ESM-CJS双包危害治理（type-main-module-exports一致性）最佳实践
对 `type/main/module/exports` 进行一致性校验，避免双包危害导致的入口不一致与运行时异常，保障包可用性与安全性。
网络安全
Envoy CORS 跨域与预检缓存配置实践
在 Envoy 配置 CORS 过滤器与路由级策略，允许指定来源/方法/头并设置预检缓存，保证前端跨域请求安全可控。
FedCM登录与身份提供方治理（providers/mediation/nonce）最佳实践
通过FedCM对身份提供方列表、mediation策略与nonce绑定进行治理，在浏览器端实现安全一致的联邦登录体验并降低钓鱼风险。
Fetch Metadata与跨站泄露（XS-Leaks）防护最佳实践
以Fetch Metadata为核心，通过服务器端策略拒绝跨站危险请求，结合COOP/COEP与CSP，构建系统性的XS-Leaks防护。
Fetch Metadata请求门禁与跨站防护（Sec-Fetch-Site/Mode/Dest）最佳实践
通过统一的Fetch Metadata门禁策略，基于Sec-Fetch-Site/Mode/Dest判断并拒绝跨站危险请求，降低CSRF与XS-Leaks风险。
File System Access：showDirectoryPicker 目录选择与递归遍历
介绍目录选择与遍历读取文件的流程，权限与用户交互、递归遍历与过滤实现，并与持久化策略协同，提供示例与安全建议。
FormData 与 Blob：二进制上传与 multipart 构造
介绍 `FormData` 与 `Blob/File` 的构造与上传，用 `fetch` 提交 `multipart/form-data`，处理文件与元数据，并给出可靠性与安全建议。
HSTS预加载与TLS安全响应头治理
使用 HSTS 强制 HTTPS，并配置预加载与安全响应头，降低降级与中间人风险，统一域安全基线。
HSTS预加载与子域覆盖（includeSubDomains/preload）最佳实践
通过统一的HSTS策略与预加载规范、子域覆盖与时长上限控制，强制HTTPS并降低降级与劫持风险。
HTTP Content-Digest与完整性校验治理
使用 Content-Digest/Want-Digest 对响应/请求进行端到端完整性校验，配合缓存与范围请求确保实体一致。
HTTP Content-Digest与消息体完整性治理
使用 `Content-Digest`/`Digest` 对消息体建立摘要并在端到端校验，与消息签名协同保障实体完整性。
HTTP Retry-After与退避算法治理
在 429/503 等响应下使用 `Retry-After` 与退避算法进行重试，规范幂等与抖动控制，防止重试风暴。
HashiCorp Vault密钥管理与动态凭证实践
使用 Vault 管理密钥与发放动态凭证，配置租约TTL与轮换、AppRole/PKI与审计，提供集成与验证方法，避免明文与长期凭证风险。
Istio Wasm Filter 可观察性与零信任增强（2025）
# Istio Wasm Filter 可观察性与零信任增强（2025）
## 一、架构与集成
- Envoy 扩展：以 `Wasm Filter` 提供自定义度量/日志/策略检查。
- 注入方式：在 `EnvoyFilter` 配置中加载 Filter；版本与 ABI 稳定性治理。
## 二、观测与策略
- 观测：采集特定头与标签形成高维度指标；与 OpenTelemetry 接入。
- 策
