Python 解压不可信 ZIP：同时防住路径穿越、符号链接与解压炸弹
适用场景 本文适用于允许用户上传 ZIP 的报表导入、主题包安装、批量图片处理和离线数据交换服务。压缩包来自外部时，风险不只是文件名中出现 ../：绝对路径、Windows 盘符、反斜杠、同名覆盖、Unix 符号链接以及极高压缩比，都可能让一次普通解压变成任意文件写入或磁盘耗尽。 目标是建立一个可验收的解压边界：先检查
Category
安全
当前分类下的文章。
Webhook 签名校验通过仍被重复执行：时间窗、幂等键与防重放实践
适用场景 支付回调、代码仓库事件、消息推送和第三方审批通知通常通过 Webhook 进入业务系统。很多服务已经实现了 HMAC 签名校验，却仍会遇到重复发货、重复记账或重复触发流水线的问题。 这类故障的关键在于：签名只能证明请求内容来自持有密钥的一方，不能证明这次请求从未被处理过。 一个合法请求被代理层、第三方平台或攻
API 密钥泄漏后如何无停机处置：双密钥轮换、审计与最小权限实践
适用场景 代码仓库、CI 日志、工单截图或聊天记录中出现了生产 API 密钥。密钥仍在被多个服务使用，直接禁用可能造成业务中断，但继续保留又会扩大攻击窗口。 本文面向服务到服务调用的静态 API 密钥，给出一套可执行的处置流程：先确认影响范围并限制风险，再创建权限更小的新密钥，通过短暂的双密钥窗口迁移调用方，验证新密钥
JWT 密钥轮换后批量 401：用 kid 双钥并行实现无感切换与可回滚发布
适用场景 业务使用 RS256 JWT 在网关、API 服务和后台任务之间传递身份。为了满足密钥泄露应急、合规轮换或证书到期要求，需要定期替换签名私钥，但又不能让尚未过期的旧令牌突然失效。 本文给出一套可直接落地的轮换方法：令牌头携带 kid，验证端同时信任新旧公钥，签发端再切换当前私钥，最后根据令牌最长生命周期安全下
Webhook 验签通过仍被重复扣款：HMAC 签名与重放攻击防护实践
适用场景 支付、订单、代码托管或消息平台通过 Webhook 主动回调业务系统。接口已经校验 HMAC 签名，但偶尔仍出现同一事件被重复执行，甚至攻击者截获一条合法请求后，可以在数小时后原样重放。 本文以 Python 3.11、FastAPI 和 Redis 为例，实现一套可直接落地的接收端：对原始请求体进行 HMA