安企CMS 帮助文档与使用指南
页面里嵌第三方视频涉及两层限制：来源域名按白名单放行，摄像头、定位、自动播放这些能力按最小集逐项授权。PbootCMS 在 V3.2.18 的更新记录里对可信视频域名保留默认来源策略，并对 allow 属性做了 token 白名单。本文解释内嵌框架为什么同时带着脚本与媒体能力、精确域与子域通配怎么分，以及放行与授权为什么要分开配。
网站挂在反向代理后面时，程序读到的连接来源往往是代理地址，而转发头里的内容又由客户端可控，把两层混为一谈会让登录锁定和黑名单认错对象。PbootCMS 在 V3.2.25 的更新记录里修过无条件信任来源转发头的问题。本文讲两层地址各自的来历、只在可信链路里取最右可信值的做法，以及限速与锁定该用哪一层。
后台留言的批量删除如果直接把前端传来的编号列表拼进删除条件，一次请求就可能删掉范围外的内容。PbootCMS 在 V3.2.18 的更新记录里修过这一类参数注入，做法是严格校验要删除的 id 列表。本文说明批量接口为什么把影响面放大、编号该按类型和存在性怎么验、删除范围为什么要服务端重新算一遍，以及误删之后回收站能兜住什么。
PbootCMS修复过站点标签输出脚本开标签的风险并增强了标签页参数过滤——当可编辑内容带着开标签进入模板引擎，数据就会被当成代码执行。本文解释数据变成代码的那一步发生在哪、标签输出位为什么要过滤、HTML、属性、脚本、URL四种上下文为什么要分别转义，以及越靠前的过滤越省事的分层收口。
图片处理库在服务端解码用户上传的二进制内容，远程代码执行往往发生在解码器层而不是业务代码。PbootCMS在V3.2.22版本记录里把危险coder门禁、输入格式白名单与资源上限一起加入安全硬化，并修复了合法图片误判。本文按这三道门禁讲清站点上传环节该收的口子，以及收得太紧为什么会误伤正常图片。
Drupal公告SA-CONTRIB-2026-215的评级只是Less critical，处理方式却把邮件示例功能整个移除，因为示例存在没有上限的资源分配问题。生产站要不要保留演示代码，判断依据应是暴露面而不是风险评级。本文拆解示例代码带出的三类风险、部署阶段的清理清单，以及保留演示入口时的限制办法。
Cache-Control 的 stale-while-revalidate 允许在过期后的窗口期内先复用旧内容响应、同时后台向源站重新校验，把校验延迟从用户响应里隐藏。本文按 MDN 文档说明它与请求指令 max-stale、以及 no-cache 与 must-revalidate 的分工，并给出页面文档与静态资源分开设置的建议。
政府门户网站选内容管理系统优先看内容审核、敏感词过滤与用户组权限，营销型官网更看重关键词库、锚文本与表单的人机验证；robots配置与站点地图生成则是两类站点共用的底座。本文按约束差异拆开能力项，给出同一系统内两种配置取向，帮助按站点性质而不是按功能清单长短做选型。
Drupal社区公告SA-CONTRIB-2026-195把MathJax模块的TeX渲染未转义JavaScript判为Critical跨站脚本，受影响版本低于4.1.2。富文本即使做了HTML标签白名单，公式、Markdown、图表等非HTML解析路径仍可能把数据当代码执行。本文说明如何读公告的版本区间与评级，并给出按输出上下文分别转义的自查清单。
黑名单必须提前枚举所有恶意扩展名写法，新后缀变体、双重扩展名、大小写与编码变形都可能绕过不完整的枚举，同类系统PbootCMS的V3.2.16更新记录正记录了这类修复。本文给出扩展名白名单、内容类型核验与上传目录执行权限三层收口的做法，以及部署阶段要同步完成的一件事。
