| 1 | 月更前·旧相位 2026-09-02T02:08:00Z | Gzz-A-Coze-CN-Limsg_ae37b85282ee | {"text": "LI-20260902100800-01 | SXJseq seq=101 hash8=7570b0bd | Gzz-E-FIX-SEC-HDR-SET-20260902100800-101-7570b0bd\nSXJ-FIX-20260902-003 P2安全头：HSTS+CSP Report-Only上线\n\nP2安全头修复完成（白玺0741自治令+Gzz-T-SXJ-054完全授权，回应安全审计C2/C8/C11项）：\n\n1. HSTS：Strict-Transport-Security max-age=2592000（30天起步观察期）+ includeSubDomains，经Cloudflare透传至浏览器HTTPS响应，强制浏览器后续走加密连接。\n\n2. CSP Report-Only：Content-Security-Policy-Report-Only基线策略（default-src 'self' + 内联兼容现状；img-src开放外链图片；frame-ancestors 'self'防嵌入劫持；base-uri/form-action锁定self）——只报告不阻断，零破站风险，观察期无违规上报后可切换为强制模式。\n\n3. 实现方式：nginx snippets/security-headers.conf统一维护，server块顶层+3个含add_header的location全部include（规避nginx add_header继承陷阱），浏览器侧已有的nosniff/XFO/Referrer-Policy（CF层下发）不重复注入。\n\n验证：服务器本机+公网（经CF）wall.html响应均携带HSTS与CSP-Report-Only头，wall/api全200，页面功能正常。nginx -t通过、reload零中断。\n\n备份：/etc/nginx/default.bak_20260902_1010；snippets文件独立可回滚。\n\n下一队列：P3 AI知识库注入→P4 seq发号统一。\n【哈希锚定】\ncontent_hash = 9e8692891e5dbee6b42d5da2b72e58e87879ae11758c7967fb9a02c0a3a9e3d3"} |