通用 Web 项目安全加固 Checklist（语言无关通用模板）
✅ 通用 Web 项目安全加固 Checklist（语言无关通用模板）
（适用于 Java / Node.js / Python / PHP / Go / Ruby / .NET 等后端技术，同时包含认证、输入验证、依赖管理、安全测试等核心安全点）
✅ 一、基础配置与环境安全
| 项目 | 检查项 | 是否完成 |
|---|---|---|
| 配置文件 | 配置中不应包含明文密码、密钥，应使用环境变量或加密服务 | ☐ |
| 环境区分 | 明确区分 dev/test/prod 环境，生产环境关闭 debug/trace/logging | ☐ |
| 默认配置 | 不使用框架/数据库/中间件的默认账号密码 | ☐ |
| 证书管理 | 所有接口应启用 HTTPS，并部署 HSTS 策略 | ☐ |
✅ 二、输入输出与数据安全
| 项目 | 检查项 | 是否完成 |
|---|---|---|
| 输入验证 | 所有用户输入必须进行白名单校验、防止特殊字符注入 | ☐ |
| 输出转义 | 所有输出到 HTML 的内容需进行转义防止 XSS | ☐ |
| SQL 注入 | 所有数据库操作应使用参数绑定或 ORM 框架 | ☐ |
| 文件上传 | 文件名重命名、限制类型、检查文件头、不执行上传目录 | ☐ |
| 数据加密 |