HTTP Client Transport TLS 配置，以及常见 TLS 配置错误与安全漏洞防范。
Go Fuzzing 基础工作流完整教程：从第一个 Fuzz 函数到 CI 持续集成
从编写第一个 fuzz 函数开始，系统讲解种子语料库准备、运行与监控、崩溃发现与分析、回归测试编写，以及与 CI/CD 的持续集成策略，涵盖不同类型输入的 fuzzing 方法。
Go Fuzz 测试 2024 完全指南：从语法到实战的模糊测试体系
系统讲解 Go 内置 Fuzz 测试的完整使用方法，涵盖 go test -fuzz 语法、语料库管理、fuzzer 架构、生成器函数编写、覆盖率引导、崩溃复现与最小化、CI 集成策略，以及在 API 解析器和编解码器中的实战应用。
Go 入门：随机数别乱用，Token 要用 crypto/rand
随机数是入门时很容易被低估的主题。math/rand 适合模拟和非安全场景，crypto/rand 才适合 Session、验证码、重置链接等安全场景。本文讲解两类随机数的正确使用和 Token 安全设计。
PostgreSQL 生产安全指南：权限体系、行级安全策略与 SSL 硬实战
详解 PostgreSQL 生产安全加固：角色与权限体系（GRANT/REVOKE/Row Level Security）、SSL/TLS 加密配置、pg_hba.conf 认证矩阵、审计日志（pgaudit）、CVE 修复流程、CIS Benchmark 安全基线，覆盖从安装到运维的全生命周期安全策略。
Lua 环境与沙箱机制：_ENV 与安全隔离详解
详解 Lua 的全局环境与 _ENV 机制：如何通过自定义环境实现沙箱隔离、安全地执行不可信代码、控制可用函数白名单，以及游戏插件系统中的环境隔离实践。
LLM 安全实战：Prompt Injection 攻击分类与防御体系
全面解析 Prompt Injection 攻击原理，覆盖直接注入、间接注入、越狱攻击等类型，提供企业级分层防御策略（输入过滤/提示加固/输出校验/运行时沙箱），含完整 Python 防御代码与 OWASP 合规框架。
AI 安全红队测试：构建企业级 LLM 对抗评估体系
从0到1构建 AI 红队测试体系，覆盖自动化漏洞扫描、对抗样本生成、多智能体红队博弈。提供 PyRIT 和 Garak 框架实战、风险评分矩阵、CI/CD 集成方案，输出可落地的企业级安全基线。
Go 密码重置 Token 入门：随机数、过期时间和一次性使用
找回密码看起来是一个普通功能：用户输入邮箱，系统发送链接，用户点开后设置新密码。真正实现时，最关键的是 token。它必须足够随机，不能长期有效，最好一次性使用，数据库里也不应该明文保存。本文用 Go 写一个入门版密码重置 token 流程。
Webhook 安全防御指南：签名校验、TLS 与重放攻击防护
Webhook 安全防御实战：HMAC-SHA256 签名校验（Go/Node/Python/Java）、TLS 强制、IP 白名单、重放攻击防护（时间戳+nonce）、常见漏洞检查表，含完整可运行代码。
Go HTML 模板安全入门：自动转义、模板函数和页面渲染边界
从一个小型页面开始讲 Go html/template 的自动转义、安全边界、模板函数和常见误用，适合刚开始写 Go Web 页面的读者。
智能合约开发实战：Solidity 核心特性与安全编码
从 Solidity 语言核心特性到 Hardhat/Foundry 开发工具链，覆盖重入攻击、溢出、访问控制等常见漏洞及其防御策略，以及智能合约安全审计流程。