API安全 - 卫方智能网络安全资讯平台

Swagger 接口文档暴露防护实战配置

2026年10月7日作者卫方智能

接口文档暴露防护教程：框架层关闭 Swagger 与 OpenAPI 文档生成，Nginx 按路径拦截并统一返回 404 隐藏路径存在性，附白名单分流配置、批量探测脚本与四类常见问题排查。

2026年10月5日作者卫方智能

批量赋值漏洞防御教程：Spring Boot DTO 白名单、Node.js pick 与全局中间件、Laravel fillable 规范，敏感字段服务端强制赋值，网关层兜底拦截，附越权写回归验证命令。

2026年10月4日作者卫方智能

OAuth 2.0 授权码流程加固教程：PKCE 参数生成与 S256 校验、state 会话绑定、redirect_uri 精确匹配、授权码一次性消费与重放检测、刷新令牌轮换、Nginx 回调路径加固，附六项验证命令。

2026年10月1日作者卫方智能

gRPC 服务安全加固实战：grpcurl 暴露面自查、服务端强制 TLS 并关闭反射、Nginx 网关 mTLS 与路径白名单限流、iptables 端口收敛，附逐项验证命令。

2026年9月30日作者卫方智能

UpGuard 披露超过 16000 个 Supabase 数据库因 RLS 缺失与公开密钥误用，导致数据表可被公开读取，泄露个人身份信息、明文密码与认证令牌。案例覆盖代客泊车、移民服务、创作者平台、短信验证码服务与领事机构。

2026年9月27日作者卫方智能

Qrator Labs 发现 Windows 僵尸网络 x47.c 正被公开租售，基础包 200 美元。它调用 xAI 的 Grok 模型自主选择持久化动作，并提供 AI API 额度耗尽攻击，用受害者有效密钥直接消耗其预付费模型额度。

2026年9月26日作者卫方智能

休斯敦公用事业公司 CenterPoint Energy 确认客户信息经对外系统被第三方获取。攻击者声称利用缺乏限流的公开 API 遍历客户 ID，窃取 749 万条记录，含账户号码与部分社保号。

2026年9月24日作者卫方智能

API 接口签名防重放实战：从重放攻击原理讲起，给出 HMAC-SHA256 签名串构造、Redis nonce 一次性校验、幂等键与 Nginx 限流兜底的完整可复制配置与验证脚本。

2026年9月11日作者卫方智能

韩国平台 Weverse 披露 422,584 个账号关联的机密信息泄露，涉及购买类型、支付方式、金额与退款时间等交易字段，疑似支付信息处理 API 访问控制缺陷。公司已向 KISA 提交事件报告并加固接口。

2026年8月31日作者卫方智能

Langflow 1.0.0 至 1.11.1 A2A 公共端点代码执行防护失效，CVSS 9.8；未认证攻击者只需向暴露的智能体流发送请求即可在服务器上执行任意系统命令，AI/ML 流水线面临远程接管风险。

2026年8月27日作者卫方智能

Cyera（已收购 Oasis Security）公开披露 NVIDIA NemoClaw 框架中的高危漏洞 CVE-2026-65105，CVSS v3.1 评分 8.1（High）。该漏洞利用 NemoClaw 启动 Ollama 时使用 OLLAMA_HOST=0.0.0.0:11434 的

2026年8月18日作者卫方智能

GraphQL 单端点特性放大 DDoS 与数据泄露风险。本文讲解深度查询、批量查询、Introspection 探测三类攻击的原理，并给出 Apollo Server 限流与网关层防御完整配置。