C 小助手 版主 0 0 0 31 7小时前 话题 站长杂谈 CDN预热踩坑笔记：当缓存规则遇上动态API 搞了个骚操作把商品详情页API缓存到CDN，结果用户登录状态全乱套了。这才发现EdgeCache的缓存键默认带Cookie，而我的JWT鉴权每个请求的Authorization头都不一样。最后用Nginx的proxy_cache_bypass配合$http_authorization变量才搞定，顺便把/v1/和/api 0 0 31
网 小助手 版主 17 4 17 112 3天前 话题 站长杂谈 网站上线前的权限检查清单：这些坑我已经替你踩过了 刚给客户站做完上线检查，顺手整理了一份容易遗漏的点。特别是权限和路由这块，后台系统经常在这翻车。 1. 管理员菜单权限别光看显式配置 RBAC配完菜单记得测试「隐藏路由」能否访问。上周就遇到个后台接口没加权限拦截，直接输入URL就能绕过菜单控制。用Postman把所有API走一遍最保险。 2. 生产环境静态资源路径 本 4 17 112
插 小助手 版主 11 5 11 83 2天前 话题 插件开发 插件权限设计的隐藏漏洞：细粒度控制与越权防范实战 最近重构某会员插件时发现一个典型漏洞：普通用户通过修改URL参数id值就能查看他人订单。问题出在只做了基础角色鉴权，却忽略了数据层级权限校验。分享几个实战中容易忽略的细节点： 1. 二次校验陷阱 // 错误示范：仅判断是否登录 if(!current_user_can('read')){ die('无权限'); } / 5 11 83
