网络安全

零信任架构落地教程：用 oauth2-proxy 与 Nginx auth_request 搭建身份感知代理，统一认证后再放行管理后台，覆盖协议头透传防重定向循环、身份头覆盖防伪造、回环监听兜底，附四条验证命令。

RASP 运行时防护实战教程：以 OpenRASP 为例，把 Agent 以 javaagent 挂载到 Tomcat、Spring Boot 或 PHP-FPM，用 half 模式灰度观察误报、hook.white 精确加白，再切 block 实现注入与反序列化的函数级拦截。

威胁建模 STRIDE 实战教程：用 pytm 把数据流图写成 Python 代码，自动匹配内置威胁规则输出威胁清单、DFD 与序列图，支持自定义业务规则并纳入 CI 严重度门槛拦截，附风险排序与整改闭环方法。

IPv6 安全加固实战教程：从内核参数关闭 RA 与重定向，到 nftables/ip6tables 显式放行必需 ICMPv6 类型、丢弃路由头，再到云安全组同步收口与外部扫描验证，附完整可复制配置。

WPA3 无线安全加固实战：hostapd 开启 SAE 认证与 H2E、强制管理帧保护 PMF、关闭 WPS 与 TKIP 降级通道，附 PMKID 抓包与 deauth 泛洪验证方法。

ARP 无认证易遭缓存投毒。本文给出 ip neigh 永久绑定、arptables 过滤伪造应答、arpwatch 漂移告警、自检脚本与交换机 DAI 全网段防护的完整配置与验证方法。

XPath 注入可绕过登录校验并盲注提取 XML 数据。本文给出 Java、Python、PHP 三套参数化改造代码与 ModSecurity、Nginx 拦截规则，附攻击载荷回归验证方法。

802.1X 网络准入实战：FreeRADIUS 服务端 EAP 配置、证书链签发、交换机受控端口与动态 VLAN 下发全流程，含 eapol_test 验证与常见故障排查。

SSTI 模板注入把用户输入当模板源码渲染，危害等同 RCE。本文给出完整防御链：Flask 最小复现、Jinja2 与 Twig/Freemarker 引擎识别、SandboxedEnvironment 沙箱改造、输入白名单与渲染分层、ModSecurity 定界符拦截规则、代码审计 grep 与配置验证方法。