https://plumephp.com/tags/secure-coding/Recent content in Secure Coding on PlumePHPHugozh-CNSun, 27 Sep 2026 14:40:00 +0800https://plumephp.com/security-secure-coding-audit/Sun, 27 Sep 2026 14:40:00 +0800https://plumephp.com/security-secure-coding-audit/<h2 id="导语漏洞的最好修复时间点是写出来的那一刻">导语：漏洞的最好修复时间点是&quot;写出来的那一刻&quot;</h2> <p>同样的漏洞，在代码评审时发现成本最低，在测试时发现次之，上线后被发现就要救火，被攻击者发现就是事故。<strong>安全编码规范的目的是把漏洞拦截在&quot;诞生之前&quot;，代码审计则是最后一道人工防线。</strong></p>https://plumephp.com/security-deserialization-rce/Sat, 26 Sep 2026 00:00:00 +0800https://plumephp.com/security-deserialization-rce/<p>反序列化漏洞被称为&quot;最被低估的高危漏洞&quot;——它能直接导致远程代码执行（RCE），影响从 Java（Fastjson/Jackson）、Python（pickle）、PHP（unserialize）到 Ruby、Go 的几乎所有主流语言。其核心机理是：<strong>当不可信数据被反序列化时，恶意构造的数据可以触发现有类的魔法方法，拼装成任意代码执行的攻击链</strong>。本指南从反序列化原理出发，系统覆盖三种语言的漏洞形态、Gadget 链构造思路、检测与防御的完整体系。</p>