文章
分类「应用安全」· 共 2 篇
应用安全··12 分钟
OAuth 2.1 时代浏览器应用的安全边界：从 PKCE 到 BFF 的工程审计
RFC 9700 与 OAuth 2.1 将 PKCE 从可选提升为强制、废弃了 Implicit Flow，但浏览器应用的令牌安全边界并未因此自动闭合。本文从授权码拦截、令牌窃取、XSS 与 CSRF 四条攻击链出发，逐项审计纯前端 SPA、Token-Mediating Backend 与 BFF 三种架构的真实安全边界，给出可落地的选型矩阵与检查清单。
#oauth#pkce#dpop
应用安全··12 分钟
Trustwave 把 ModSecurity 交给 OWASP 之后，CRS v4 + Coraza 才是新的默认线
从 Trustwave 退场到 OWASP 接管，再到 Go 原生引擎 Coraza，自建 WAF 的栈正在换底。本文用一次本地复现实测拆开 Coraza v3.7.0 + CRS v4.27.0 的部署边界、规则评估代价与误报取舍。
#waf#coraza#modsecurity