悉思安全防护基线设计方案确定公告

悉思安全防护基线设计方案完成确定，请求防护、身份认证、内容安全与审计四条主线各自的实现要求与默认取值逐项写明。基线的作用是把安全要求变成可核对的项目：站点按清单逐项确认，防护能力不再依赖部署者的经验差异。

四条防护主线

四条主线覆盖从请求入口到操作留痕的完整链路，任意一条缺失都会让防护出现断点。

请求防护与数据库操作规范

请求防护的基线要求所有数据库操作使用参数化写法，字段名与表名来自白名单校验，任何来自请求的值都不参与语句拼接。路径类参数在读取阶段做规范化与越界判定，首页与附件目录之外的文件访问一律拒绝。

来源校验按两层执行：全局黑名单拦截明显恶意的来源特征，频次限制拦截异常访问节奏。两层规则都以配置项形式声明，站点可按业务场景调整阈值而不改代码。

身份认证与会话时效

管理入口与写操作接口强制认证，认证结果写入带时效的会话凭证，跨站请求伪造防护对所有写操作生效。登录失败次数与锁定策略纳入基线，异常登录在审计日志中可查。

• 会话凭证：签发带有效期，过期后需重新认证。
• 写操作防护：携带校验令牌，令牌与会话绑定。
• 登录审计：记录时间、来源与结果，支持按来源检索。

内容安全与输出转义

模板输出与富文本内容的处理规则写入基线：模板变量按上下文转义，富文本入库前按白名单清洗标签，展示层按内容安全策略限定可执行资源来源。策略头按全局与域名级两层配置，站点可覆盖或追加。

转义规则的判定方式是按输出位置区分：标签体内、属性值内与脚本上下文分别采用对应转义方式，避免出现单一路径通吃的写法。

默认取值与站点差异处理

防护基线的默认值按最保守取值确定，站点按业务场景放宽而不是收紧。默认取值的确定方式参考两类依据：一类是通用防护要求，例如写操作必须携带校验令牌；另一类是运行成本约束，例如频次限制的阈值取足以拦截异常访问又不影响正常使用的区间。

站点差异通过配置项表达，差异项在基线上逐条标注原因：涉及第三方对接的站点放宽来源校验范围，涉及大文件上传的站点调整请求体积上限。差异项需要记录变更人与生效范围，版本升级时按差异清单复核，避免放宽项在升级后失效或被无意放大。

基线的复核周期与版本节奏绑定：每个版本发布前按清单核对一次，核对结果与差异清单一并归档，防护基线的执行情况因此可追溯、可审计。核对表同时保留未启用项的说明，未启用并不等于忽略，而是记录了暂缓原因与计划启用版本。

基线核对与开启顺序

1. 按四条主线逐项核对默认取值，确认与站点业务场景匹配。
2. 先开启请求防护与身份认证，再开启内容安全策略，最后校验审计日志写入。
3. 核对完成后导出配置存档，版本升级时按基线清单复核。