标签：网络安全
共记录 32 篇研究
-
HMAC 签名防不住重放攻击？补上时间戳、Nonce 和去重这三道防线
HMAC 签名防不住重放攻击？补上时间戳、Nonce 和去重这三道防线 HMAC 签名仅能验证密钥持有者身份，无法阻止旧消息重发；必须结合时间戳窗口、Nonce 随机数及持久化去重状态构建完整链条。 为什么单靠 HMAC 签名防不住重放攻击 单靠 HMAC 校验无法区分新旧请求，攻击者可原样重发昨日合法报文，导致系统在通过签名后重复执行如扣款等敏感业务操作。 你收到一条带着完美 X-Hub-Si…
-
Webhook 验签别先转 JSON：字节流差一个空格，伪造请求就能过
Webhook 验签别先转 JSON：字节流差一个空格，伪造请求就能过 Webhook 安全验证必须严格遵循先读取原始字节流计算签名、再解析业务数据的顺序，任何先反序列化再验签的操作都会因数据格式变动导致校验失效。 Webhook 安全的第一原则：必须读取原始字节流 验证 Webhook 请求真实性的首要原则是直接从网络流中抓取二进制原始数据，严禁在计算 HMAC 签名前进行任何形式的字符串反序…
-
Webhook 反复重试失败别硬撑：用指数退避防风暴，死信队列兜底
Webhook 反复重试失败别硬撑：用指数退避防风暴，死信队列兜底 处理 Webhook 反复重试失败的安全方案，需结合指数退避与随机延迟策略防止服务风暴，并将持续失败事件转入死信队列以保障系统稳定性。 先分清情况：哪些回调值得重试，哪些该放弃 区分回调是否值得重试，关键在于确认接收端状态而非仅依赖 HTTP 200 响应，遵循至少一次投递原则以避免因 ACK 丢失导致的资金损失。 别把 HTT…
-
只收到回调就敢入账？签名验证才是防黑客伪造的第一道防线
只收到回调就敢入账？签名验证才是防黑客伪造的第一道防线 验证支付回调来源真实性的核心在于签名校验机制，通过比对数字签名确认消息源自官方供应商且未被篡改。 为什么仅靠“收到通知”无法确保资金安全？ 仅收到通知无法确保资金安全，因为网络波动或中间人攻击可能伪造成功数据包，导致订单状态被恶意篡改。 很多系统把“收到回调”直接等同于“钱已到账”，这个推论在工程上极其危险。网络波动、重试风暴或中间人攻击，…
-
Webhook 里的 sender 字段能直接信吗？四步交叉验证防资金欺诈
Webhook 里的 sender 字段能直接信吗？四步交叉验证防资金欺诈 Webhook 中验证真实操作人必须拒绝单独依赖 sender 字段，需结合交易订单号、数字签名及向供应商发起的独立二次查询构建交叉验证机制。 为什么 Webhook 里的 sender 字段不能直接信？ sender 字段仅是描述业务动作的标签而非身份密码，系统可能用占位符代替真实用户，因此无法作为独立验证依据且易被恶…
-
别信 sender 字段：处理 Webhook 资金变动的四道安全防线
别信 sender 字段：处理 Webhook 资金变动的四道安全防线 处理 Webhook 资金变动需依次验证发送方密钥签名、消息时间窗口防重放、本地幂等性防止重复，以及独立查询核对下游状态与供应商记录的一致性。 为什么不能直接信任 sender 字段：资金变动的验证边界 Webhook 中的 sender 字段仅描述业务场景标签而非加密身份凭证，攻击者可随意篡改该字段，因此绝不能将其直接视为…
-
Webhook 里的 sender 字段为啥不能信？遇到 ghost 占位符就是资金欺诈的坑
Webhook 里的 sender 字段为啥不能信？遇到 ghost 占位符就是资金欺诈的坑 Webhook 中的 sender 字段仅具业务语义，无法解析真实用户时会被替换为 ghost 占位符，直接信任该字段会导致欺诈风险。 GitHub 文档揭秘：sender 字段何时会变成 ghost 占位符 当 GitHub 系统无法解析触发事件的真实用户身份时，会将 sender 字段强制替换为 g…
-
GLI和PCI标准不够用？多供应商聚合架构缺了这张“责任地图”
GLI和PCI标准不够用？多供应商聚合架构缺了这张“责任地图” 多供应商聚合场景下缺乏针对特定系统的完整控制矩阵，导致个人数据保护与支付隔离责任边界模糊，用户难以确认具体执行细节由谁兜底。 当行业开始热议多供应商聚合架构的安全时，目光往往被引向 GLI 标准和 PCI 规范。大家默认这些权威文件已经划定了清晰的责任边界，但事实是，它们只提供了宏观的审计线索，并未给出针对特定聚合器的完整个人数据和…
-
旧刷新令牌还能用？详解 OAuth2 的轮换与撤销机制
旧刷新令牌还能用？详解 OAuth2 的轮换与撤销机制 刷新令牌轮换指旧令牌使用后生成新令牌的机制，撤销则是立即使特定令牌失效以阻断未授权访问的安全核心手段。 OAuth 2.0 中的委托关系与令牌基础 OAuth 2.0 通过建立资源所有者、客户端与服务器间的长期委托信任关系，解决权限代表权与持续时长问题而非单次请求校验。 它不靠每次请求都重新计算签名来保安全，而是建立一套授权委托关系。OAu…
-
HTTPS 和 HMAC 签名是一回事吗？别把“通道加密”当“数据验真”，中间人照样改你的明文
HTTPS 和 HMAC 签名是一回事吗？别把“通道加密”当“数据验真”，中间人照样改你的明文 HTTPS 负责传输通道加密防窃听，HMAC 负责验证数据来源与内容完整性，两者是互补而非替代关系。 很多人误以为只要开启了 HTTPS，API 请求就万无一失。这种想法忽略了安全防御的层级差异。 HTTPS 和 HMAC 签名 其实完全不是一回事，它们更不是替代关系。前者负责把数据在传输路上加密，防…
-
API Key 防不住重放？Bluefin 用时间戳 + Nonce 双锁拦截重复请求
API Key 防不住重放？Bluefin 用时间戳 + Nonce 双锁拦截重复请求 HMAC 通过结合时间戳与随机数生成动态签名，强制服务器在特定时间窗口内拒绝携带重复非唯一标识的请求。 从“静态钥匙”到“动态验证”：HMAC 的核心突破 HMAC 将静态凭证升级为动态验证，利用每次请求独有的签名特征区分合法调用与恶意重放攻击。 当攻击者截获了合法的 API Key，他们就能无限次重放该请求…
-
API Key 能防请求被篡改吗？别把门禁卡当防盗门
API Key 能防请求被篡改吗？别把门禁卡当防盗门 API Key 仅用于识别调用方身份，无法验证请求内容是否被篡改，二者在安全机制上存在本质区别。 API Key 能防请求被篡改吗？核心结论先说清 API Key 本身无法防止请求被篡改，它只是服务端识别调用方身份的单一凭证，不能保障数据完整性。 很多人拿到一串密钥就以为数据固若金汤，其实这层保护只回答了“你是谁”，没回答“你改没改”。直接给…