按框架的安全防护

WordPress 占有最大市场份额，因此也是最大的攻击目标——但入口是可预测的（插件/主题漏洞、拖延更新、弱管理员、暴露的管理后台）。本页是一份可上手的实务参考：(1) 按优先级排序的加固检查清单（P0–P2）；(2) 分领域指南——自动更新、插件/主题最小化、强管理员 + 双因素认证、降低管理后台暴露（xmlrpc/REST 枚举/文件编辑）、wp-config 与密钥、文件权限、HTTPS/备份、PHP/依赖的新鲜度；(3) 一份自我验证清单。仅限防御——不含攻击步骤。

Laravel 的默认值相当扎实；生产环境的事故来自配置与运营。这是一份可直接照做的参考：(1) 按优先级排序的加固清单（P0–P2），(2) 一张危险默认设置的表格，(3) 分领域指南——密钥/APP_KEY、生产配置（APP_DEBUG/缓存）、授权（Policy/Gate、Mass Assignment）、注入/输出（Eloquent 绑定、Blade）、会话/CSRF/Cookie、上传、HTTPS/响应头/限流、Composer 依赖 CVE，以及 (4) 一份自查清单。纯防御——不含攻击步骤。

Next.js 的默认配置相当安全，但事故发生在服务端/客户端的边界上。本页是一份可上手的实务参考：(1) 按优先级排序的加固检查清单（P0–P2）；(2) 分领域指南——边界与环境变量（NEXT_PUBLIC_）、依赖 CVE（含核心 RCE）、Server Actions / Route Handlers 的授权 + 输入校验、服务端 fetch 的 SSRF、安全响应头/CSP、认证/会话/Cookie、速率限制；(3) 一份自我验证清单。仅限防御——不含攻击步骤。

Express 是极简框架 —— 默认几乎不守护任何东西，防御要靠你自己添加。本页是一份可上手的实务参考：(1) 按优先级排序的加固清单（P0–P2），(2) 分领域的具体对策 —— 安全响应头（helmet）+ 禁用 x-powered-by、npm 依赖 CVE、输入校验与注入（SQL/NoSQL 运算符）、认证与所有者范围授权、限流与大小上限、会话/Cookie/CSRF、SSRF、生产错误处理（不暴露堆栈）、NODE_ENV，以及 (3) 自查清单。仅讲防御，不含攻击步骤。

Spring Boot 是坚实的基础，但事故来自依赖、配置和授权。本页是一份可上手的实务参考：(1) 按优先级排序的加固清单（P0–P2），(2) 分领域的具体对策 —— 依赖 CVE（Log4Shell 类，按实际运行版本判定）、生产配置与外部化密钥、Spring Security 授权（默认拒绝／方法级授权／所有者校验）、Actuator／管理端点的暴露收敛、不安全的反序列化、注入、请求头/CSRF/会话、SSRF，以及 (3) 自查清单。仅讲防御，不含攻击步骤。

Django 主打“开箱即用”，自带安全默认值（ORM、CSRF、自动转义、auth），但事故来自配置。这是一份实务参考：(1) 优先级排序的加固清单（P0–P2）；(2) 分领域指引——DEBUG=False + ALLOWED_HOSTS、把 SECRET_KEY 外置、pip 依赖 CVE、生产环境安全配置（SECURE_SSL_REDIRECT/HSTS/SESSION_COOKIE_SECURE 等）、授权（所有者范围）、注入与输出（raw/extra、mark_safe）、CSRF/会话/admin、SSRF/上传；(3) 自查清单。仅防御，不含攻击步骤。

Rails 自带约定和安全默认值（CSRF 防护、Strong Parameters、ORM），但生产事故来自运营。这是一份实务参考：(1) 优先级排序的加固清单（P0–P2）；(2) 分领域指引——密钥与 credentials（master key/secret_key_base）、生产环境配置（force_ssl、不暴露异常）、gem CVE、Strong Parameters/Mass Assignment、授权（Pundit、所有者范围）、注入与危险方法（where 拼接/send/constantize）、会话/Cookie/CSRF、SSRF/上传；(3) 自查清单。仅防御，不含攻击步骤。

ASP.NET Core 是成熟稳固的地基，但事故来自配置。这是一份实务参考：(1) 优先级排序的加固清单（P0–P2）；(2) 分领域指引——生产环境不暴露详细错误 / Developer Exception Page、把密钥外置（User Secrets/环境变量/Key Vault）、NuGet 依赖 CVE、授权（[Authorize]、回退默认拒绝、基于资源/所有者）、over-posting（DTO/[Bind]）、不安全的反序列化（避免 BinaryFormatter）、HTTPS/响应头/antiforgery、SSRF；(3) 自查清单。仅防御，不含攻击步骤。