<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[weixin_29324877的博客]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/weixin_29324877</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; weixin_29324877]]></copyright><item><title><![CDATA[腾讯BrowserSkill：借已登录标签页的授权边界与Agent安全实践]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170253975</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170253975</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 16:51:27 +0800</pubDate><description><![CDATA[在Agent自动化操作网页的场景中，登录态管理是核心挑战。传统凭证传递方式存在安全风险，而现场复用则通过浏览器扩展在已认证上下文中执行操作，避免敏感数据搬运。Chromium MV3扩展作为边界执行点，结合CLI工具封装浏览器能力，实现域名、动作、会话三层授权控制。这种内建边界设计适用于需要登录态的后台操作、数据导出等场景，为Agent安全提供可审计、可控制的解决方案。]]></description><category></category></item><item><title><![CDATA[安全审计实战指南：从信息收集到漏洞闭环的完整方法论]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170272200</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170272200</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 16:39:36 +0800</pubDate><description><![CDATA[在信息系统研发与运维中，安全审计是保障业务稳健的关键环节。它并非简单依赖漏洞扫描器导出报告，而是需要审计人员理解系统架构、业务逻辑与数据流向，通过信息收集、风险识别、影响评估和沟通推动，形成一套可复用的工程化方法。从Web应用的身份认证、访问控制到输入校验，再到代码审计中的依赖分析与静态扫描，每个环节都考验着审计者对安全本质的理解。借助SAST、SCA等工具可以提升效率，但人工验证与业务场景结合才能降低误报率。安全审计的价值不仅在于发现漏洞，更在于建立风险优先级共识，推动修复闭环，最终落地为组织持续的安全能]]></description><category></category></item><item><title><![CDATA[安全漏洞、威胁与对策：用攻击链串联恶意代码、Web攻击与身份滥用]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170251448</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170251448</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 16:02:24 +0800</pubDate><description><![CDATA[网络安全中的漏洞、威胁与对策常被拆成孤立知识点，实际攻防里，恶意代码负责入口驻留，Web攻击负责横向找路，身份滥用与内部人员风险则提供合法外衣，三者构成连续攻击链。检测需要联动终端、网关与身份日志，把YARA/Sigma规则、参数化查询、目标白名单、最小权限和日志审计转化为可验证控制点。围绕安全漏洞、威胁和对策的实战拆解，覆盖恶意代码检测、SQL注入与跨站脚本及SSRF防护、权限膨胀识别和日志留存容量计算，帮助安全运营、应用安全与系统运维人员建立从威胁入口到通道封堵再到证据留存的落地方法。]]></description><category></category></item><item><title><![CDATA[ECC三重含义全解析：SAP ECC、内存纠错与NAND ECC校验实战]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170262460</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170262460</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 15:39:26 +0800</pubDate><description><![CDATA[ECC（Error Correcting Code）是一种通过增加冗余校验位实现数据错误检测与纠正的编码技术，其核心原理是利用汉明码或里德-所罗门码对存储或传输中的位翻转进行定位与恢复。在工程实践中，ECC技术显著提升了内存与NAND Flash的数据可靠性，广泛应用于服务器硬件、SSD存储及嵌入式系统。与此同时，SAP ECC作为企业资源计划核心组件，与S/4HANA在数据库层、数据模型及代码架构上存在本质差异，迁移需重构业务流程。围绕PFCG权限配置、RT809H烧录器ECC校验及单片机NAND驱动排查]]></description><category></category></item><item><title><![CDATA[安全审计工程化：从findings.json到coding-agent的闭环实践]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170270329</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170270329</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 15:07:48 +0800</pubDate><description><![CDATA[安全审计不是生成漏洞报告的静态检查，而是嵌入CI/CD流水线的实时防御能力。其核心在于将扫描结果（如findings.json）转化为可执行、可追溯、可阻断的工程动作，依赖AST语义分析提升检出精度，并通过coding-agent实现开发工作流中的自动反馈与修复驱动。该能力覆盖代码提交、镜像构建、K8s部署等关键卡点，支撑金融、云原生等高要求场景下的可信交付。本文聚焦真实落地的结构化输出设计、Node.js校验脚本健壮性及跨语言轻量扫描实践。]]></description><category></category></item><item><title><![CDATA[安全审计实战：从资产盘点到日志分析的完整方法论]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170273321</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170273321</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 14:20:06 +0800</pubDate><description><![CDATA[安全审计是信息安全体系建设中的核心环节，是指对信息系统进行系统性检查与评估的过程，其原理类似全面体检，帮助组织发现漏洞、弱口令、错误配置等安全隐患，并验证安全控制措施的有效性。在技术价值层面，安全审计能助力企业实现资产盘点、日志审计与安全基线核查，满足等保合规要求，从而降低未知风险。应用场景覆盖系统加固、渗透测试前评估以及日常运维检查等，是安全运维人员及合规人员必须掌握的关键技能。本文基于一线实战经验，从概念到原理，再到具体工具和操作步骤，详细拆解安全审计的实施流程，聚焦Linux系统核查、日志分析和审计报]]></description><category></category></item><item><title><![CDATA[给编码助手加装安全审计技能：从设计到落地的完整实践]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170266997</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170266997</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 13:47:33 +0800</pubDate><description><![CDATA[在AI辅助编码日益普及的背景下，代码生成效率大幅提升，但安全隐患也随之埋入。安全审计的核心在于对数据流进行追踪，识别从不可信输入到危险操作的攻击路径。通过将安全审计思维注入编码助手的推理过程，可在开发阶段自动发现SQL注入、弱密码哈希等常见漏洞，并给出修复建议。这种技能化方案具备良好的可移植性，适用于独立开发者、小团队及任何使用编码助手提效的工程师，有效将安全门槛前移，降低修复成本。]]></description><category></category></item><item><title><![CDATA[大模型调用日志泄露：API密钥管理与日志脱敏实战指南]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170279704</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170279704</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 13:21:54 +0800</pubDate><description><![CDATA[API密钥是访问大模型服务的核心凭证，却常因日志系统过度采集被明文记录，成为数据泄露的突破口。在人工智能与云计算深度融合的今天，调用日志不仅包含身份凭据，还沉淀了大量业务敏感数据，其安全防护已成为企业安全体系的关键环节。围绕密钥分级、最小权限、字段级脱敏、加密存储与供应链评估等基础技术，结合6TB日志泄露事件中暴露的典型问题，阐述如何从源头构建大模型调用安全防线。这些方法适用于安全负责人、后端工程师及独立开发者，帮助在API接入、日志治理和第三方选型中有效降低数据风险，确保业务在享受大模型能力的同时不因密钥]]></description><category></category></item><item><title><![CDATA[用Agent Skill做代码安全审计：从规则库到CI落地的实践]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170269494</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170269494</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 12:56:11 +0800</pubDate><description><![CDATA[在AI生成代码逐渐成为日常的今天，安全审计不再只是人工review的专利。Agent Skill作为一种可复用的能力包，能将团队积累的漏洞模式、修复规范和审计流程固化为标准化工具，帮助开发者在代码提交前自动发现SQL注入、硬编码密钥、依赖风险等隐患。理解Agent与Skill的区别——前者负责执行，后者提供专业能力——是构建高效安全审计体系的关键。通过规则库约束模型行为、脚本提供真实证据、JSON报告对接自动化流程，安全审计可以从一次性人工动作转变为可落地的工程实践。无论是本地pre-commit钩子、编码]]></description><category></category></item><item><title><![CDATA[差分分析与线性分析入门：C++实战密码攻击原理]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170257584</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170257584</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 12:49:08 +0800</pubDate><description><![CDATA[差分分析和线性分析是现代分组密码安全性评估的两大基础统计密码分析方法。其核心在于利用算法内部确定性结构（如S盒、线性层）在输入微小变化或比特关联下的非随机响应，通过大量实验观测统计偏差，从而逆向推测密钥信息。差分分析聚焦‘输入差分→输出差分’的传播概率，依赖S盒差分分布表；线性分析则挖掘‘输入/输出比特间高概率线性关系’，依托线性逼近表。二者共同构成对AES、DES等迭代型密码的实际威胁模型，广泛应用于密码算法设计验证、侧信道辅助分析及CTF密码挑战。本实践以可运行C++代码为载体，带你从零构建简化轮函数、]]></description><category></category></item><item><title><![CDATA[Java配置文件数据库密码加密：AES-GCM落地与密钥管理]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170251757</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170251757</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 11:38:30 +0800</pubDate><description><![CDATA[敏感配置加密是Java后端安全工程中的基础议题，核心在于避免数据库账号、密码等凭据以明文形式散落在配置文件和构建产物中。其原理通常采用AES-GCM等带认证的对称加密算法，为每次加密生成随机IV并校验完整性，同时把密钥从配置文件中剥离，通过环境变量或独立文件在启动阶段注入和解密。技术价值在于收窄静态文件泄露面，并推动密钥管理、密文流转和轮换流程规范化。典型应用覆盖Spring Boot单体应用、容器化部署、CI/CD流水线以及配置中心迁移等场景。围绕Java项目配置文件中的数据库口令加密，工程落地还需关注A]]></description><category></category></item><item><title><![CDATA[security-audit-skill：让编码智能体具备安全审计能力]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170273514</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170273514</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 11:38:26 +0800</pubDate><description><![CDATA[静态应用安全测试（SAST）通过规则匹配识别代码漏洞，但缺乏业务上下文导致误报率高。将安全审计封装为编码智能体的技能（skill），利用其对话历史和代码变更上下文，能精准追踪数据流、判断输入可控性，并给出可执行的修复建议。这种技能化封装支持按需加载、独立版本化和透明审计，适用于代码变更时的实时安全审计，聚焦diff而非全库扫描。security-audit-skill 正是这一思路的实践，将安全规则与智能体上下文结合，提升审计准确性和采纳率。]]></description><category></category></item><item><title><![CDATA[ECC全解析：从SAP ECC到纠错码，跨领域概念与实战避坑指南]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170269154</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170269154</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 11:26:20 +0800</pubDate><description><![CDATA[ECC是计算机系统中常见的缩写，在不同领域含义迥异。在存储与内存中，ECC指纠错码，通过汉明码等算法检测并纠正比特错误，提升数据可靠性；在企业软件中，SAP ECC是经典ERP核心组件，其权限体系PFCG和运维管理是重点。理解ECC校验原理，有助于在NAND Flash、单片机等场景中正确配置ECC，避免数据错误。本文围绕SAP ECC、ECC校验、PFCG等热词，梳理跨领域知识，提供实操避坑经验。]]></description><category></category></item><item><title><![CDATA[security-audit-skill：为coding agent注入安全审计能力]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170275101</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170275101</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 11:11:57 +0800</pubDate><description><![CDATA[在AI辅助编程日益普及的背景下，代码安全审计成为保障软件质量的关键环节。security-audit-skill作为一种可被coding agent调用的技能定义，通过结构化规则集和触发机制，在代码生成过程中自动执行安全审查，识别SQL注入、路径穿越、硬编码密钥等常见漏洞。其核心原理是将安全经验转化为可执行的检查项，并嵌入agent工作流，实现安全左移。该技能适用于Web开发、数据处理等场景，能有效降低审计成本，提升代码安全性。]]></description><category></category></item><item><title><![CDATA[RBAC0访问控制模型：权限设计的最小完备基石]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170250631</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170250631</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 10:01:42 +0800</pubDate><description><![CDATA[访问控制是保障系统安全与数据合规的核心机制，其本质是在主体、客体与操作三者间建立可审计、可维护的授权关系。RBAC0作为基于角色的访问控制基础模型，不追求功能繁复，而强调结构严谨——它通过用户、角色、权限、会话四大组件构成最小完备体系，确保权限分配不依赖人工直连、不隐含继承逻辑、不耦合业务约束。这种‘宪法级’设计使RBAC0成为中后台系统、SaaS平台及DevOps工具链中最常用且最易落地的权限骨架。尤其适合组织结构清晰、职责边界明确、需快速迭代权限策略的工程场景，也是向ABAC或PBAC演进的可靠起点。]]></description><category></category></item><item><title><![CDATA[security-audit-skill：让代码审计可追踪、可复现、可交接的技能包]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170273033</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170273033</guid><author>weixin_29324877</author><pubDate>Sat, 07 Nov 2026 09:34:16 +0800</pubDate><description><![CDATA[代码审计是保障软件安全的关键环节，但传统人工审计常面临覆盖不全、过程不可追溯、交接困难等痛点。security-audit-skill 是一套面向编码智能体的审计技能包，通过结构化的 findings.json 和 coverage-ledger.json 文件，将审计发现与覆盖台账分离记录，实现审计过程的可追踪、可复现与可交接。该技能包不替代扫描器，而是定义审计工作流与产出格式，支持人工与智能体协作，适用于个人审计、团队协作及智能体辅助场景，帮助提升审计质量与效率。]]></description><category></category></item><item><title><![CDATA[ECC全解析：从纠错码原理到内存、SAP与单片机实战]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170222246</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170222246</guid><author>weixin_29324877</author><pubDate>Fri, 06 Nov 2026 16:59:24 +0800</pubDate><description><![CDATA[ECC（Error Correction Code）是一种通过冗余校验位实现数据错误检测与纠正的编码技术，其核心原理基于汉明码与奇偶校验，能在数据存储或传输过程中自动发现并修正单比特翻转，显著提升系统可靠性。在工程实践中，ECC广泛应用于服务器内存（如SECDED机制）、NAND Flash存储及通信链路，有效降低静默数据损坏风险。同时，ECC缩写也指代SAP ERP Central Component与椭圆曲线密码学，分别服务于企业资源管理与信息安全领域。理解ECC的多义性及其底层纠错逻辑，有助于在硬件选]]></description><category></category></item><item><title><![CDATA[安全审计方法论封装：打造可复用的 Security Audit Skill 包]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170232632</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170232632</guid><author>weixin_29324877</author><pubDate>Fri, 06 Nov 2026 16:29:39 +0800</pubDate><description><![CDATA[在软件工程实践中，安全审计是保障系统健康度的关键环节，它区别于渗透测试的进攻视角，更偏向系统性的静态体检。随着 AI 编程助手和 Agent 生态的普及，Skill 机制逐渐成为沉淀专家经验的有效载体——将高频场景下的检查步骤、规则脚本和输出模板打包成可复用的能力模块，便能大幅降低资深经验的复制成本。安全审计天然适合这种模式，因为其具备标准框架、固定维度和明确的定级标准。通过将认证授权、输入校验、敏感数据保护、依赖安全等检查项固化进 Skill，并配套风险分级与报告模板，团队能够统一认知、提升审计效率，让新]]></description><category></category></item><item><title><![CDATA[基于Agent Skill的代码安全审计实践：从设计到落地]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170210397</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170210397</guid><author>weixin_29324877</author><pubDate>Fri, 06 Nov 2026 15:41:05 +0800</pubDate><description><![CDATA[随着大语言模型与AI编程助手的普及，如何让模型在代码安全审计中发挥稳定作用成为工程实践热点。本文将解析Agent Skill这一概念——它介于Prompt与Tool之间，将专家经验固化为流程、规则与脚本的集合，实现知识外置和操作标准化。通过封装安全审计技能包，模型可按照固定步骤执行漏洞扫描、依赖分析与报告生成，有效降低误报率并提升审计效率。该方法适用于个人项目自查、CI安全门禁及团队代码走查预筛等场景，为自动化代码审计提供了切实可行的技术路径。文章以security-audit-skill为例，完整展示其设]]></description><category></category></item><item><title><![CDATA[ECC错误校正码原理与实战：从汉明码到LDPC的全栈解析]]></title><link>https://blog.youkuaiyun.com/weixin_29324877/article/details/170224557</link><guid>https://blog.youkuaiyun.com/weixin_29324877/article/details/170224557</guid><author>weixin_29324877</author><pubDate>Fri, 06 Nov 2026 15:31:01 +0800</pubDate><description><![CDATA[ECC（错误校正码）是保障数字系统数据完整性的基础容错机制，其核心在于利用数学编码（如汉明码、BCH码、LDPC码）在存储或传输过程中实时检测并修复比特翻转。不同于CRC仅检错或RAID依赖冗余重建，ECC通过嵌入式校验位实现纳秒级静默纠错，显著提升内存、NAND闪存、SSD等关键组件的可靠性。技术价值体现在对单点软错误的免疫能力，广泛应用于服务器内存、嵌入式烧录、SAP/HANA系统底层及高密度存储设备。本文结合DDR ECC配置、RT809H烧录故障、SAP系统静默错误等真实场景，深入拆解ECC分层实现]]></description><category></category></item></channel></rss>