标签: 安全

"每个接入互联网的大模型应用，都是一个潜在的攻击面。安全不是选项，而是必需。"

引言：大模型安全的新挑战

传统软件安全的攻击面是代码漏洞，而大模型安全的攻击面是语言本身。因为大模型的输入是自然语言，任何能发消息的人都是潜在的攻击者。

┌──────────────────────────────────────────────────────┐
│              大模型安全威胁全景                        │
│                                                      │
│  ┌─────────┐  ┌─────────┐  ┌─────────┐  ┌────────┐ │
│  │Prompt   │  │越狱     │  │数据投毒  │  │模型窃取│ │
│  │注入     │  │Jailbreak│  │Poisoning│  │Extraction│ │
│  └─────────┘  └─────────┘  └─────────┘  └────────┘ │
│                                                      │
│  ┌─────────┐  ┌─────────┐  ┌─────────┐  ┌────────┐ │
│  │信息泄露  │  │拒绝服务  │  │供应链   │  │对抗样本│ │
│  │Leakage  │  │DoS      │  │Supply   │  │Adversarial│ │
│  └─────────┘  └─────────┘  └─────────┘  └────────┘ │
│                                                      │
│  本篇重点：Prompt 注入 + 越狱 + 防护策略              │
└──────────────────────────────────────────────────────┘

郑天祺2026/7/3大约 24 分钟

线上被攻击排查实战：从异常流量到应急响应

线上系统被攻击是每个运维和开发都可能面临的紧急事件。本文从异常流量发现、攻击类型识别、应急响应处置到 WAF 防护配置，完整还原一次线上攻击事件的排查与处置全过程。

一、问题背景

某周五下午 14:32，监控系统连续触发多条告警：

[告警] API 网关 QPS 突增: 35,000 (正常: 3,000) 增长 11.7 倍
[告警] 5xx 错误率: 45% (正常: 0.1%)
[告警] 数据库 CPU: 98% (阈值: 80%)
[告警] 服务器 CPU: 95% (所有节点)
[告警] 入站流量: 2.3 Gbps (正常: 200 Mbps)
[告警] 登录接口失败率: 78%

郑天祺2026/7/3大约 15 分钟

Web 安全实战：XSS、CSRF 与 SQL 注入的攻击与防御

Web 安全实战：XSS、CSRF 与 SQL 注入的攻击与防御是网络安全中常见的威胁，攻击者通过各种手段获取非法利益或破坏系统安全。
本文介绍了Web 安全实战：XSS、CSRF 与 SQL 注入的攻击与防御的原理、危害和防御策略，帮助你构建更安全的系统。

OWASP Top 10 中，XSS、CSRF 和 SQL 注入至今仍是出现频率最高的安全漏洞。本文从攻击原理到防御方案，全链路覆盖。

一、XSS（跨站脚本攻击）

1.1 攻击原理

攻击者将恶意 JavaScript 注入到网页中，在用户浏览器中执行。

郑天祺2026/6/27大约 7 分钟

安全编码 Checklist：OWASP Top 10 与 Java 后端防御实践

安全编码 Checklist：OWASP Top 10 与 Java 后端防御实践是系统设计的重要考量，它关系到用户数据和系统资源的保护。
本文介绍了安全编码 Checklist：OWASP Top 10 与 Java 后端防御实践的原理和最佳实践，帮助你构建安全可靠的系统。

安全不是出事后补洞，而是编码时就做好防御。本文按 OWASP Top 10 整理一份可直接落地的安全编码 Checklist。

一、OWASP Top 10（2025）速览

排名	威胁	一句话描述
A01	访问控制失效	越权访问
A02	加密机制失效	明文存储/传输
A03	注入	SQL/命令/LDAP 注入
A04	不安全设计	架构层面安全缺陷
A05	安全配置错误	默认密码/开放端口
A06	易受攻击的组件	依赖漏洞
A07	认证与身份验证失效	弱密码/会话固定
A08	软件与数据完整性失效	未验证的更新/反序列化
A09	日志与监控失效	安全事件无感知
A10	服务端请求伪造（SSRF）	内网探测

郑天祺2026/6/27大约 8 分钟

密码学实战：对称加密、非对称加密、签名验签与证书体系

面试被问"RSA 和 AES 区别"答不清？HTTPS 握手过程讲不明白？签名和加密搞混了？从底层原理到 Java 代码，一篇讲透密码学核心。

一、密码学三大分支

对称加密（Symmetric）     → 加密解密用同一把密钥
  AES、DES、ChaCha20

非对称加密（Asymmetric）  → 公钥加密，私钥解密
  RSA、ECC、DSA

哈希算法（Hash）          → 不可逆，验证完整性
  SHA-256、MD5、SHA-3

衍生：数字签名 = 非对称加密 + 哈希
衍生：证书 = 公钥 + 身份 + 签名
衍生：密钥交换 = 非对称加密协商对称密钥

郑天祺2026/6/27大约 9 分钟

金融系统安全设计 Checklist：一个后端的自我修养

金融系统安全设计 Checklist：一个后端的自我修养是系统设计的重要考量，它关系到用户数据和系统资源的保护。
本文介绍了金融系统安全设计 Checklist：一个后端的自我修养的原理和最佳实践，帮助你构建安全可靠的系统。

金融系统面临的安全威胁远超普通应用：

┌────────────────────────────────────────────────────────────┐
│              金融系统安全威胁全景                                │
├────────────────────────────────────────────────────────────┤
│                                                            │
│  【外部威胁】                                                │
│  ├── 黑客攻击（SQL 注入、XSS、DDoS）                         │
│  ├── 欺诈交易（伪造请求、金额篡改）                             │
│  ├── 数据窃取（拖库、中间人攻击）                              │
│  └── API 滥用（爬取、撞库）                                  │
│                                                            │
│  【内部威胁】                                                │
│  ├── 内部人员滥用权限                                        │
│  ├── 运维人员误操作                                          │
│  ├── 开发人员硬编码敏感信息                                    │
│  └── 离职员工未回收权限                                       │
│                                                            │
│  【合规要求】                                                │
│  ├── PCI DSS（支付卡行业数据安全标准）                          │
│  ├── 等保 2.0（网络安全等级保护）                              │
│  ├── GDPR（通用数据保护条例）                                 │
│  └── 《个人信息保护法》                                       │
│                                                            │
└────────────────────────────────────────────────────────────┘

郑天祺2026/6/12大约 19 分钟