缓存键注入：Nginx 缓存键拼接缺陷可致存储型 XSS 与 CPDoS
YesWeHack 研究者 Alex Brumen 公开「缓存键注入」攻击手法：当 proxy_cache_key 把协议、主机、URI 与请求头直接无分隔符拼接时，不同请求可生成相同缓存键，进而绕过访问控制、读取缓存敏感页面、触发 CPDoS 或借协议混淆投毒形成存储型 XSS。
WAF
Apache APISIX 网关安全防护实战：WAF 与限流配置指南
Apache APISIX 是云原生 API 网关，可统一在网关层完成认证、限流与 WAF 防护。本文从部署、路由创建到限流、认证、IP 黑名单与 ModSecurity 集成，给出完整安全配置。
ModSecurity WAF 规则实战：OWASP CRS 核心规则配置
在 Nginx 上集成 ModSecurity 开源 WAF 与 OWASP CRS 核心规则集，实现 SQL 注入、XSS、命令注入等 Web 攻击的自动化拦截，附完整配置、规则调优与验证命令。
阿里云WAF配置实战：网站Web攻击防护指南
手把手配置阿里云WAF：CNAME接入、Web攻击防护、CC防护与Bot管理，抵御SQL注入、XSS与恶意爬虫攻击。
SSRF 防御实战：从原理到 WAF 与代码层防护配置
SSRF（服务端请求伪造）是企业 Web 应用最常见的严重漏洞之一。本文从原理出发，详解 URL 白名单、内网 IP 过滤、DNS 解析校验、HTTP 重定向拦截及 Nginx WAF 规则配置等完整防护方案。
SQL注入防御实战：参数化查询与WAF规则配置指南
从代码层参数化查询、输入层白名单校验到网络层WAF规则，三步构建完整的SQL注入防御体系。涵盖PHP/Node.js/Python三端代码示例及ModSecurity配置。
Cloudflare WAF 规则实战配置指南：网站安全防护升级
Cloudflare WAF 自定义规则配置教程：开启托管规则集、Geo 区域限制、WordPress 后台保护、Bot 拦截与速率限制，4 步完成边缘安全防护。