コーディングとデバッグ

ダウンロードAPIのパストラバーサル（中国語の原文）

下载接口接收文件名参数 [参数名]，代码里直接与上传目录做字符串拼接。请说明攻击者用 ../、绝对路径、URL 编码、以…

シェルに渡るファイル名の危険性（中国語の原文）

这段 [语言] 代码调用 [命令行工具] 处理用户上传的文件，文件名来自上传时的原始名称。请指出在 [操作系统] 下哪些…

XMLパーサーの外部実体を無効化する（中国語の原文）

我们要接收 [合作方] 发来的 XML 报文。请针对 [语言与库名] 的解析器，给出关闭 DTD 与外部实体的具体配置，…

ログイン後の遷移先パラメータの悪用（中国語の原文）

登录成功后会跳回参数 [参数名] 指定的地址。请列出可被利用的写法（绝对 URL、双斜杠开头、带 @ 的 URL、编码绕…

デシリアライズ入口の棚卸し（中国語の原文）

请在我们 [语言] 项目里清点所有反序列化入口（缓存读取、消息队列消费、Cookie 与 Session、RPC 参数）…

エラーページからの内部情報漏えい（中国語の原文）

生产环境的出错页面会把堆栈和 [框架] 版本一起返回给前端。请给出分层处理方案：对外只返回错误码与 [追踪 ID]、完整…

リクエスト本文をそのまま実体に変換しない（中国語の原文）

更新用户资料的接口把请求 JSON 直接反序列化成 [实体类] 再保存。请列出攻击者能多传哪些字段（角色、状态、余额、创…

レスポンス項目の絞り込み（中国語の原文）

这个 [接口名] 直接返回了数据库实体的全部字段。请列出其中不该对外暴露的部分（内部主键、成本价、审核备注、内部状态码、…

注文金額をクライアントの値で確定しない（中国語の原文）

下单接口目前直接采信前端算好的 [金额字段]、折扣码与运费。请重写校验逻辑：价格从 [商品或服务] 表实时取、折扣在服务…

配列長とネスト深さの上限設定（中国語の原文）

这个接口接收结构不固定的 JSON（[字段名] 是数组，元素里还可以再嵌套）。请给出限额方案：单请求体积、数组最大长度、…

CSVエクスポートの数式インジェクション（中国語の原文）

导出功能会把用户填写的 [字段，如昵称、备注] 原样写进 CSV。请说明以等号、加号、减号、@ 开头的值在 Excel…

リクエスト検証を契約として書き出す（中国語の原文）

这个 [接口名] 现在靠手写 if 判断校验请求体。请改成 JSON Schema 表达：必填项、类型、枚举、字符串长度…

不正な列挙値の扱い方（中国語の原文）

接口里 [字段名] 只允许 [取值列表] 这几种。请说明当前代码用 if-else 兜底到默认值会产生什么脏数据，再给出…

レスポンスヘッダに入るファイル名（中国語の原文）

下载接口把原始文件名写进响应头的 filename 字段。请说明文件名里出现 [字符示例] 时会发生什么（响应头注入、缓…

JWT検証で確認すべき六つの項目（中国語の原文）

服务端用 JWT 做 [场景] 的鉴权。请给出一份校验清单并标出当前代码缺哪几项：算法固定为 [算法] 且不接受 non…

ログイン時のセッションID再発行（中国語の原文）

登录流程在验证通过后没有重新生成会话标识。请说明攻击者如何先在 [场景，如钓鱼页、子域] 拿到一个已存在的会话 ID 并…

パスワード再設定リンクの設計（中国語の原文）

密码重置邮件里的链接现在带 [参数形式]。请重新设计：令牌用密码学随机数、服务端只存哈希、有效期 [时长]、一次性使用、…

SMS認証コードの総当たり対策（中国語の原文）

登录用六位短信验证码，现在只在前端做了 60 秒倒计时。请给出服务端防护设计：同一手机号与同一 IP 在 [时间窗] 内…

認可コールバックの検証ポイント（中国語の原文）

我们接入 [平台] 登录，回调里用 code 换令牌。请逐项检查：state 是否随机生成并与当前会话绑定、回调地址是否…

Webhookの署名検証（中国語の原文）

我们接收 [第三方] 的异步回调（支付结果、[事件类型]）。请给出校验设计：签名算法与密钥、参与签名的字段与排序规则、时…

多要素認証のバックアップ経路（中国語の原文）

我们给 [后台或支付] 开了二次验证（[方式]）。请盘一遍所有能绕过它的路径：备用邮箱找回、客服人工解绑、换设备登录、[…

サービス間呼び出しの権限を絞る（中国語の原文）

现在 [服务 A] 调 [服务 B] 时用的是同一个长期有效的内部令牌，权限覆盖全部接口。请设计按调用方收敛的方案：每个…

テナントIDが抜けた検索条件（中国語の原文）

多租户系统靠 [隔离字段] 在每条查询里过滤。请设计一套能"从机制上防漏"的做法：公共查询构造器强制注入该条件、代码审查…

ロールが増えた後の権限整理（中国語の原文）

现在后台有 [数量] 个角色，权限靠角色名硬编码判断。请把权限重构成"权限点加角色组合"：先从 [现有代码或菜单] 抽出…

管理画面の高リスク操作の記録（中国語の原文）

运营后台有几个高危操作可以直接执行：[操作列表]。请设计执行前后的控制：二次验证、[审批方式]、操作原因必填、影响范围预…

退職・外部委託時の権限回収（中国語の原文）

请给我们设计一套账号回收流程，覆盖 [员工、外包、实习生] 三类人员。要写清：触发时点（提交离职当天还是最后工作日）、需…

エクスポートAPIの項目絞り込み（中国語の原文）

报表页支持按筛选条件导出 [数据范围]。请重新设计导出：按角色限定可导出字段（手机号、证件号、地址默认脱敏）、单次行数上…

共有リンクの権限と有効期限（中国語の原文）

我们支持把 [文档或报表] 生成分享链接给外部看。请设计：链接只读且绑定具体资源、有效期 [时长]、可随时撤销、默认不暴…

鍵の台帳を作り管理する（中国語の原文）

项目里涉及 [密钥类型列表] 等多类凭据。请设计一份密钥台账的字段：用途、所属系统、存放位置、负责人、创建时间、轮换周期…

無停止での鍵ローテーション（中国語の原文）

我们准备轮换 [密钥用途] 的密钥，涉及 [调用方数量] 个服务。请给出双密钥过渡方案：新旧并存、按标识选择、逐步切流、…

暗号化した列を検索できるか（中国語の原文）

我们计划把 [字段名] 加密存库。请先说明加密后哪些查询会失效（等值、前缀、模糊、排序、唯一约束），再给出可选方案：确定…

パスワードハッシュのパラメータ確認（中国語の原文）

我们的用户密码用 [当前算法与参数] 存储。请评估是否达标，给出应换成 [目标算法] 时的参数建议（内存、迭代、并行度）…

フロントエンドに埋め込まれた鍵（中国語の原文）

打包后的 [前端或 App] 里写死了第三方服务的 [密钥类型] 用于直连。请说明它怎么被拿到（源码、抓包、反编译 [平…

設定センター内の平文の鍵（中国語の原文）

所有服务的配置都堆在 [配置中心或集群配置]，里面混着数据库口令和 [第三方] 的密钥。请给出分层方案：哪些配置可以明文…

どのCVEを実際に修正すべきか（中国語の原文）

依赖扫描给出 [数量] 条漏洞，全部升级并不现实。请按可达性分诊：漏洞函数是否被我们调用、输入是否可控、是否只在 [特定…

推移的依存関係のバージョン固定（中国語の原文）

扫描报告说 [包名] 有漏洞，但我们没有直接依赖它。请说明怎么找出完整引入链（哪个顶层包、经过几层、[包管理器] 的解析…

新しいパッケージを導入する前の確認（中国語の原文）

同事要引入 [包名] 来实现 [功能]。请给出引入前的审查清单：包名与官方是否一致（[混淆写法] 这类近似名要警惕）、维…

コンテナイメージスキャン結果の仕分け（中国語の原文）

镜像扫描报告有 [数量] 条高危，多数来自基础镜像的系统包。请按这几点分诊：容器里是否有对应服务在监听、包是否真的被加载…

顧客にSBOMを提出する（中国語の原文）

客户要求我们交付 [产品名] 的软件物料清单。请说明该用 [标准格式] 、在构建流水线的哪一步生成、包含哪些字段（组件名…

修正版が存在しない場合の対応（中国語の原文）

[组件名] 的漏洞目前上游没有修复版本，而我们必须继续用。请给出缓解清单并排序：关闭受影响的功能开关、在 [网关或防护设…

エラー通知に含まれるリクエスト本文（中国語の原文）

我们接了 [错误上报工具]。请设计脱敏配置：请求头里删除 [头列表]、请求体按字段名匹配（password、token、…

アクセスログ内のクエリパラメータ（中国語の原文）

网关的访问日志记录了完整 URL。请指出现实中会漏进日志的敏感项（搜索关键词、[手机号] 这类查询参数、重置链接里的令牌…

マスキング後も名寄せできるようにする（中国語の原文）

日志脱敏后，排查问题时需要按用户把多天的行为串起来，但手机号不能明文存。请给出方案：用 [哈希算法] 加固定盐生成稳定标…

ログ基盤の閲覧権限（中国語の原文）

日志平台目前所有研发都能搜索全量日志。请设计权限模型：按 [服务或业务线] 划分可见范围、敏感字段的查看需要额外申请、查…

ログの保存期間の決め方（中国語の原文）

应用日志、访问日志、审计日志现在统一保留 [时长]。请按用途重新定保留期：排障用的短、安全审计用的长且不可改、业务分析的…

個人情報の一覧をまず作る（中国語の原文）

我们准备做 [合规动作，如隐私评估、等保测评]，需要先盘清个人信息。请给出清单的字段设计：字段名、所属系统与表、来源（用…

プライバシーポリシーと実装の乖離（中国語の原文）

请把我们的隐私政策文本与 App 实际行为做逐项比对：政策声明的采集项与 [抓包结果或 SDK 清单] 里实际出现的字段…

各権限に理由を用意する（中国語の原文）

这个 App 申请了 [权限列表]。请为每个权限写清：具体功能场景、不授权时的降级方案、是否可以改成用时再申请、有没有更…

本番データをテスト環境で使うとき（中国語の原文）

团队想导一份生产数据到 [测试环境] 联调。请给出合规做法：先做字段最小化（只保留联调必需的表与列）、按规则替换姓名、手…

データ分類とアクセス承認（中国語の原文）

要给 [业务系统] 做数据分级。请给出分级标准（公开、内部、敏感、高敏）与判断依据，把 [字段清单] 逐项归类，再为每一…

ペネトレーションレポートの仕分け（中国語の原文）

我们拿到一份 [页数] 页的渗透测试报告。请把发现分成四类：可直接利用的高危、需要前置条件的、配置加固建议、误报或环境特…

レポート内のビジネスロジック脆弱性（中国語の原文）

报告里有一条业务逻辑问题：[漏洞描述，如修改请求里的价格参数]。请帮我还原完整利用路径：需要什么账号、按什么顺序发请求、…

修正後の再検証と証跡（中国語の原文）

这条漏洞修完后，需要给 [甲方或安全团队] 提交复测材料。请列出证据清单：修复前后的请求与响应对比、关键的 [校验逻辑]…

脆弱性の深刻度についての協議（中国語の原文）

安全团队把这条问题定为 [等级]，我们评估影响有限。请把分歧写成技术论证：实际暴露面（是否公网可达）、前置条件（需要什么…

経営層への脆弱性の説明（中国語の原文）

需要向 [管理层] 汇报这条安全问题。请用非技术语言写一页说明：问题是什么（一句比喻）、影响谁、被利用的可能与前置条件、…

コンプライアンス審査の証跡準備（中国語の原文）

我们即将做 [等保或 ISO 27001] 测评，涉及 [系统范围]。请按测评项给出材料清单：制度文件与签发记录、权限与…

新機能のリリース前レビュー（中国語の原文）

我们要做 [功能名]，涉及 [数据与角色]。请在动手前做一次轻量威胁建模：画出数据流向（谁提供、经过哪些系统、存在哪）、…