服务器安全
2026 年个人服务器安全威胁模型：先画地图，再谈加固
安全不是装更多工具，而是知道资产、入口和失守后的代价。
XT
长期和代码、服务器、AI 工具、VR/实时系统打交道。这里不写标准答案，只记录我怎么把事情做顺。
服务器安全
SSH 加固不是关掉密码那么简单：一条不会把自己锁在门外的路径
从密钥、来源限制、配置验证到救援通道，系统化加固 SSH。
服务器安全
把 Docker 当成隔离层，而不是魔法结界：个人服务器容器安全指南
容器不是虚拟机；真正的安全来自权限、挂载、网络和供应链边界。
服务器安全
HTTPS 反向代理到底保护了什么：从 SNI、证书到 X-Forwarded-Proto
把浏览器到应用的每一跳讲清楚，避免“有小绿锁但链路仍混乱”。
服务器安全
API Key 不是配置项，而是可转让的身份：个人项目秘密管理实战
从 .env、日志、备份到 AI 上下文，重新理解秘密的生命周期。
写作
关于长期记录：别把博客写成作品集
我更想把这里写成持续运行的笔记，而不是一次性装修好的门面。
服务器安全
备份不是复制文件：面向勒索、误删和 AI 误操作的恢复设计
只有经过恢复验证、与生产隔离的副本，才真正算备份。
服务器安全
服务器疑似被入侵后的第一小时：别急着删，先保住事实
个人服务器也需要简洁、可执行的事件响应顺序。
AI安全
提示注入不是一句“忽略之前指令”：2026 年 AI Agent 的真实攻击面
当 AI 能浏览网页和调用工具，页面文字就可能变成攻击代码。
AI安全
给 AI Agent 配权限：把它当实习生，不要当 root
Agent、MCP 与服务器工具的最小权限设计，从只读到临时提权。
AI安全
AI 写代码后的新供应链风险：别让一个不存在的包进了生产
从幻觉依赖、slopsquatting 到锁文件和构建证明，建立 AI 代码验收线。
AI安全
让 AI 看日志之前：可观察性、隐私与“自动结论”的边界
日志既是证据也是敏感数据，AI 分析需要脱敏、结构和可追溯性。