---
id: ka-guidance-安全加固
kind: guidance
title: 安全加固
sync_policy: engine_only
status: active
triggers:
  - 安全
  - 权限
  - 认证
  - 授权
  - 加固
  - 鉴权
  - 熔断
  - 限流
extra:
  name: security-hardening
  scope:
    - '*'
  products:
    - '*'
  category: procedure
  version: 1.0.0
  last_reviewed: '2026-06-17'
  verification_layer: L2
  stage: build
  domain: build
  owner_mechanism: mc-privacy-boundary
---

# 安全加固：编码时怎么堵漏洞

> 吸收旧的「安全加固」「安全审查」「安全审计」「权限认证」「熔断降级」。
> 确定性扫描只覆盖少量可靠模式，本 guidance 用于结合真实攻击面审查；扫描通过不等于安全。

## 输入校验（第一道防线）

- 所有外部输入校验：类型、范围、格式、长度
- SQL 使用参数绑定或可信查询构造器，动态标识符采用白名单
- 渲染不可信 HTML 时使用框架安全 API、可信消毒和输出编码
- 禁止对不可信输入使用 eval/Function 等动态执行

## 认证与授权

- 每个接口明确权限要求
- 写操作必须鉴权
- 使用 JWT 时验证签名、允许算法、issuer、audience 与时效，不能只 decode
- 会话 Cookie 按传输环境设置 Secure、HttpOnly、SameSite 和合理作用域

## 敏感信息

- 密钥走目标平台密钥机制，禁硬编码
- 日志禁打印认证凭据和未经批准的敏感数据
- 文件路径限定根目录、规范化并防遍历

## 外部交互

- 重定向和外部请求目标按协议、主机、端口和 DNS 解析结果做白名单/策略校验
- 反序列化仅允许已知类型和受限资源
- CORS 与消费方和凭据模式一致；携带凭据时不得使用通配 origin

## 稳定性（熔断降级）

- 跨系统调用设超时/重试/熔断
- 限流保护核心接口
- 降级策略：依赖不可用时系统的行为

## 禁止

- 信任客户端输入不校验（违规）
- 拼接 SQL（违规）
- 打印敏感信息到日志（违规）
- 写接口不鉴权（违规）