分类：安全与运维

OAuth 2.0 解决授权问题（访问什么资源），OpenID Connect（OIDC）在其之上补充身份认证（你是谁）。 一、职责划分 OAuth 2.0：颁发 Access Token，用于访问受保护资源 OIDC：在 OAuth 2.0 上增加 ID Token（JWT 格式），携带用户身份信息 二、OIDC 授

开放 API 面临滥用、篡改与重放攻击，需构建多层防护体系。 一、请求签名 客户端将签名放入请求头，服务端用相同算法验证。密钥不传输，仅用于本地计算，防止请求被篡改。 二、防重放攻击 timestamp：拒绝超过 5 分钟的请求 nonce：服务端用 Redis 记录已使用的随机数，过期时间略大于时间窗 幂等键：对写操

SQL 注入（SQLi）长期盘踞 OWASP Top 10，其攻击本质在于：数据与代码的边界混淆。当应用将未经严格过滤的用户输入采用字符串拼接的方式组合成 SQL 语句传给数据库时，恶意输入改变了原本 SQL 语句的抽象语法树（AST, Abstract Syntax Tree）结构。例如简单的登录查询拼接：SQLSE

文件上传功能若校验不严，攻击者可上传 WebShell 获取服务器控制权。 一、常见绕过手法 修改 ContentType 为 image/png 绕过 MIME 检查 双扩展名 shell.php.jpg 绕过黑名单 利用解析漏洞（如 Apache 多后缀解析） 在图片 EXIF 中嵌入 PHP 代码配合文件包含 二

现代加密体系通常结合对称与非对称加密，兼顾性能与密钥分发安全。 一、两类加密对比 | 类型 | 代表算法 | 性能 | 密钥分发 | 用途 | |||||| | 对称加密 | AES、ChaCha20 | 高 | 困难 | 数据加密 | | 非对称加密 | RSA、ECDSA、ECDH | 低 | 容易 | 密钥交换、