张显达 zxd blog
  文章分类
前端 158 后端 174 软件设计 22 软件工具 14 数据库 9 编程之道 9 人工智能 178 推荐工具 10 AI安全 7 Java 143 技术快报 6 工具链 2 工具 1 云计算 2 网络安全 146 前端技术 2 软件开发 2 物联网 143 可持续科技 1 量子计算 143 增强现实/虚拟现实 1 软件工程 143 消费电子 1 数字治理 143 Python 139 java 6 python 3 最新AI开发工具推荐 115 AI 工具链 4 科技深潮 1
AI时代的账户与API抗滥用：强身份、签名链路与自适应风控 AI时代的账户与API抗滥用：强身份、签名链路与自适应风控
导语：AI 自动化放大了撞库、重放、薅成本和模型滥用。要稳住账户与 API，需要强身份、签名防重放、自适应风控与证据化审计。本文给出工程化落地步骤和核查清单。 1. 风险拆解与指标 账户：撞库、批量注册、弱口令、设备仿冒、MFA 绕过。 A
2026-01-19 网络安全
Audit Identity API Security Abuse Prevention Risk Control
API与账户安全的零信任闭环：强身份、签名防重放与行为风控 API与账户安全的零信任闭环：强身份、签名防重放与行为风控
导语：API 与账户仍是攻击焦点：凭证泄露、重放、撞库、成本刷爆。要做到零信任闭环，需要强身份、签名防重放、速率与行为风控、审计可回放。本文给出工程化方案与核查清单。 1. 目标与指标 强身份覆盖率：高价值接口 100%（MTLS/
2026-01-18 网络安全
Zero Trust Audit Signing API Security Rate Limit
身份安全的新常态：密码less、硬件密钥与敏感操作风险引擎的落地指南 身份安全的新常态：密码less、硬件密钥与敏感操作风险引擎的落地指南
导语：密码less 与硬件密钥（FIDO2/Passkey）正在成为身份安全的主线。要在企业里落地，需要把“强身份 + 风险引擎 + 敏感操作门禁 + 审计”做成工程闭环。本文给出可执行方案与检查表。 1. 目标与指标 强身份覆盖
2026-01-16 网络安全
Zero Trust Audit Passkey Hardware Key Risk Engine
供应链安全再强化：SBOM覆盖、签名验证与可回放应急 供应链安全再强化：SBOM覆盖、签名验证与可回放应急
导语：近期供应链事件持续出现，核心问题是“我用了什么、从哪里来、出事如何收敛”。本文给出强化方案：SBOM 全覆盖、签名验证、制品溯源、可回放应急，并附执行清单。 1. 目标与指标 SBOM 覆盖率：关键服务/制品 100%，可随
2026-01-15 网络安全
SBOM Zero Trust Incident Response Signing SLSA
零信任实战升级：强身份、设备信任与敏感操作门禁的工程落地 零信任实战升级：强身份、设备信任与敏感操作门禁的工程落地
导语：身份与设备仍是攻击入口，零信任不该停留在口号。本文给出工程化落地方案：强身份、设备信任、敏感操作门禁、风险引擎与审计证据包，并附可执行的核查清单。 1. 目标与指标 强身份覆盖率：高价值系统/管理员 100%，关键业务 ≥
2026-01-14 网络安全
MFA Zero Trust Audit Access Control Device Trust
API与身份安全的闭环运营：强身份、签名防重放与速率风控落地指南 API与身份安全的闭环运营：强身份、签名防重放与速率风控落地指南
导语：API 与身份是当前攻击的主战场，凭证泄露、重放、撞库、成本滥用频发。要把 API 安全做成运营闭环，需要强身份、签名防重放、速率与行为风控、审计可回放。本文给出可执行的落地方案与 SOP。 1. 目标与指标 强身份覆盖率：高价值接口
2026-01-13 网络安全
Zero Trust Audit Signing API Security Rate Limit
API安全运营闭环：身份前置、速率治理与签名溯源的实战方案 API安全运营闭环：身份前置、速率治理与签名溯源的实战方案
导语：当下攻击面正从Web页面转向API，常见风险包括凭证泄露、重放与撞库、滥用成本、供应链投毒。要把API安全做成“运营闭环”，需要身份前置、速率与风控治理、签名溯源、审计可回放。本文提供可直接落地的工程方案与SOP。 1. 安全目标与指
2026-01-09 网络安全
Zero Trust Audit Signing API Security Rate Limit
身份为先的零信任落地：多因素、设备信任与敏感操作门禁的工程方案 身份为先的零信任落地：多因素、设备信任与敏感操作门禁的工程方案
导语：安全圈近期的共识是：攻击面从“边界”转向“身份与设备”。VPN 和口令早已不够，凭证泄露、鱼叉钓鱼、被盗设备都可能成为入口。要把零信任落到工程层，需要三件套：多因素认证（MFA）、设备信任、敏感操作门禁与审计。本文给出可直接执行的落地
2026-01-07 网络安全
MFA Zero Trust Audit Access Control Device Trust
供应链安全的工程化打法：SBOM、签名溯源与可回放应急的落地流程 供应链安全的工程化打法：SBOM、签名溯源与可回放应急的落地流程
导语：当日与近期安全圈讨论最集中的议题之一，是“攻击面从业务系统转向供应链与身份链”。漏洞本身不可避免，但可避免的是：你不知道哪些服务受影响、补丁是否真的上线、以及事后无法复盘。本文给出一套工程化落地流程：用 SBOM 解决“我有哪些组件”
2026-01-04 网络安全
SBOM Zero Trust Incident Response Signing SLSA
从事件响应到节奏运营：补丁周、身份回收与供应链门禁的安全体系 从事件响应到节奏运营：补丁周、身份回收与供应链门禁的安全体系
导语：近期安全攻防的一个确定性趋势是：窗口期更短、扩散更快、链路更长。组织若仍依赖“事故发生后的临时加班”，很难长期对抗。更可行的路径是把安全做成运营系统：漏洞与补丁管理节奏化、身份权限可回收、供应链材料门禁化、处置过程证据化并可回放抽检。
2026-01-03 网络安全
Supply Chain Evidence Identity Vulnerability Management
5 / 15