DNS over HTTPS（DoH）与DNS安全策略最佳实践
通过DoH与DNS安全策略实现加密解析与隐私保护，结合解析器白名单与缓存治理，构建可验证的DNS安全基线。
网络安全
Document Policy：禁用不推荐特性与兼容治理
说明 Document Policy 响应头的配置，用于禁用或限制不推荐特性（如 `document.write`），在站点层面推动兼容与性能治理，提供示例与参考。
Kafka MirrorMaker 2多集群灾备与延迟治理
使用 MM2 在多集群间进行主题镜像与灾备，规范命名与拓扑、延迟与一致性治理，保障跨地域数据与消费安全。
OAuth2 PKCE与授权码安全：拦截与重放防护
使用 PKCE 保护授权码流程，防止拦截与重放，结合 `state`/`nonce` 与精确回调治理安全边界。
API网关认证模式：JWT、mTLS与API Key对比
对比三类常见认证模式的适配场景与治理策略，在网关层统一校验与授权，兼顾安全与易用性。
Cookie与会话安全策略统一落地（属性收敛与滚动）最佳实践
统一会话安全基线与可验证的落地方案，包含Cookie属性收敛（Secure/HttpOnly/SameSite、精确Path/Domain）、登录后会话ID滚动与TTL策略、CSRF令牌、设备指纹绑定与注销回收，附服务端设置与校验示例。
HSTS 与预加载：全站 HTTPS 的防护与部署
介绍 HSTS 的工作原理与弱点，解释预加载列表的意义与提交要求，并给出部署与回滚注意事项及权威参考。
JWT 安全与刷新策略（2025）
# JWT 安全与刷新策略（2025）
JWT 便于跨服务鉴权，但需在签发与存储与刷新上做严格治理。
## 一、签发与校验
- 算法与密钥：使用强算法与安全密钥管理；拒绝 `none` 算法。
- 声明：`iss`/`aud`/`exp`/`iat`/`sub` 等完整声明校验。
## 二、刷新与轮换
- 短期 Access Token + 刷新令牌；刷新令牌仅用于续期。
- 轮换：每次刷新
Cookie 前缀实践：__Host- 与 __Secure- 的使用与约束
解释 Cookie 前缀的安全约束与用途，给出在会话标识与跨子域隔离中的实践建议，并说明与 Secure/SameSite 的协作。
JWT声明与时限验证（aud/iss/exp/nbf/jti）最佳实践
通过`aud/iss/exp/nbf/jti`校验与算法限定、时钟偏移容忍与一次性标识，保障JWT在多环境中的稳健可信。
ESM-CJS双包危害治理（type-main-module-exports一致性）最佳实践
对 `type/main/module/exports` 进行一致性校验，避免双包危害导致的入口不一致与运行时异常，保障包可用性与安全性。
JWT令牌安全实践（短期有效、旋转与撤销）最佳实践
统一令牌安全基线与可验证方案，包含短期有效策略、jti撤销与黑名单、密钥轮换与kid管理、aud/iss强校验与算法固定，附签发与验证示例。
OAuth mTLS客户端认证与令牌绑定（cnf.tls_client_cert）最佳实践
通过mTLS客户端证书认证与在令牌中嵌入cnf.tls_client_cert拇指指，实现令牌绑定与盗用阻断，提升端到端安全。
AI 安全与评估体系（2025）
# AI 安全与评估体系（2025）
AI 系统的安全与质量需要制度化治理。本文从指标、攻防与审计三个方面展开。
## 一、评估指标
- 准确性与一致性：针对任务定义标注集与评分标准。
- 幻觉控制：回答需可追溯来源；无法回答时明确退路。
- 鲁棒性：对对抗样本与异常输入进行压力评估。
## 二、数据泄露与防护
- 最小权限：隔离敏感数据，严格访问控制与审计。
- 输出检测：对潜在泄露与敏感
