RESOURCES & SUPPORT
行业资讯
DDoS、API 安全、加速与 TLS 的行业观察。
行业资讯
70 篇内容精选 2024 年 5 月至 2026 年 10 月的行业事件、风险预警与防护实践，历史事件按事件日期归档。
2026
OWASP A01 权限控制：登录成功不代表可以读取任意订单
从对象、租户和操作三个维度检查 API 授权，避免只隐藏按钮或依赖前端校验。
阅读全文JA4、TLS 与 CC 防御：指纹是线索，不是用户身份证
理解 TLS 客户端指纹的用途与误判风险，将指纹、访问行为和证书检查分别使用。
阅读全文SQL 注入与 XSS：为什么同一套过滤规则不够用
按数据库查询与浏览器渲染两种上下文理解注入风险，把修复放到真正处理数据的位置。
阅读全文SSRF 与命令执行防护：别让用户输入决定服务器去哪儿、执行什么
围绕图片抓取、文档转换和运维接口，分别控制出站目的地、进程调用与运行权限。
阅读全文OWASP A03 软件供应链：依赖扫描之外，还要保护构建与发布
检查组件版本、构建凭证、制品来源和回滚链路，减少恶意更新进入生产环境的机会。
阅读全文API 滥用防护：限请求次数，还要限一次请求能花多少资源
针对导出、短信、图片处理和 AI 调用，建立并发、任务预算与第三方费用限制。
阅读全文CC 与 Bot 流量识别：先分清业务高峰和资源消耗
用接口成本、会话行为和业务成功率识别异常，减少对搜索引擎、回调和真实用户的误伤。
阅读全文凭证泄露与钓鱼：改完密码为什么还可能被登录
把密码、会话、API 密钥和第三方授权放进同一份处置清单，保护网站后台与云账号。
阅读全文安全预警怎么排序：先看真实利用，再看资产暴露
把 KEV、CVE/NVD、CNNVD 与厂商公告串成可执行的修复清单，避免只按 CVSS 分数排队。
阅读全文DNS 攻击态势怎么看：反射流量与解析故障不是一回事
分别检查开放递归、权威 DNS 与业务清洗路径，避免看到 UDP 53 就采用同一种处理方式。
阅读全文看懂地区攻击趋势：来源、目标与行业排名分别代表什么
正确使用 Radar 的维度与时间窗口，避免把请求来源位置当作攻击者身份。
阅读全文流量突然下降不一定是 DDoS：把网络中断与应用故障分开
联合 Radar 中断信息、运营商状态和站点监控，缩小 DNS、网络、边缘与源站故障范围。
阅读全文