一、命令注入为什么比 SQL 注入更致命个人站长维护的站点里，大概有一半以上的项目最终都会遇到一个需求：执行系统命令。备份数据库要调 mysqldump，...
事务隔离级别是那种「平时完全不用管、出事时完全看不懂」的知识。绝大多数站长写代码时只会用到 BEGIN 和 COMMIT，从没想过中间发生了什么；直到某天...
IDOR（Insecure Direct Object Reference，不安全的直接对象引用）在国内讨论得不多，但在自建站里它几乎是最常见、也最容易上...
SSRF（Server-Side Request Forgery，服务端请求伪造）是个很别扭的漏洞：它跟 XSS、CSRF 不一样，攻击者不需要诱导你的用...
为什么用 top 看不出 Web 服务的真实瓶颈服务器变慢时，最先被打开的工具是 top。它给出 CPU 占用、内存使用、负载三个数字，然后运维开始猜：负...
注册登录模块为什么总是安全短板自建站和成品 CMS 最大的区别之一，是注册登录这块代码往往要自己写。框架提供了会话管理和密码函数，但从「用户提交的密码怎么...
为什么自建站的聚合报表总要绕一圈做站长久了，总会遇到这类需求：想知道每个栏目最近三篇更新的间隔、想看每个用户最近一次登录是第几次、想算每天新增文章的七日移...
一、文件上传是自建站最容易被忽视的入口自建站的安全模型和成品 CMS 不一样：成品程序有成千上万人盯着、漏洞被发现得快、补丁也出得快；而自己写的上传功能，...