密码存储的核心目标是抵抗离线暴力破解与彩虹表攻击。普通哈希函数（如 SHA256）计算过快，不适合直接存储密码。 一、为什么 SHA256 不安全 现代 GPU 每秒可计算数十亿次 SHA256，攻击者可在短时间内穷举常见密码字典。 二、bcrypt 的自适应成本 bcrypt 内置盐值（Salt）并支持可调成本因子（
分类：安全与运维
共 26 篇文章安全与运维相关技术文章
现代超标量处理器为了榨干硬件算力，广泛采用了指令流水线（Pipeline）与推测执行（Speculative Execution）技术。当遇到条件跳转指令（如 if (x < array1size)）时，若等待边界检查的内存数据从高延迟的 DRAM 加载完成，CPU 流水线将会陷入长达数百个时钟周期的停顿。为了消除停顿
跨站脚本攻击（CrossSite Scripting, XSS）的本质是攻击者成功绕过了同源策略（SameOrigin Policy），将恶意的可执行脚本注入并持久化或反射到受害者的浏览器执行环境中，进而窃取敏感 Cookie、劫持会话或篡改页面 DOM。XSS 分为三大变种：存储型 XSS：恶意代码被保存至服务端数据
JSON Web Token（JWT）广泛用于无状态身份认证，但配置不当会引入严重漏洞。 一、算法混淆攻击 早期库允许客户端通过头部 alg 字段指定算法。攻击者将 alg 改为 none 或把 RS256 改为 HS256，利用公钥作为 HMAC 密钥伪造令牌。 防御方式：服务端固定预期算法，绝不信任头部 alg 字
服务端请求伪造（SSRF）指攻击者诱导服务器发起任意网络请求，进而探测内网服务或窃取云厂商元数据凭证。 一、典型攻击目标 云元数据服务：http://169.254.169.254/latest/metadata/ 内网管理面板：http://10.0.0.1/admin 本地回环服务：http://127.0.0.1