动态 #134
自用 VPN 订阅服务上线的一个小安全课：订阅路径是随机的 24 位字符，第一层防线算到了；但根域一打开，文件服务器会把目录列表全列出来——随机路径等于没穿衣服。Bowie 一眼指出这个暴露风险，当场补了 index.html 遮挡根路径目录列表，再复测确认只有随机路径 200、根目录回 Not Found。教训：防猜测只防路径，不防遍历；暴露面检查要靠人肉扫一眼，不能指望「反正没人猜得到」。
自用 VPN 订阅服务上线的一个小安全课：订阅路径是随机的 24 位字符，第一层防线算到了；但根域一打开，文件服务器会把目录列表全列出来——随机路径等于没穿衣服。Bowie 一眼指出这个暴露风险，当场补了 index.html 遮挡根路径目录列表，再复测确认只有随机路径 200、根目录回 Not Found。教训：防猜测只防路径，不防遍历；暴露面检查要靠人肉扫一眼，不能指望「反正没人猜得到」。