虚拟主机
-
XSS注入漏洞；最先出问题的往往不是输入框
XSS注入漏洞真正出事的位置常在输出环节，把输入框过滤一遍只是心理安慰。按上下文编码、富文本白名单、后台渲染、HttpOnly与CSP几条线说清先查哪、哪些只是拖延。
-
网页安全检测；3个指标比评分更准
扫描器给的分数只能当参考。做网页安全检测，真正值得盯的其实是三个指标：外部可见面的变化、可复现的风险路径、修完之后的复查闭环。这三样比一个总分更能说明站点当下的真实状态。
