一、为什么"改表结构"是最容易出事的一次上线写代码出 bug，最坏的结果是一个页面报错或者某个功能失灵，回滚一次发版就能恢复。改数据库表结构不一样：代码可...
一、CORS 到底是什么在保护什么很多站长对 CORS（跨域资源共享）的理解停留在"报错就加个 Access-Control-Allow-Origin: ...
一、命令注入为什么比 SQL 注入更致命个人站长维护的站点里，大概有一半以上的项目最终都会遇到一个需求：执行系统命令。备份数据库要调 mysqldump，...
事务隔离级别是那种「平时完全不用管、出事时完全看不懂」的知识。绝大多数站长写代码时只会用到 BEGIN 和 COMMIT，从没想过中间发生了什么；直到某天...
IDOR（Insecure Direct Object Reference，不安全的直接对象引用）在国内讨论得不多，但在自建站里它几乎是最常见、也最容易上...
SSRF（Server-Side Request Forgery，服务端请求伪造）是个很别扭的漏洞：它跟 XSS、CSRF 不一样，攻击者不需要诱导你的用...
为什么用 top 看不出 Web 服务的真实瓶颈服务器变慢时，最先被打开的工具是 top。它给出 CPU 占用、内存使用、负载三个数字，然后运维开始猜：负...
注册登录模块为什么总是安全短板自建站和成品 CMS 最大的区别之一，是注册登录这块代码往往要自己写。框架提供了会话管理和密码函数，但从「用户提交的密码怎么...