HTTP 方法限制实战：禁用 TRACE 与 WebDAV
HTTP 方法限制实战：Nginx、Apache、IIS 下禁用 TRACE、PUT 与 WebDAV，附方法白名单配置、Allow 头修复与外部验证命令。
Nginx
开放重定向防御实战：Nginx 跳转白名单配置
开放重定向防御实战：Nginx map 白名单、应用层相对路径校验、WAF 兜底规则，含五类绕过手法与可直接执行的回归验证脚本。
爬虫把CDN流量刷爆了怎么办？回源防护实战
CDN 本来是用来省流量的，被爬虫刷一波反而账单暴涨，问题多半出在回源。本文用 9 个问答讲清爬虫刷流量的原理、哪些行为最烧钱、怎么从 Nginx 日志定位，缓存键归一化与白名单限速怎么配，以及已经产生高额账单后怎么止血。
BGP高防牵引和DNS切换有什么区别？怎么选
同样是把流量切到高防节点，BGP 牵引和 DNS 切换的生效速度、兼容性和成本完全不同。本文用 9 个问答讲清 BGP 路由牵引的原理、和 DNS 切换、Anycast 的差别，怎么验证牵引是否生效，牵引后真实客户端 IP 与 HTTPS 证书怎么处理。
CRLF 注入防御实战：Nginx 响应拆分过滤配置
CRLF 注入（HTTP 响应拆分）可截断响应头、伪造响应内容与缓存副本。本文给出 Nginx map 编码检测返回 400、ModSecurity 响应阶段规则、PHP 与 Java 响应头净化函数、缓存侧禁止缓存含 Set-Cookie 跳转响应的完整配置，并附 curl 验证用例与日志审计命
短信接口被刷爆怎么办？验证码防刷实战
短信验证码接口被恶意刷量，损失的不只是短信费，还可能被运营商停通道。本文用 9 个问答讲清怎么从日志判断是被刷、Nginx 层怎么给短信接口单独限速、号码与 IP 两个维度怎么设阈值、验证码该前置到哪一步，以及 ipset 自动拉黑与 CDN 回源 IP 还原的实战配置。
DDoS反射放大攻击怎么防？服务器别当帮凶
反射放大攻击的流量往往不是攻击者自己发的，而是被利用的开放服务打出来的。本文用 9 个问答讲清反射放大的三要素、各服务放大倍数、怎么自查服务器是否已被当成反射器、DNS 递归与 NTP monlist 怎么关、以及高防和运营商在源 IP 伪造场景下各自能做什么。
OCSP Stapling 配置实战：证书吊销状态检查加固
默认配置下浏览器需自行向 CA 的 OCSP 服务器查询证书吊销状态，带来隐私泄露与握手延迟。本文给出 Nginx 开启 ssl_stapling 与 stapling_verify 的完整配置、resolver 与证书链要求、Must-Staple 证书签发步骤，以及用 openssl s_cl
HTTP 参数污染防御实战：Nginx 与后端参数校验配置
HTTP 参数污染（HPP）利用同名参数在不同中间件下的取值差异，可绕过金额校验、权限判断与 WAF 规则。本文给出 Nginx map 重复参数检测规则、ModSecurity urlDecodeUni 规则、PHP/Servlet/Django 三套参数规范化实现，并附 curl 验证用例与访
蜘蛛IP验证过了还是假爬虫？白名单实战
很多站长只做一次反向 DNS 验证，就以为放行的一定是真蜘蛛。实际上 PTR 记录可自定义、云租户与官方抓取段同属一个 ASN、采集服务直接租蜘蛛段，三种情况都能骗过验证。本文用 9 个问答讲清三段式验证怎么写、官方 IP 段怎么精确收窄、白名单只免拦截不免限速的配置，以及日志里怎么分辨真假蜘蛛。
登录接口被CC撞库怎么办？风控联动实战
登录、短信接口是 CC 攻击最爱的目标：既能耗光数据库 CPU，又能顺带撞库。本文用 9 个问答讲清怎么区分正常登录高峰和撞库 CC、Nginx 层登录接口单独限速怎么配、短信接口防刷三层限制、CDN 回源 IP 还原踩坑，以及账号维度风控规则的落地参数。
Host 头攻击防御实战：Nginx 与后端框架校验配置
Host 头完全由客户端控制，可导致密码重置链接投毒、缓存投毒与访问控制绕过。本文给出 Nginx default_server 拒绝、基于 $http_host 的白名单 map、X-Forwarded 头覆盖，以及 PHP/Django/Spring Boot 的框架层校验配置，并用 curl