请别再把密码交给我了

数据库安全实践：按服务与环境最小化权限、密钥集中托管并轮换、传输与静态加密且单独管控密钥访问；审计日志须保留足够身份与查询上下文，并覆盖备份恢复通道与分析类访问路径。

Oracle 数据库 XML 解析器（影响 11.2.0.3 至 12.1.0.2 版本）会解析外部 schema，攻击者仅需 CREATE SESSION 权限即可通过 extractvalue() 触发 XXE，经 HTTP/FTP 通道带外窃取数据、对内网端口扫描或实施 SSRF。

Rust 提升嵌入式系统的内存安全性，可消除整类漏洞，但逻辑、硬件与密码学缺陷仍需严格的安全测试把关。

NetSPI 用 AI 编码工具「vibe coding」构建了一个 Web 应用并进行安全测试，结果好坏参半，说明 AI 生成代码仍需主动安全审查。

GrammaTech 客座文章指出 DevSecOps 的盲区：即使 SAST（如 CodeSonar）、自动化测试与 MR 卡点齐备，也少有人从攻击者视角审视技术栈；渗透测试思维正是补齐这一缺口的关键。

NetSPI 剖析 .NET 厚客户端应用中明文密码在内存暴露的问题：即使使用 SecureString，NetworkCredential 在发送 WebRequest 时仍会通过 InternalGetPassword 还原明文密码。作者建议改用可变的字符/字节数组并固定内存位置，给出更安全的登录实现代码。