从安全诊断到审计证据， SPHIOR每月为您全程承担。

约 4.2 万件已认证 user 规模的信息泄露可能性 (observed scope)。GDPR 通知义务 trigger 可能性、对 SOC 2 CC6.1 审计支持证据质量产生重大影响。

通过已认证 user 攻击成立，reconnaissance 后的 payload 构建技术上容易。通过 active DAST scan 容易检测，仅需有限的 scripting 知识即可。

本月新检测。Critical class，建议本季度内对应。通过 WAF emergency rule 可暂时 mitigation，需要 attacker reconnaissance preemptive。

将 /api/search 的 SQL 查询改写为 prepared statement，分离 user input 与 SQL syntax。建议本季度内对应，改修期间通过 WAF rule 进行并行 mitigation。

Implementation hintExpress + pg: `client.query('SELECT … WHERE q = $1', [userInput])` / Python + psycopg2: `cur.execute('SELECT … WHERE q = %s', (userInput,))`

对所有 endpoint 应用 WAF rule，block 包含 SQL pattern (UNION / SELECT / -- / ; 等) 的 payload。改修完成前暂时 mitigation，与 SOC 联动体制组合运用。

Implementation hintWAF managed ruleset OWASP CRS (sql-injection) temporary enable / WAF: AWSManagedRulesSQLiRuleSet high-priority adoption

改修后通过 Sphior re-scan 验证 fix + 确认对同 payload pattern 的 400 response。确认结果作为 SOC 2 审计支持证据存储为 tamper-evident snapshot (SHA-256 anchored)，反映在下次月度报告中。

Implementation hintSphior dashboard 的 Re-scan now 按钮 (5 分钟内 scan 完成 + 结果反映)

已认证 user 的不正交易 trigger 可能性，财务直结 endpoint。对 SOC 2 CC6.6 审计支持证据质量 + Processing Integrity (PI1.1) 产生重大影响。

限于 state-changing endpoint，但通过 phishing 在已认证 user browsing 期间 redirect 到 attacker site 即可攻击成立，技术上 straightforward。

需要认证 user 的 victim，但通过 phishing 容易获取。建议本季度内对应，通过 middleware 应用可即时 mitigation。

对 12 件状态变更系 endpoint (POST / PUT / DELETE) install + 应用 CSRF token middleware。token 欠缺 / mismatch 时通过 403 response reject。建议本季度内对应。

Implementation hintExpress: csurf package / Django: built-in {% csrf_token %} / Rails: protect_from_forgery

对 session cookie 设置 SameSite=Strict，即时限制 cross-site request 中的 cookie 发送。HttpOnly + Secure 也一并应用，作为 middleware 改修期间的暂时对策。

Implementation hintSet-Cookie: session=…; Secure; HttpOnly; SameSite=Strict (所有 endpoint 统一)

将状态变更系 endpoint 的 automated CSRF test 集成到 CI，verify token 欠缺 / mismatch 时的 403 response。通过 Sphior re-scan 确认所有 endpoint 的 adoption。

Implementation hint通过 Sphior Code Scanner 的 CI integration 可持续检测 missing CSRF test

session cookie 窃取 (HttpOnly 未设置组合)、phishing 连锁、admin 面板 session hijacking 的可能性。

通过 URL trivial，只需让其 click craft 完成的 URL 即可攻击成立。由于公开 search 功能不需要 reconnaissance，攻击 surface 宽广。

公开面 endpoint 攻击 surface 宽广，建议 early detection 后 rapid response。通过 output encoding + CSP 可根本对应。

将 search query 显示部分通过 HTML escape (< / > / & / " 形式) 输出，在所有 view 上重新启用 template engine 的 auto-escape。建议本季度内对应。

Implementation hintReact: JSX auto-escape default / Vue: {{ }} auto-escape / Django: {% autoescape on %}

对所有 response 添加禁止 inline script 的 CSP policy (script-src 'self' 等)，完全排除 unsafe-inline。废弃 X-XSS-Protection header + 迁移到 CSP。

Implementation hint通过 Cloudflare Workers / Nginx config / Express helmet middleware 对所有 endpoint 应用

对 session cookie 必须设置 HttpOnly + SameSite=Strict，防止从 JS 获取 cookie，最小化 XSS 导致的 cookie 窃取影响。通过 Sphior re-scan 确认全件 adoption。

Implementation hintSet-Cookie: session=…; HttpOnly; Secure; SameSite=Strict (所有 endpoint 统一)