分类：Web安全

Fastjson 的 AutoType 特性允许在 JSON 中通过 @type 指定任意类实例化，历史上多次被利用构造 Gadget 链实现 RCE。防御需在 JVM 层启用 JEP 290 ObjectInputFilter 白名单，并在 Fastjson 侧彻底关闭 AutoType。 一、Fastjson 安全

浏览器发起 WebSocket 握手时会携带 Cookie，但不受同源策略限制。若服务端不校验 Origin，攻击者页面即可建立已认证的 WS 连接，实时窃听或注入消息。 ![WebSocket

传统黑名单过滤难以覆盖 DOM Clobbering 与 Mutation XSS 等变体。Trusted Types 强制所有危险 DOM 赋值（innerHTML、eval）必须经过已注册的净化策略，从浏览器 API 层面根除 DOM XSS 注入点。 一、Trusted Types 策略与 DOMPurify 集

二阶 SQL 注入指恶意载荷在首次写入时被转义存储，之后从数据库读出并在另一处未参数化的 SQL 语句中拼接执行。使用 ORM 时若混用原生查询字符串拼接（如 Raw()、extra()），同样会引入此类漏洞。 一、危险的 ORM 原生拼接示例

HTTP/2 使用 HPACK 头部压缩，通过动态表在连接内复用头部字段。当 CDN/反向代理与后端服务器对 ContentLength 与 TransferEncoding 的解析不一致时，攻击者可构造请求走私载荷，绕过前端访问控制并污染其他用户的请求。 一、Nginx 严格拒绝歧义请求头