框架与中间件

Web 服务器、应用服务器与主流框架的安全机制、历史漏洞面与审计要点。
文章数：23

本章不重复 Web 漏洞 各模块的通用利用手法，而从部署组件视角建立模型：请求如何被 Nginx/Apache/IIS 路由到解释器、Tomcat/Jetty/Undertow/WebLogic 如何暴露管理与协议面、Spring/Shiro/Struts、PHP/Python/Node/.NET/Rails 框架如何决定鉴权与扩展边界。漏洞模块中的上传解析、走私、反序列化、表达式注入、原型污染等均常落在本章组件之上。

与 浏览器与协议 的分工：browser 覆盖客户端与 HTTP/TLS 语义；middleware 覆盖服务端栈中的网关、容器与框架默认行为。

---

文章目录

概论

• 框架与中间件 — 分层模型、归因混淆、跨层联测（≥150）

Web 服务器与容器

• Nginx 安全机制与常见误配 — location/alias、反向代理、与 PHP-FPM（≥150）
• Apache httpd 安全机制与常见误配 — VirtualHost、.htaccess、模块链（≥150）
• Tomcat 安全机制与常见误配 — Context、Manager、Valve、JSP（≥150）
• IIS 安全机制与常见误配 — Handler Mapping、web.config、短文件名（≥150）

Java

• Spring Boot 与 Spring Security — Actuator、过滤器链、CSRF（≥150）
• Apache Shiro — 滤链顺序、RememberMe 边界（≥150）
• Apache Struts 2 — OGNL 边界、版本治理（≥150）
• Oracle WebLogic Server — T3/IIOP、控制台、补丁（≥150）
• Eclipse Jetty — Connector、基路径、JMX/嵌入式（≥150）
• Undertow — Listener、WildFly 叠层、Boot 嵌入（≥150）

PHP

• Laravel — APP_KEY、中间件组、Mass Assignment（≥150）
• ThinkPHP — 世代指纹、历史 RCE 面、runtime（≥150）
• WordPress — 插件供应链、Capability、uploads（≥150）

Python / Node.js

• Django — MIDDLEWARE、ALLOWED_HOSTS、ORM（≥150）
• Flask — 调试器、Jinja2、可选 CSRF（≥150）
• FastAPI — ASGI、CORS/Host、Depends、OpenAPI 面（≥150）
• Express — 中间件链、helmet、原型污染（≥150）
• Koa — 洋葱模型、app.keys、与 Express 对照（≥150）

.NET / Ruby

• ASP.NET Core — Kestrel、管道、Data Protection、AllowedHosts（≥150）
• Ruby on Rails — credentials、Strong Parameters、Host、Rack（≥150）

案例与索引

• 公开事件与机制教训 — Equifax/Ghostcat/Shiro/WebLogic/ThinkPHP/LNMP/Actuator/WP/Node（≥120）
• 标准与延伸阅读 — 官方文档、安全公告、案例失效模式锚点

后续规划

分组	候选专题
可选扩展	更多 CMS、Quarkus/Vert.x、NestJS 等

---

阅读路径

00-intro
  → nginx / apache → tomcat / jetty / undertow / iis / weblogic
  → java/* · php/* · python/* · node/* · csharp/* · ruby/*
  → cases · references
  ↔ vuln：upload · smuggling · deserial · rce · csrf · ssti · proto-pollution

---

目录结构

middleware/
├── 00-intro · nginx · apache · tomcat · iis · cases · references
├── java/    spring · shiro · struts2 · weblogic · jetty · undertow
├── php/     laravel · thinkphp · wordpress
├── python/  django · flask · fastapi
├── node/    express · koa
├── csharp/  aspnet-core
└── ruby/    rails

---

返回首页 · 浏览器与协议 · Web 漏洞